Ctrl+C, Ctrl+Comply : L’essor des DSAR alimentés par l’IA
La sensibilisation des individus à leurs droits en matière de protection des données, alimentée en partie par des litiges très médiatisés, a contribué à une augmentation soutenue du nombre de demandes d’accès des personnes concernées (DSAR) que les organisations reçoivent. Cette augmentation semble être en partie due à des demandes générées par des machines, l’IA générative produisant des DSAR détaillées et étendues en quelques secondes, abaissant ainsi la barrière à la rédaction de demandes complexes et de grande envergure.
IA en pratique : Ampleur et complexité des DSAR
Selon le RGPD britannique et la loi sur la protection des données de 2018, les individus ont droit à la confirmation du traitement et à l’accès à leurs données personnelles, ainsi qu’à des informations associées sur les sources, la conservation et les garanties. Les DSAR ont donc toujours eu le potentiel d’être vastes, mais les demandes générées par l’IA vont désormais régulièrement au-delà d’un simple « que détenez-vous à mon sujet ? » et cherchent plutôt à obtenir chaque type de données concevable à travers chaque système concevable : e-mails et pièces jointes, plateformes de messagerie, notes d’appels, systèmes de tickets, dossiers RH, vidéos de surveillance et journaux d’accès. Elles exigent également souvent la divulgation des paramètres de recherche, des systèmes concernés et des pistes de vérification, ainsi que des explications détaillées de toute censure ou exclusion.
Cette formulation peut avoir de réelles conséquences sur la charge de travail et la défense. À moins que l’organisation n’ait un processus discipliné en place, le risque est une recherche vaste et désordonnée qui génère des coûts de révision élevés et des retards. Ajouter même un petit nombre d’autres DSAR dans le mélange peut rapidement rendre les résultats difficiles à gérer.
Identifier les DSAR générées par l’IA
Une organisation ne doit pas refuser de se conformer à une DSAR valide simplement en raison de son ton, de son style ou de l’utilisation supposée de l’IA par le demandeur. Cela dit, une reconnaissance précoce des caractéristiques d’une demande rédigée par une IA peut aider à anticiper la complexité, estimer les efforts nécessaires et interagir efficacement avec le demandeur.
Les indicateurs courants des DSAR rédigées par l’IA incluent :
- Un vocabulaire inhabituellement formel ou centré sur les États-Unis qui contraste avec le langage que l’individu est censé utiliser.
- Des modèles épuisables énumérant chaque droit et exemption légaux par nom.
- Des affirmations générales couvrant plusieurs juridictions ou citant des régimes inapplicables.
- Des détails personnels, des pronoms ou un formatage incohérents suggérant un contenu copié.
- Un texte identique ou presque identique dans plusieurs demandes reçues dans un court laps de temps.
Aucune de ces caractéristiques n’est concluante à elle seule, mais prises ensemble, elles peuvent fournir un signal précoce utile qu’une demande nécessite une attention particulière lors de la phase de triage.
Ce que les organisations peuvent faire
Répondre à toutes les DSAR, qu’elles soient assistées par l’IA ou non, nécessite une compréhension de ce qui est demandé et la capacité de traduire cette compréhension en une stratégie de recherche documentée, raisonnable et proportionnée.
En vertu de la loi sur les données (utilisation et accès) de 2025, les responsables doivent effectuer des recherches raisonnables et proportionnées, plutôt que de fouiller de manière exhaustive toutes les données personnelles que l’organisation pourrait détenir à propos du demandeur. La loi permet également aux responsables de « stopper l’horloge » sur le délai légal afin de demander des éclaircissements lorsque la demande est floue ou trop large.
Engagement précoce sur la portée
Si une DSAR ressemble à une demande englobant tout, il est utile d’engager le demandeur dès le début :
- Demander au demandeur de clarifier ce qu’il cherche vraiment, en se référant à des systèmes spécifiques, des plages de dates ou des types de documents.
- Expliquer que des paramètres plus clairs permettront de concentrer les recherches et de fournir des réponses précises.
- Encadrer le processus comme un dialogue constructif, plutôt qu’une tactique de retard, tout en étant transparent avec le demandeur sur le fait que le délai légal est suspendu en attendant sa réponse.
Bien fait, un éclaircissement précoce sur la portée aide les organisations à fournir une réponse proportionnée, efficace et précise, tout en minimisant l’examen de documents non pertinents et en réduisant la charge administrative globale liée à la réponse à la DSAR.
Documenter les décisions sur la proportionnalité
Une fois qu’une organisation a déterminé ce qui constitue une recherche raisonnablement proportionnée, elle doit enregistrer la portée choisie, les systèmes inclus (et exclus), les facteurs considérés et la justification reliant ces facteurs aux dispositions légales pertinentes et aux orientations réglementaires. Ce processus aidera à démontrer que l’approche adoptée était réfléchie, défendable et adaptée à la demande en question.
Documenter les décisions est particulièrement important dans l’environnement actuel, car les régulateurs eux-mêmes ressentent l’impact de la rédaction assistée par l’IA – de manière visible dans l’augmentation des volumes de plaintes concernant, entre autres, le traitement des DSAR. Les derniers rapports ont confirmé que les plaintes relatives à l’article 15 du RGPD britannique demeurent la plus grande catégorie de plaintes en matière de protection des données, avec des chiffres en hausse chaque année.
De même, le Commissaire à la protection des données et à la liberté d’information de Berlin a récemment signalé avoir reçu près de 50 % de plaintes en matière de protection des données supplémentaires en 2025 par rapport à 2024. Le Commissaire a identifié l’IA comme le principal moteur de cette augmentation, notant que les évaluations légales sur lesquelles reposent les revendications générées par l’IA sont souvent incomplètes ou simplement erronées.
Gérer les DSAR modernes
Alors que l’IA contribue à la montée des DSAR et des plaintes associées, elle peut également faire partie de la boîte à outils de conformité d’une organisation, à condition d’être déployée de manière réfléchie et avec une supervision adéquate. Les organisations se tournent de plus en plus vers des solutions alimentées par l’IA pour rationaliser et étendre certaines parties de leur processus DSAR. Parmi d’autres choses, les plateformes d’IA peuvent automatiser la découverte et la classification des données, recherchant à travers des sources structurées et non structurées pour identifier rapidement et avec précision les données personnelles pertinentes, réduisant ainsi l’effort manuel et l’erreur humaine.
En associant ces technologies à un examen humain, qui reste important pour toutes les DSAR, mais particulièrement pour celles avec des faits complexes ou difficiles, les équipes juridiques et de conformité peuvent transformer le défi d’une augmentation des volumes de DSAR en une opportunité d’accroître l’efficacité, d’améliorer la précision et de renforcer la conformité au sein de leur organisation.
