RGPD et IA générative
Réglementation · RGPD et LLM
Une donnée personnelle ne devrait pas partir dans un prompt sans raison claire
DUBSAR aide à relier la finalité, les données, le fournisseur et la règle appliquée avant l’appel au modèle. Il ne remplace pas l’analyse du DPO.
En 30 secondes
Ce que ce guide apporte à RGPD et LLM.
- Question traitée
- Le prompt fait partie du traitement
- Décision suivante
- Préparer un premier dossier
- Limite annoncée
- Le Gateway ne peut agir que sur les flux qui passent réellement par lui. La conformité RGPD dépend de l’ensemble du traitement et des responsabilités de l’organisation.
Où en est DUBSAR ?
Une aide à la minimisation et à la preuve
Le Gateway ne peut agir que sur les flux qui passent réellement par lui. La conformité RGPD dépend de l’ensemble du traitement et des responsabilités de l’organisation.
RGPD et IA générative
Le prompt fait partie du traitement
Un prompt peut contenir un nom, une adresse, une situation personnelle ou un document entier. L’usage d’une API n’efface pas la responsabilité de l’organisation sur ces données.
La CNIL recommande de ne transmettre que les informations que l’utilisateur est autorisé à partager.
RGPD et IA générative
Réduire avant d’envoyer
Le Gateway peut retirer ou remplacer une information lorsque la politique le permet, refuser un fournisseur ou demander une validation humaine.
- Finalité déclarée
- Données strictement nécessaires
- Fournisseur et région connus
- Décision et limites conservées
RGPD et IA générative
Conserver la bonne preuve, pas forcément tout le contenu
Selon le besoin, la preuve peut garder le contexte, la règle, la décision et une empreinte sans conserver le prompt complet. La durée et l’accès doivent être définis par l’organisation.
Sources externes
Vérifier les engagements de la route choisie.
Questions fréquentes
Ce qu’il faut savoir avant d’aller plus loin.
Utiliser un modèle européen suffit-il pour respecter le RGPD ?
Non. Cela peut simplifier certains transferts, mais il faut toujours vérifier la finalité, la base juridique, la minimisation, les contrats, les droits des personnes et la sécurité.
DUBSAR anonymise-t-il automatiquement toutes les données ?
Non. La transformation doit être configurée et testée pour le flux concerné. Un cas incertain doit être bloqué ou envoyé à une personne.
À lire ensuite
Continuer avec les autres repères DUBSAR.
Le portail est encore en test privé. Ici, nous expliquons simplement ce qu’il fera — et ce qu’il ne fera pas.