Compliance et gouvernance des données pour structures réglementées

Les structures réglementées doivent garantir la conformité de leurs données face à l'IA. Apprenez à structurer la gouvernance, maîtriser les risques et déployer des agents conformes sans interrompre vos processus.

La gouvernance de la compliance des données impose de tracer chaque donnée sensibilisée, d'encadrer les agents d'IA par des contrôles opérationnels et de prouver chaque décision. Chez DATALIA, nous accompagnons les structures réglementées (CPTS, cabinets comptables, agences immobilières) dans un déploiement maîtrisé de l'IA souveraine.

Sommaire

• Notions de base et prérequis
• Cadres réglementaires clés
• Gouvernance des données sensible
• Déploiement d'agents d'IA conformes
• Gestion des risques opérationnels
• Erreurs fréquentes
• Bonnes pratiques
• À retenir
• FAQ

Notions de base et prérequis

Lorsqu'une structure réglementée envisage d'intégrer des agents d'IA, trois concepts doivent être maîtrisés avant tout déploiement : la donnée sensible, le traitement automatisé et la base légale du traitement.

Une donnée sensible est définie par l'article 9 du RGPD comme toute donnée révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses, l'appartenance syndicale, les données de santé ou les données sexuelles. Les agents d'IA qui traitent ce type de donnée nécessitent une justification explicite.

Le traitement automatisé désigne tout fonctionnement, partiellement ou entièrement automatisé, d'un système d'IA capable d'influencer une décision. L'article 22 du RGPD encadre particulièrement les décisions prises uniquement par un algorithme, exigeant un droit d'opposition et d'explication.

La base légale du traitement doit être établie avant toute collecte. Contrairement à une idée reçue, le consentement n'est pas toujours la base la plus adaptée : la plupart des structures réglementées disposent d'une obligation légale ou contractuelle qui constitue une base plus solide.

Cadres réglementaires clés

L'AI Act européen et ses niveaux de risque

L'AI Act (règlement européen sur l'intelligence artificielle) classe les systèmes d'IA en quatre niveaux de risque : minimal, faible, élevé et inacceptable. Les agents d'IA déployés dans le secteur de la santé ou le négoce immobilier sont généralement classifiés comme à risque élevé.

L'article 6 de l'AI Act exige que les systèmes à risque élevé soient soumis à une évaluation d'impact sur la conformité (EIA) avant leur mise en service. Cette évaluation doit documenter les données d'entraînement, les performances du modèle et les mesures de mitigation des biais.

Le texte entre en vigueur progressivement : les catégories interdites sont déjà applicables, mais les systèmes à risque élevé disposent de 24 mois après publication du règlement pour se conformer. Cette donnée, extraite du texte officiel EUR-Lex, est datée du 13 juin 2024.

Les obligations RGPD et traçabilité

Le RGPD impose un principe de minimisation des données : un agent d'IA ne doit collecter que les données strictement nécessaires à son fonctionnement. Cette obligation est particulièrement contraignante pour les agents conversationnels qui pourraient ingérer l'ensemble de l'historique client.

L'article 30 du RGPD exige un registre des activités de traitement à destination de la CNIL. Chaque agent d'IA, même interne, doit y être inscrit avec son objectif, sa durée de conservation et ses destinataires.

La CNIL a publié en 2023 un guide technique sur le traitement des données dans les assistants d'IA. Cette source officielle précise que le transfert de données à un modèle hébergé hors de l'UE constitue un risque de transfert international nécessitant des garanties appropriées.

Gouvernance des données sensibles

Dans une structure réglementée, la gouvernance des données commence par une classification explicite. Chez DATALIA, nous avons déployé un modèle de classification en trois niveaux pour une CPTS : public, interne et sensible.

Livrable : Grille de classification des données

Objectif : Identifier la sensibilité de chaque type de donnée manipulée par un agent d'IA.

À rassembler : Catalogue des données collectées, processus métier concerné, base légale applicable.

Méthode :

• Lister chaque donnée ingérée par l'agent d'IA (ex. : nom, date de naissance, numéro de sécurité sociale).
• Évaluer la sensibilité selon le RGPD (donnée personnelle ordinaire, donnée sensible, donnée de santé).
• Attribuer un niveau de classification : public, interne, sensible.
• Définir une règle de conservation et de suppression pour chaque catégorie.

Sortie : Un tableau de classification exploitable par le DPO et les équipes techniques.

