Protection des données et intelligence artificielle

Le présent article vise à fournir des conseils et des bonnes pratiques aux responsables du traitement des données qui souhaitent utiliser les systèmes d’IA de manière licite, loyale et transparente. Il s’appuie sur les recommandations et les questions proposées par la Commission nationale de l’informatique et des libertés (CNIL). Le livre blanc couvre six aspects principaux du cycle de vie des systèmes d’IA:

• Questions de base pour commencer
• Utilisation des données d’entraînement
• Développement de l’algorithme d’IA
• Utilisation des systèmes d’IA
• Considérations relatives à la sécurité
• Droits des personnes concernées

Nous présentons, pour chaque aspect, un résumé des points clés et une liste de questions que les responsables du traitement des données devraient se poser et documenter lors de l’analyse de leurs systèmes d’IA.

Questions de base pour commencer

Avant de décider d’utiliser un système d’IA, les responsables du traitement des données doivent définir clairement la finalité et la portée du traitement, et évaluer si l’utilisation de l’IA est nécessaire et proportionnée pour atteindre l’objectif visé. Les responsables du traitement des données doivent également identifier les incidences et les risques potentiels du traitement sur les libertés et droits fondamentaux des personnes, en particulier si le traitement porte sur des données à caractère personnel, vise des groupes vulnérables ou entraîne des conséquences juridiques, financières ou physiques pour les personnes concernées. Les responsables du traitement des données doivent se poser les questions suivantes:

• Quel est l’objectif spécifique du traitement qui nécessite l’utilisation d’un système d’IA?
• L’utilisation d’un système d’IA est-elle justifiée par un avantage significatif par rapport à d’autres systèmes ou méthodes existants?
• Le traitement porte-t-il sur des données à caractère personnel, collectées directement auprès des personnes ou obtenues auprès d’autres sources?
• Quelles sont les personnes concernées par le traitement, soit en tant qu’utilisateurs, soit en tant que sujets de décisions automatisées?
• Quelles sont les conséquences potentielles du traitement sur les droits et les intérêts des personnes, tels que leur vie privée, leur dignité, leur autonomie ou leur non-discrimination?
• Comment prévenir ou limiter les risques et les préjudices découlant du traitement?
• Qui est responsable de la conception, du développement, du déploiement et du contrôle du système d’IA et quels sont les rôles et obligations de chacun?

Utilisation des données d’entraînement

Les données d’entraînement sont les données utilisées pour entraîner et valider un système d’IA, généralement par le biais d’un processus d’apprentissage supervisé ou non supervisé. La qualité et la quantité des données d’entraînement sont cruciales pour la performance et la fiabilité du système d’IA, ainsi que pour le respect des principes de protection des données. Les responsables du traitement des données doivent veiller à ce que les données d’entraînement soient pertinentes, exactes, représentatives, non biaisées et obtenues légalement. Les responsables du traitement des données doivent se poser les questions suivantes:

• Quelle est la source et l’origine des données d’entraînement et comment ont-elles été collectées ou obtenues?
• Quelle est la base juridique du traitement des données d’entraînement, et comment est-elle documentée et communiquée aux personnes concernées?
• Comment la conformité du traitement des données d’entraînement est-elle contrôlée et évaluée, par exemple au moyen d’une analyse d’impact sur la protection des données (AIPD) ou d’une analyse des risques?
• Comment les données sont-elles anonymisées ou pseudonymisées et quelles sont les mesures prises pour prévenir ou limiter les risques de réidentification ou d’inférence?
• Comment les données sont-elles minimisées et quels sont les critères utilisés pour sélectionner les variables et les valeurs nécessaires et pertinentes pour la tâche d’apprentissage?
• Comment assure-t-on la qualité des données et quelles sont les méthodes utilisées pour vérifier et corriger les données en cas d’erreurs, d’incohérences ou de valeurs aberrantes?
• Comment les biais des données sont-ils identifiés et corrigés, et quels sont les outils utilisés pour mesurer et atténuer les biais dans les données ou les indicateurs de caractéristiques sensibles ou protégés?

Développement de l’algorithme d’IA

Un algorithme est un ensemble de règles ou d’instructions qui définit la manière dont un système d’IA traite les données d’entrée et produit les données de sortie. Le choix et la mise en œuvre de l’algorithme dépendent du type et de la complexité de la tâche d’apprentissage, des données disponibles et des performances et de la fidélité attendues du système d’IA. Les responsables du traitement des données doivent s’assurer que l’algorithme est robuste, fiable et transparent, et qu’il peut être testé et expliqué. Les responsables du traitement des données doivent se poser les questions suivantes:

• Quel est le type d’algorithme utilisé, quelle est sa logique et comment répond-il à la finalité et à la portée du traitement?
• Pourquoi cet algorithme a-t-il été choisi et quels sont les avantages et les inconvénients de son utilisation par rapport à d’autres algorithmes ou méthodes?
• Comment l’algorithme est-il validé et vérifié, et quels sont les sources et les critères utilisés pour évaluer sa qualité et sa précision?
• Comment l’algorithme est-il documenté et communiqué, et quels sont les moyens et les formats utilisés pour expliquer son fonctionnement et ses limites aux parties prenantes et aux personnes concernées?
• Quels sont les outils et les cadres utilisés pour développer et mettre en œuvre l’algorithme, et comment sont-ils sélectionnés et évalués du point de vue de leur fiabilité et de leur sécurité?
• Comment l’algorithme est-il entraîné et testé, et quelles sont les stratégies et les mesures utilisées pour mesurer et optimiser ses performances et sa fiabilité?
• Comment l’algorithme est-il entretenu et mis à jour, et quels sont les mécanismes et les protocoles utilisés pour surveiller et contrôler son comportement et ses résultats au fil du temps?

