> For the complete documentation index, see [llms.txt](https://guides.ia.numerique.gouv.fr/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://guides.ia.numerique.gouv.fr/guides/guide-de-construction-dun-assistant-conversationnel-base-sur-du-rag/les-enjeux-juridiques.md). # Les enjeux juridiques {% hint style="info" icon="arrows-to-circle" %} **Sensibiliser les équipes** sur les enjeux juridiques de leur projet. {% endhint %} Les enjeux juridiques se pensent dès le début du projet. C'est pour cela qu'il est nécessaire d'aller consulter le service juridique de votrz administration de ratttachement dès le début afin que votre projet puisse évoluer en toute conformité. {% hint style="warning" %} En cas de non respect des différents cadres juridiques évoqués en dessous, les risques peuvent aller de l'annulation de la décision administrative individuelle à la sanction pénale, c'est à dire 5 ans d'emprisonnement et 5000€ d'amendes.\ \ **Attention : les cadres juridiques présentés ne sont pas exhaustifs. Seul votre service juridique sera en mesure de savoir si d'autres cadres doivent s'ajouter en raison de votre projet.** {% endhint %} Plusieurs cadres juridiques sont à prendre en compte lors de la conception et du déploiement d'un agent conversationnel. Ce système d'intelligence artificielle (IA) repose avant tout sur des algorithmes et des données, auxquels s'appliquent plusieurs cadres juridiques. ## 💻 Traitement de données à caractère personnel Dans le cas où votre projet à vocation à traiter des données à caractère personnel, le **Règlement général sur la protection des données** s'applique (RGPD), règlement que l'on retrouve également en droit national dans la Loi informatique et libertés (LIL). {% hint style="info" %} Une donnée à caractère personnel se définit comme toute information relative à une personne physique permettant de l'identifier directement (nom, prénom, courriel nominatif, etc.) ou indirectement (numéro de téléphone, plaque d'immatriculation, adresse postale, voix, image, etc.). {% endhint %} Ainsi vous devrez penser au fait que : * vous utilisez des données personnelles pour des **finalités** déterminées, explicites et légitimes ; * votre collecte de données personnelles doit reposer sur une **base légale**, le plus souvent votre mission d'intérêt public en tant qu'administration. Celle-ci ne se présume pas et il importe de motiver que votre administration soit tenue, par un texte juridique, de réaliser une activité ou une mission rendant nécessaire ce traitement de données ; * vous respectez le principe de **minimisation des données** (ne pas traiter plus que nécessaire) ; * vous devez **informer les personnes**, lors de la collecte ou de l'utilisation de leurs données, de la manière dont vous allez traiter celles-ci ; * les données traitées doivent être **exactes** ; * vous devez **conserver** les données pendant une durée n'excédant pas celle nécessaire au regard des finalités ; * vous devez garantir la **sécurité** des données traitées ; * vous devez **permettre aux personnes dont vous traitez les données d'exercer leurs droits** (accès, rectification, suppression dans certains cas) ; **Vous rapprocher du service juridique de votre administration vous permettra de répondre à ces exigences dès le début de la construction de votre projet et de pouvoir évoluer dans la bonne direction.** ## 📑 Décision automatisée ou aide à la décision Parfois votre IA pourra permettre de rendre **des décisions administratives individuelles**, c'est à dire des décisions qui nomment précisément une personne ou une entreprise. Il se peut qu'elle aide à prendre une décision (outil d'aide à la décision) ou qu'elle automatise la décision (décision automatisée). Dès lors que votre IA - et même plus largement votre traitement algorithmique - permet de rendre de telles décisions, un cadre juridique spécifique est applicable. Ce cadre s'applique plus largement aux traitements algorithmiques qui fondent des décisions administratives individuelles. {% hint style="info" %} Selon le Larousse, un algorithme est un "*ensemble de règles opératoires dont l'application permet de résoudre un problème énoncé au moyen d'un nombre fini d'opérations. Un algorithme peut être traduit, grâce à un langage de programmation, en un programme exécutable par un ordinateur*". La [CNIL ](https://www.cnil.fr/sites/default/files/atoms/files/cnil_rapport_garder_la_main_web.pdf)définit un algorithme comme *"une suite finie et non ambigüe d’instructions permettant d’aboutir à un résultat à partir de données fournies en entrée."*\ \ Ainsi, un algorithme peut donc exister **indépendamment d'un traitement informatique**. Une grille de notation "papier" utilisée par une administration est considérée comme un algorithme. {% endhint %} Des principes de transparence algorithmiques s'appliquent aux décisions automatisées aussi bien qu'aux simples décisions issues d'outils d'aide à la décision : * **Information générale** : en application de l’article L. 312-1-3 du code des relations entre le public et l'administration (CRPA), les **administrations publient en ligne les règles** définissant les principaux traitements algorithmiques utilisés dans l'accomplissement de leurs missions lorsqu'ils fondent des décisions individuelles ; * **Mention explicite pour la personne concernée** : en application des l’article L. 311-3-1 et R. 311-3-1 du CRPA, lorsqu’une décision individuelle est prise sur le fondement d'un traitement algorithmique