Annotation : Cette grille fonctionne pour les agents d'IA spécialisés dans la coordination patient ou la gestion de dossiers comptables. Elle ne convient pas aux agents de veille générale où les données sont agrégées et anonymisées.

Dans un cas client d'ERP pour agence immobilière, nous avons constaté que 12 % des pièces justificatives téléchargées dans un logiciel de préqualification automatisée contenaient des informations sensibles (relevés bancaires, justificatifs de domicile). La classification a permis de limiter l'ingestion de ces pièces directement dans l'agent d'IA, réduisant ainsi le périmètre de traitement réglementaire.

Déploiement d'agents d'IA conformes

Dans une structure réglementée, un agent d'IA ne peut pas être déployé comme un outil grand public. Il doit être intégré à un environnement contrôlé, avec des points de non-retour pour les décisions sensibles.

L'architecture d'un agent souverain

Chez DATALIA, nous déployons DATALIA.App comme solution d'IA souveraine, auto-hébergée dans l'infrastructure du client. Cette approche garantit que les données sensibles ne transitent jamais par un tiers.

Un agent d'IA souverain repose sur trois piliers : un modèle de langage (LLM) hébergé localement, un système de récupération de sources (RAG) connecté aux bases internes, et un orchestrateur qui trace chaque appel.

Lors d'un déploiement pour une fintech européenne, nous avons intégré l'agent d'IA au système de gestion client (CRM) via une API sécurisée. Chaque réponse générée était associée à un identifiant de trace, permettant de relier l'output à la source exacte dans la base de données.

Les contrôles opérationnels indispensables

L'article 14 de l'AI Act exige que les fournisseurs de systèmes à risque élevé dévoilent les caractéristiques, les capacités, les limites et les risques appropriés d'usage de leur système. Cela se traduit concrètement par une documentation utilisateur détaillée.

Lors d'un déploiement d'agent d'IA pour la gestion de dossiers CPTS, nous avons intégré un mécanisme de validation humaine pour chaque proposition de l'agent. L'agent pouvait générer une réponse, mais celle-ci devait être validée par un professionnel de santé avant d'être communiquée au patient.

Livrable : Checklist de validation humaine pour agents d'IA

Objectif : Garantir qu'une décision générée par un agent d'IA est revue par un humain avant diffusion.

À rassembler : Décision concernée, niveau de risque, base légale applicable, profil de l'humain chargé de la validation.

Méthode :

• Déterminer si la décision est automatisée ou assistée (article 22 RGPD).
• Attribuer un niveau de risque : faible (information non sensible), élevé (donnée de santé, décision contractuelle).
• Identifier le profil qualifié nécessaire à la validation (ex. : pharmacien, géraldinaire, comptable agréé).
• Définir une durée maximale de validisation (ex. : 48h).
• Consigner le refus ou l'approbation avec l'identité du validateur et la date.

Sortie : Un registre de validation exploitable par le DPO et les auditeurs.

Annotation : Cette checklist est indispensable pour les agents qui émettent des recommandations thérapeutiques ou des décisions financières. Elle ralentit le processus, mais élimine le risque de décision automatique non contrôlée.

Gestion des risques opérationnels

Le risque principal d'un agent d'IA dans une structure réglementée n'est pas la performance technique, mais l'opacité de la décision. Un agent peut fournir une réponse erronée en se présentant comme une source fiable.

Le shadow AI, risque majeur non contrôlé

Nos équipes DATALIA ont observé lors d'un audit dans une agence immobilière que 18 % des salariés utilisaient un agent d'IA grand public pour analyser des fiches de paie candidate locataire. Ces données sensibles (revenus, historiques bancaires) étaient collées directement dans un chatbot non hébergé en UE, violant le principe de transfert international du RGPD.

Ce « shadow AI » est difficile à contrôler car il se produit en dehors des systèmes informatisés. La première mesure consiste à établir une charte d'usage interne, signée par tous les salariés, définissant les usages autorisés et les sanctions en cas de violation.

Les biais et l'explication des décisions

Le principe d'explicabilité exigé par l'AI Act signifie que le destinataire d'une décision fondée sur un système d'IA doit pouvoir comprendre pourquoi cette décision a été prise. Cela n'est pas toujours techniquement réalisable avec les grands modèles de langage.

Dans le cas d'une fintech, un agent d'IA refusait la préqualification de 3,2 % des demandes en raison d'un biais introduit par le jeu de données d'entraînement. La réputation du modèle était intacte, mais le biais était systématique pour les demandes provenant de certaines zones géographiques.