Utilisation des systèmes d’IA

La production est la phase au cours de laquelle le système d’IA est déployé et utilisé dans l’environnement réel, soit en tant que système autonome, soit en tant que partie d’un système ou d’un processus plus vaste. L’utilisation du système d’IA en production peut avoir des effets directs ou indirects sur les personnes et la société, et peut également faire l’objet de changements ou faire face à des défis dans l’environnement ou les données. Les responsables du traitement des données doivent veiller à ce que le système d’IA soit supervisé, transparent et adaptable, et qu’il respecte les droits et les intérêts des personnes et de la société. Les questions suivantes peuvent être pertinentes à cet égard:

• Comment assure-t-on la supervision humaine et quels sont les rôles et responsabilités des opérateurs humains qui interagissent avec le système d’IA ou le surveillent ?
• Comment assure-t-on la transparence et quels sont les canaux d’information et de communication utilisés pour informer et expliquer le système d’IA aux utilisateurs et aux personnes concernées ?
• Comment assure-t-on la qualité et quels sont les mesures et indicateurs utilisés pour évaluer et maintenir la qualité des données d’entrée et de sortie du système d’IA?
• Comment assure-t-on l’adaptabilité et quelles sont les méthodes et procédures utilisées pour mettre à jour et ajuster le système d’IA en fonction des changements ou des retours d’information dans l’environnement ou les données?

Considérations relatives à la sécurité

La sécurité est un aspect essentiel du cycle de vie des systèmes d’IA, car elle affecte l’intégrité, la disponibilité et la confidentialité des données et du système. Les systèmes d’IA peuvent être vulnérables à divers types d’attaques ou de failles susceptibles de compromettre leur fonctionnement ou leurs résultats ou de nuire aux individus ou à la société. Les responsables du traitement des données doivent s’assurer que le système d’IA est protégé, résilient et fiable, et qu’il respecte les normes de sécurité et les bonnes pratiques. Les aspects suivants doivent être pris en compte: 

• Comment l’analyse des risques est-elle effectuée et quels sont les méthodes et outils utilisés pour identifier et évaluer les menaces et vulnérabilités potentielles du système d’IA?
• Comment met-on en œuvre la protection et quelles sont les mesures et les techniques utilisées pour prévenir ou limiter les attaques ou les failles susceptibles d’affecter le système d’IA ou les données?
• Comment assure-t-on la résilience et quels sont les mécanismes et les plans utilisés pour récupérer ou restaurer le système d’IA ou les données en cas d’incident ou de violation?
• Comment assure-t-on la responsabilité et quels sont les enregistrements et les journaux utilisés pour suivre et documenter les activités et les événements du système d’IA ou des données?
• Comment assure-t-on le contrôle et l’audit de la sécurité, et quels sont les processus et procédures utilisés pour examiner et évaluer la sécurité du système d’IA ou des données?

Droits des personnes concernées

Les droits sont les garanties juridiques et éthiques dont disposent les individus en ce qui concerne le traitement de leurs données personnelles ou les décisions automatisées qui les concernent. Les systèmes d’IA peuvent poser des défis ou des limites à l’exercice de ces droits, en raison de leur complexité, de leur opacité ou de leur imprévisibilité. Les responsables du traitement des données doivent s’assurer que le système d’IA respecte et facilite l’exercice de ces droits et qu’il fournit aux personnes concernées les informations et les moyens nécessaires pour accéder au système d’IA ou aux données, les rectifier, les effacer, s’y opposer ou les contester. Les responsables du traitement doivent se poser les questions suivantes:

• Comment les personnes sont-elles informées et quels sont le contenu et le format des informations qui leur sont fournies au sujet du système d’IA ou des données?
• Comment les droits sont-ils exercés et quels sont les canaux et méthodes à la disposition des personnes qui souhaitent exercer leurs droits en rapport avec le système d’IA ou les données?
• Comment les demandes sont-elles traitées et quels sont les critères et les procédures utilisés pour répondre ou se conformer aux demandes des personnes en ce qui concerne le système d’IA ou les données?
• Comment les décisions sont-elles expliquées et quels sont les éléments et les formats utilisés pour fournir des explications significatives et compréhensibles sur les décisions prises par le système d’IA ou les données?
• Comment les décisions sont-elles contestées et quels sont les mécanismes et les voies de recours dont disposent les personnes pour contester ou faire appel des décisions prises par le système d’IA ou les données?

PwC accompagne ses clients dans leur démarche en matière d’IA. Outre les exigences légales et réglementaires décrites ci-dessus, il existe encore d’autres aspects qu’une entreprise doit prendre en compte lorsqu’elle déploie ses solutions d’IA. Pour cela, nous avons développé le PwC’s Responsible AI Toolkit. Il s’agit d’une suite de cadres, d’outils et de processus personnalisables conçus pour vous aider à exploiter la puissance de l’IA de manière éthique et responsable – de la stratégie à la mise en œuvre.

N’hésitez pas à contacter nos experts si vous souhaitez en savoir plus.

#social#