IA et protection des données

Qu'est-ce que IA et protection des données?

The EU AI Act and GDPR are independent but overlapping. When an AI system processes personal data, GDPR always applies, and so does the AI Act whenever the system falls within its scope. You work through a healthcare AI triage system: GDPR Article 22 rights on automated decisions, data minimization against vendor demands for more data, dual transparency duties and the difference between a DPIA and a FRIA, until a patient complaint tests whether your measures hold.

Ce que vous apprendrez dans IA et protection des données

• Comprendre comment la loi européenne sur l'IA et le RGPD créent des obligations qui se chevauchent mais qui sont indépendantes.
• Appliquer les droits de l’article 22 du RGPD aux décisions basées sur l’IA ayant des effets significatifs
• Appliquer la minimisation des données même lorsque davantage de données amélioreraient les performances de l'IA
• Créez des avis de confidentialité qui satisfont aux exigences de transparence du RGPD et de la loi européenne sur l'IA.
• Distinguer DPIA et FRIA et comprendre quand les deux sont nécessaires

IA et protection des données — Étapes de la formation

1. Deux frameworks, un système d'IA

   The EU AI Act and GDPR overlap significantly when AI systems process personal data. Any AI system that handles personal data is covered by GDPR, and by the EU AI Act as well when it falls within its scope, as the triage system in this exercise does. GDPR lawful basis - a valid legal ground is required for processing personal data. GDPR Article 22 - individuals have the right not to be subject to purely automated decisions with significant effects. DPIA requirements - a Data Protection Impact Assessment may be required under GDPR for high-risk processing. Data minimization - only data necessary for the specific purpose may be processed. These are independent legal frameworks with their own enforcement mechanisms, but they create overlapping obligations for AI systems that handle personal data.

2. Présentation du système de triage IA

   Wellspring Health Services a développé un système de triage par IA pour aider à gérer plus efficacement les rendez-vous des patients. Alice se connecte au portail clinique et ouvre la page de présentation du système pour examiner son fonctionnement avant d'effectuer son évaluation de conformité.

3. Article 22 du RGPD : Prise de décision automatisée

   L’article 22 du RGPD donne aux individus le droit de ne pas être soumis à des décisions purement automatisées ayant des effets significatifs. L’article 14 de la loi de l’UE sur l’IA exige séparément une surveillance humaine pour l’IA à haut risque. Les deux sont complémentaires : le RGPD crée un droit pour le patient, la loi européenne sur l’IA crée une obligation de conception. Les deux doivent être satisfaits indépendamment.

4. Base légale des données de santé

   The triage system processes health data, which is a special category under GDPR Article 9. Standard processing grounds like legitimate interest are not sufficient for health data. The Article 9(2) conditions that fit this case are: Explicit consent (GDPR Art. 9(2)(a)) - the patient gives explicit, informed consent to the processing of their health data by the AI system. Necessary for medical treatment or diagnosis (GDPR Art. 9(2)(h)) - the processing is necessary for healthcare purposes and is carried out by a health professional or someone subject to professional secrecy obligations. Legitimate interest alone is never sufficient for processing health data under GDPR. Organizations must identify a valid Article 9(2) condition in addition to an Article 6 lawful basis.

5. Vérification à mi-exercice

6. Minimisation des données vs performances de l'IA

   Le fournisseur d’IA a demandé l’accès aux dossiers médicaux complets des patients, arguant que des données plus larges amélioreraient la précision du triage. Cependant, le principe de minimisation des données du RGPD (article 5, paragraphe 1, point c)) exige que seules les données nécessaires à la finalité spécifique soient traitées. Pour le triage basé sur les symptômes, le système a besoin de descriptions actuelles des symptômes et de données démographiques de base sur les patients. Les antécédents médicaux complets, les dossiers de médicaments et les antécédents de traitement sont excessifs pour déterminer la priorité des rendez-vous. Traiter plus de données que nécessaire viole le RGPD, même si cela améliorerait les performances de l'IA.

7. Examen de l'avis de confidentialité des patients

   Alice ouvre la déclaration de confidentialité destinée aux patients à partir du portail clinique. Un seul avis peut satisfaire à la fois au RGPD et à la loi européenne sur l’IA, mais seulement s’il couvre toutes les divulgations requises.

8. DPIA contre FRIA

   Pour ce système d'IA de soins de santé, deux analyses d'impact distinctes peuvent être requises : DPIA (Data Protection Impact Assessment) - requise par le RGPD lorsque le traitement est susceptible d'entraîner un risque élevé pour les droits des personnes. Se concentre spécifiquement sur les risques liés à la protection des données : la manière dont les données personnelles sont collectées, stockées, traitées et protégées. FRIA (Fundamental Rights Impact Assessment) - requis en vertu de l'article 27 de la loi européenne sur l'IA avant que l'IA à haut risque ne soit utilisée par des organismes publics, des fournisseurs de services publics tels que les soins de santé ou des déployeurs d'IA de notation de crédit ou d'assurance vie et maladie. Couvre tous les droits fondamentaux de manière plus large : non-discrimination, dignité, accès aux soins de santé, liberté et droit à un recours effectif. Ces évaluations répondent à différents objectifs juridiques et ont des portées différentes. Ils peuvent être menés ensemble dans le cadre d’un exercice combiné, mais chacun doit répondre aux exigences de sa réglementation respective.

9. Une plainte d'un patient

   Le Dr Sarah Park contacte Alice sur Telegram au sujet d'une patiente mécontente de la priorité qui lui a été assignée par l'IA. Alice doit conseiller le Dr Park sur la façon de réagir dans les limites de l'article 22 du RGPD et des obligations de surveillance humaine de la loi européenne sur l'IA.

10. Points clés à retenir

    Here is what to remember when AI systems process personal data: Dual compliance often applies: AI systems that process personal data are always covered by GDPR, and by the EU AI Act as well when they fall within its scope, as this triage system does. These are independent frameworks with separate enforcement. Human oversight serves both frameworks: GDPR Article 22 gives people a right not to be subject to purely automated decisions, with safeguards such as human intervention (Article 22(3)), while EU AI Act Article 14 requires high-risk systems to be designed for effective human oversight. The legal reasons differ. They are complementary, not substitutes. Data minimization applies even when more data would help: Processing more data than necessary violates GDPR regardless of whether it improves AI performance. Privacy notices must satisfy both frameworks: GDPR requires transparency about data processing; the EU AI Act requires transparency about AI system usage. Both can be addressed in a single notice. Both DPIA and FRIA may be required: A DPIA focuses on data protection risks; a FRIA covers all fundamental rights. They serve different purposes even when conducted together. Patients have rights under both: GDPR gives access to information (Articles 13-15) and human intervention in purely automated decisions (Article 22(3)); the EU AI Act adds a right to an explanation of high-risk AI decisions (Article 86).