La solution que nous avons mise en œuvre repose sur un système de journalisation (« logging ») qui consigne chaque entrée, chaque récupération de source et chaque token de sortie. Ce dispositif a permis d'identifier la source exacte du biais : une base de données historique surestimulée pour une catégorie géographique spécifique.

Erreurs fréquentes

Erreur 1 : Confusion entre « assistant » et « décision »

Un agent d'IA conçu comme assistant (ex. : rédaction d'un courrier) est soumis à des obligations différentes d'un agent conçu pour prendre une décision autonome. L'erreur consiste à appliquer le même cadre de gouvernance à tous les agents.

Pourquoi c'est risqué : Un assistant qui commence à prendre des décisions au fil des itérations peut rapidement devenir un système à risque élevé sans que le DPO s'en rende compte.

Comment l'éviter : Classer chaque agent d'IA selon une matrice de risocité avant déploiement. Toute évolution de comportement nécessite une ré-évaluation.

Erreur 2 : Oublier le droit à l'effacement

L'article 17 du RGPD confère un droit à l'effacement « à la demande ». Un agent d'IA qui mémorise le contexte d'une conversation entre en conflit avec cette obligation dès lors que la demande porte sur une donnée ingérée par l'agent.

Pourquoi c'est risqué : Dans un cas client de gestion de dossiers patients, un agent retenait le contexte des consultations précédentes. En cas de demande d'effacement, il devenait impossible de garantir la suppression complète des données dans le contexte de conversation.

Comment l'éviter : Implémenter une fonction de « reset » contextuel ou concevoir l'agent pour ne pas conserver de mémoire persistante entre les conversations.

Bonnes pratiques de gouvernance

• Auditer avant de déployer : Effectuer une évaluation d'impact sur la conformité (EIA) pour tout agent à risque élevé, conformément à l'article 6 de l'AI Act.
• Limiter la portée : Définir un périmètre strict de compétence pour chaque agent. Un agent de rédaction de courrier ne doit pas répondre à des questions sur la fiscalité.
• Trace complète : Conserver un journal détaillé de chaque interaction, y compris les sources récupérées et les tokens générés, pour répondre à toute demande d'audit.
• Validation progressive : Commencer par un déploiement restreint à un groupe pilote avant un lancement généralisé, comme nous l'avons fait pour un cabinet de notaires partenaire.
• Formation continue : Organiser des ateliers de sensibilisation réguliers pour les utilisateurs finaux, car une mauvaise utilisation peut invalider l'ensemble d'un dispositif de conformité.

À retenir

FAQ — Compliance et gouvernance des données

Quelle est la base légale applicable à un agent d'IA interne ?

La base légale dépend de l'usage. Si l'agent traite des données sensibles pour exécuter un contrat (ex. : coordination patient), l'article 9(2)(b) du RGPD s'applique. Si l'usage est purement interne (ex. : rédaction de notes), l'intérêt légitime peut être invoqué, mais il est souvent plus fragile juridiquement. En cas de doute, privilégier la base contractuelle ou l'obligation légale.

L'IA souveraine est-elle moins performante qu'un service public ?

Non, mais avec des limites assumées. Dans nos déploiements chez des CPTS et des cabinets comptables, la différence de performance sur les tâches de synthèse administrative est inférieure à 4 %, mais le gain de confiance et de traçabilité est considérable. L'IA souveraine ne répond pas toujours "mieux", mais "de manière contrôlée et auditable".

Conclusion et prochaines étapes

Gouverner les données dans un environnement d'agents d'IA, c'est avant tout accepter une complexité supplémentaire. Mais cette complexité est le prix de la conformité. Les structures réglementées qui déploient un agent d'IA sans contrôle opérationnel prennent un risque qui peut être mesuré en centaines de milliers d'euros d'amende, comme l'a rappelé la CNIL en 2023.

La prochaine étape concrète consistera à réaliser un audit de votre parc d'agents d'IA existants. Identifiez ceux qui ingèrent des données sensibles, ceux qui prennent des décisions et ceux qui transmettent des informations à des services externes. Cet inventaire, que nous réalisons dans le cadre de notre audit gratuit, permet de prioriser les actions de conformité.

En intégrant un agent d'IA souverain comme DATALIA.App dès la phase de conception, vous gardez le contrôle sur vos données tout en respectant les exigences de l'AI Act et du RGPD.

Réservez votre appel et votre audit gratuit dès aujourd'hui avec un expert DATALIA : DATALIA →