La présente trame est mise à la disposition des Clients de ReadyForAI pour faciliter l'analyse d'impact relative à la protection des données, ci-après « l'AIPD », que l'article 35 du RGPD peut leur imposer en tant que responsables du traitement. Elle suit la méthode de la CNIL en quatre parties : contexte, principes fondamentaux, risques, validation.
Les parties relatives au sous-traitant sont préremplies par INITIAL et peuvent être reprises telles quelles. Les parties relatives au responsable du traitement, signalées par la mention « à compléter par le Client », doivent être adaptées par le Client à sa propre situation. Cette trame ne constitue ni un conseil juridique ni une garantie de conformité ; elle est un support de travail.
Article 1. Pourquoi une AIPD peut être requise
Le traitement mis en oeuvre au moyen de ReadyForAI réunit plusieurs des critères retenus par les lignes directrices du G29 reprises par la CNIL : traitement de données à grande échelle, traitement de données hautement personnelles ou couvertes par le secret professionnel, traitement pouvant concerner des personnes vulnérables, usage innovant d'une solution technologique, et croisement de jeux de données. Deux critères suffisent en principe à rendre l'AIPD nécessaire.
Le Client apprécie, au regard de la nature de ses dossiers et du volume traité, s'il est tenu de réaliser l'AIPD. En cas de doute, la réalisation est recommandée.
Article 2. Contexte : vue d'ensemble
Responsable du traitement : [à compléter par le Client : dénomination, adresse, contact, DPO le cas échéant].
Sous-traitant : INITIAL SASU, 18 rue Neuve des Boulets, 75011 Paris, éditrice de ReadyForAI, liée par l'accord de traitement des données.
Description du traitement : pseudonymisation, caviardage ou variabilisation de documents professionnels contenant des données à caractère personnel, en vue [à compléter par le Client : de leur exploitation par une intelligence artificielle générative, de leur communication à un tiers, de la constitution de modèles d'actes, autre], puis dépseudonymisation des contenus produits.
Finalités : [à compléter par le Client]. Exemples : préparation de conclusions ou de synthèses avec l'assistance d'une IA ; communication de pièces à un tiers sans révéler l'identité des personnes ; constitution de modèles d'actes réutilisables.
Enjeux pour le responsable du traitement : [à compléter par le Client]. Exemples : gain de temps, réduction du risque de divulgation d'informations couvertes par le secret professionnel lors de l'usage d'outils d'IA.
Référentiels applicables : RGPD ; loi Informatique et Libertés ; article 226-13 du code pénal ; article 2 du règlement intérieur national de la profession d'avocat pour les avocats ; recommandations du Conseil national des barreaux relatives à l'usage de l'intelligence artificielle ; [à compléter par le Client selon sa profession].
Article 3. Contexte : données, processus et supports
Catégories de données : toute donnée figurant dans les documents soumis, notamment identité, coordonnées, date et lieu de naissance, situation familiale, professionnelle et patrimoniale, identifiants, coordonnées bancaires, numéros de dossier, ainsi que le contenu des écrits. [À compléter par le Client : préciser les catégories effectivement traitées.]
Catégories particulières : les documents peuvent contenir des données relevant des articles 9 et 10 du RGPD, notamment en matière pénale, sociale, familiale ou de santé. [À compléter par le Client : indiquer si tel est le cas et sur quel fondement.]
Personnes concernées : clients du Client, parties adverses, témoins, experts, magistrats, auxiliaires de justice, salariés, dirigeants, cocontractants et tiers mentionnés dans les documents ; Utilisateurs du Client.
Cycle de vie des données dans ReadyForAI :
- Téléversement du Document Source par l'Utilisateur, en transit chiffré, vers l'infrastructure d'INITIAL hébergée en France.
- Reconnaissance optique de caractères et détection d'entités identifiantes sur les instances propres d'INITIAL, sans appel à un service tiers.
- Substitution des entités détectées par des identifiants de substitution ; génération de la Table de Correspondance, chiffrée et conservée séparément.
- Validation, correction, ajout ou retrait manuels par l'Utilisateur avant restitution.
- Restitution du Document Pseudonymisé ; suppression du Document Source à l'achèvement du traitement.
- Le cas échéant, transmission du Document Pseudonymisé par l'Utilisateur à une IA tierce, hors du Service et sous sa seule responsabilité.
- Dépseudonymisation du contenu produit, au moyen de la Table de Correspondance, dans le Service.
- Suppression de la Table de Correspondance à la fermeture du compte, après douze mois sans accès au dossier, ou sur demande.
Supports : navigateur de l'Utilisateur ; interface web hébergée dans l'Union européenne ; serveurs de traitement et stockage en France ; base de données applicative dans l'Union européenne. Liste détaillée à la page sous-traitants.
Article 4. Principes fondamentaux : proportionnalité et nécessité
Finalités déterminées, explicites et légitimes : [à compléter par le Client]. Le sous-traitant ne traite les données à aucune autre fin que la fourniture du Service et n'exploite aucun contenu à des fins d'entraînement de modèle.
Base légale : [à compléter par le Client]. Pour un avocat, l'exécution du mandat et l'intérêt légitime tenant à l'exercice de la défense sont fréquemment retenus ; pour les données des articles 9 et 10, l'exception tenant à la constatation, l'exercice ou la défense d'un droit en justice est à documenter.
Minimisation : le Service permet de choisir les catégories d'éléments substitués et de ne soumettre que les documents utiles. Le Document Source est supprimé après traitement. Seul le Document Pseudonymisé est destiné à sortir du périmètre du Client. [À compléter par le Client : règles internes de sélection des documents soumis.]
Exactitude : la détection est automatisée et non exhaustive. La vérification humaine préalable prévue à l'article 6.2 des conditions générales est la mesure d'exactitude principale. [À compléter par le Client : procédure interne de relecture.]
Durées de conservation : Document Source supprimé immédiatement après traitement ; Document Pseudonymisé conservé aussi longtemps que l'Utilisateur le maintient ; Table de Correspondance supprimée à la fermeture du compte, après douze mois sans accès au dossier ou sur demande ; sauvegardes chiffrées écrasées sous sept (7) jours. [À compléter par le Client : articulation avec ses propres durées de conservation des dossiers.]
Article 5. Principes fondamentaux : droits des personnes
Information : [à compléter par le Client : mention dans la convention d'honoraires ou la lettre de mission, politique de confidentialité du cabinet, information des tiers lorsque possible ou exemption de l'article 14, paragraphe 5, du RGPD].
Droits d'accès, de rectification, d'effacement, de limitation et d'opposition : le Client dispose dans son espace des fonctions d'accès, d'export et de suppression de ses documents et tables. INITIAL transmet au Client toute demande reçue directement d'une personne concernée et lui apporte une assistance raisonnable, conformément à l'article 10 du DPA.
Portabilité : export des Documents Pseudonymisés et des Tables de Correspondance depuis l'espace du Client.
Sous-traitance : encadrée par l'accord de traitement des données, qui prévoit les instructions documentées, la confidentialité du personnel, la sécurité, l'autorisation préalable des sous-traitants ultérieurs, l'assistance, la notification des violations sous quarante-huit heures, le sort des données en fin de contrat et l'audit.
Transferts hors Union européenne : aucun transfert du contenu des documents. Transferts limités aux données d'acheminement des courriers électroniques et aux accès d'assistance de l'hébergeur de l'interface et de l'outil de supervision des erreurs, encadrés par les clauses contractuelles types. Le recours par le Client à une IA tierce peut constituer un transfert dont il assume la qualification.
Article 6. Risques : mesures existantes
Mesures portant sur les données : chiffrement en transit, TLS 1.2 au minimum ; chiffrement au repos, AES 256 ; chiffrement dédié et isolement logique de la Table de Correspondance ; suppression du Document Source après traitement ; absence de contenu dans les journaux applicatifs ; sauvegardes chiffrées.
Mesures organisationnelles : accès selon le moindre privilège ; authentification renforcée des accès d'administration ; comptes nominatifs ; journalisation des accès, notamment aux Tables de Correspondance ; engagements de confidentialité du personnel ; procédure de gestion des violations ; contractualisation des exigences auprès des sous-traitants ultérieurs. Détail à l'annexe 3 du DPA.
Mesures à la charge du Client : [à compléter par le Client]. Exemples : gestion des habilitations des Utilisateurs, mots de passe robustes, vérification humaine systématique des Sorties, conservation chiffrée des Tables de Correspondance exportées, choix d'une IA tierce offrant des garanties contractuelles adaptées, interdiction de soumettre à l'IA tierce un document non pseudonymisé.
Article 7. Risques : appréciation
Pour chaque risque, apprécier la gravité et la vraisemblance selon l'échelle de la CNIL : négligeable, limitée, importante, maximale.
| Risque | Sources | Impacts potentiels | Mesures réduisant le risque | Gravité | Vraisemblance |
|---|---|---|---|---|---|
| Accès illégitime à la Table de Correspondance, permettant la réidentification | Attaque externe, compromission d'identifiants, accès interne indu | Réidentification des personnes, violation du secret professionnel, atteinte à la défense | Chiffrement dédié, isolement logique, journalisation, moindre privilège, purge après douze mois d'inactivité, purge à la fermeture du compte, notification sans délai avec mention du risque de réidentification | [à évaluer] | [à évaluer] |
| Détection incomplète laissant subsister des éléments identifiants dans le Document Pseudonymisé transmis à une IA tierce | Limites des traitements automatisés, éléments contextuels ou manuscrits | Divulgation de données à un tiers hors Union européenne, violation du secret professionnel | Vérification humaine préalable obligatoire, paramétrage des catégories, ajout manuel de substitutions, information de l'Utilisateur sur la non-exhaustivité | [à évaluer] | [à évaluer] |
| Accès illégitime aux Documents Sources pendant leur traitement | Attaque externe, défaillance d'un hébergeur | Divulgation de dossiers complets | Suppression immédiate après traitement, chiffrement, hébergement en France, absence de transmission à un tiers | [à évaluer] | [à évaluer] |
| Modification non désirée des données par une IA tierce, révélée après dépseudonymisation | Reformulation, troncature ou création d'identifiants par l'IA tierce | Inexactitude d'un acte, atteinte aux intérêts d'une personne | Contrôle intégral du contenu dépseudonymisé avant usage, absence de responsabilité de l'IA tierce sur le Service | [à évaluer] | [à évaluer] |
| Disparition des données, Table de Correspondance perdue ou purgée avant la fin du dossier | Purge automatique, fermeture du compte, défaillance technique | Impossibilité de dépseudonymiser un contenu, perte d'un travail | Information dans l'espace sur la date de purge prévisible, export possible à tout moment, sauvegardes chiffrées, conservation trente jours après fermeture pour export tardif | [à évaluer] | [à évaluer] |
| Usage du Service par une personne non habilitée au sein du Client | Partage d'identifiants, départ d'un collaborateur | Accès à des dossiers hors besoin d'en connaître | Comptes nominatifs, interdiction du partage d'identifiants, administration des habilitations par le Client | [à évaluer] | [à évaluer] |
[À compléter par le Client : cartographie des risques résiduels après prise en compte de ses propres mesures.]
Article 8. Validation
Avis du délégué à la protection des données : [à compléter par le Client].
Consultation des personnes concernées ou de leurs représentants : [à compléter par le Client : consultation réalisée, ou motifs de l'absence de consultation, par exemple le secret professionnel].
Plan d'action : [à compléter par le Client : mesures complémentaires, responsable, échéance].
Décision : [à compléter par le Client : traitement accepté, accepté sous conditions, refusé ; date et signataire].
Révision : l'AIPD est revue à chaque évolution substantielle du traitement, du Service ou de sa chaîne de sous-traitance, et au moins tous les trois (3) ans.
Article 9. Éléments fournis par INITIAL
Pour renseigner cette trame et le registre des traitements, le Client dispose des documents suivants, publiés sur le site : les conditions générales, l'accord de traitement des données avec sa description du traitement, sa liste des sous-traitants ultérieurs et ses mesures techniques et organisationnelles, la politique de confidentialité et la page sous-traitants. Un exemplaire au format PDF de chacun de ces documents est délivré sur demande à l'adresse jimmy@readyforai.fr.