elle doit comporter une **mention explicite en informant l'intéressé**. Cette mention précise la finalité du traitement algorithmique ainsi que le droit pour l’intéressé de recevoir, s’il le demande, la communication des règles définissant ce traitement ainsi que les principales caractéristiques de sa mise en œuvre ; * **Une information individuelle à la demande de l'intéressé** : en application de l’article R. 311-3-2 du CRPA, lorsque la personne en a **fait la demande, l’administration communique** sous une forme intelligible : le degré et le mode de contribution du traitement algorithmique à la prise de décision, les données traitées et leurs sources, les paramètres de traitement et, le cas échéant, leur pondération, appliqués à la situation de l'intéressé ainsi que les opérations effectuées par le traitement : * **Accès et publication du code source** : les codes sources font parties des documents administratifs communicables (article L. 300-2 du CRPA) qui peuvent donc être communiqués à toute personne qui le demande ou encore qui sont diffusables en *open data*. Plus précisément, en principe il est **interdit de prendre une décision individuelle entièrement fondée sur un traitement automatisé** de données à caractère personnel (article 47 de la LIL).\ \ **Toutefois**, il est possible de le faire si certaines conditions sont respectées : * **Mention explicite pour la personne concernée** (*cf supra*) ; * L'administration doit s'assurer de la **maitrise du traitement algorithmique** et de ses évolutions pour **pouvoir expliquer**, en détail et de manière intelligible, la manière dont le traitement a été mis en œuvre à l'égard de la personne (ce qui permet d'informer individuellement l'intéressé à sa demande) ; * La décision **n'est pas un recours administratif** ; * La décision **n’est pas prise à partir de données sensibles** au sens du RGPD. ## 🇪🇺 Règlement européen sur l'intelligence artificielle (RIA) : qu'est ce que ça change ? Le RIA propose une approche fondée sur les risques pour les systèmes d'intelligence artificielle (SIA). #### ❌ Les pratiques interdites en matière d'IA Pour éviter des utilisation considérés comme néfastes ou abusives, **certaines IA sont rendues interdites**. Quelques exemples : * la notation sociale ; * la déduction des émotions d’une personne sur le lieu de travail ou dans un établissement d’éducation ; * la prédiction de risques criminels ; * la manipulation et l'exploitation de vulnérabilités ... #### 📌 Les SIA à haut risque Cette qualification résulte des **risques d'impacts négatifs de ces SIA sur la sécurité, la santé ou les droits fondamentaux.** Deux catégories coexistent : 1. **Les SIA qui répondent à deux conditions :** * ils constituent des composants de sécurité de produits relevant de certaines législations d’harmonisation de l’Union, ou sont eux-mêmes de tels produits ; * ils sont utilisés par un produit, ou sont eux-mêmes, soumis à une procédure d’évaluation de leur conformité par un organisme tiers conformément à la législation d’harmonisation de l’Union correspondante. *Exemple : une voiture, des jouets, l'aviation ...* 2. **Les SIA visés à l'annexe III du RIA** Quelques exemples : * les SIA destinés à être utilisés pour déterminer l’accès ou l’affectation de personnes physiques aux établissements d’enseignement et de formation professionnelle ; * Les SIA utilisés pour déterminer l'accès et le droit aux services privés essentiels et aux services publics et prestations sociales essentiels ... Peuvent déroger les SIA qui ne présentent pas de risques significatifs d'atteinte à la santé, à la sécurité aux droits fondamentaux des personnes physiques, y compris en n’influençant pas sensiblement le résultat d'une prise de décision. Si votre SIA est à haut risque certaines exigences, notamment avant sa mise sur le marché ou en service, devront être respectées. Certaines documentations techniques, de système de gestion des risques ou encore de mesures devront être accomplies. #### 🔎 Des obligations de transparence pour certaines SIA En raison de leurs risques spécifiques de manipulation, certains SIA devront répondre à des exigences de transparence, afin de renforcer la confiance des utilisateurs envers l'IA.\ Quelque exemple : * Lorsque le SIA est **destiné à interagir directement avec des personnes**, ils doivent être informés qu’ils interagissent avec ce SIA ; * Lorsque le SIA **génère des contenus de synthèse**, il doit indiquer et marquer que le contenu a été généré par SIA. A ces obligations de transparence prévues par le RIA viennent s'ajouter les éventuelles obligations précitées pour le cadre des données personnelles ou des décisions administratives. #### ▶️ Des SIA présentant un risque minimal Pour tous les autres SIA, aucune obligation spécifique n’est retenue au sein du RIA. Cependant, les développeurs et utilisateurs de SIA pourront volontairement choisir d’appliquer des exigences relatives à une IA en adhérant, notamment, à des **codes de conduite** #### 🎯 Obligations spécifiques pour les modèles d'IA à usage général dont les modèles IA génératifs Leur avantage premier est de servir un grand nombre de tâches diverses.\ Ces derniers ont des applications très diverses et constituent de plus en plus souvent la base de nombreux systèmes d'IA dans l'UE. Certains de ces modèles pourraient comporter des risques systémiques s'ils sont très puissants ou si leur utilisation est très répandue.\ \ Le RIA organise pour cette catégorie plusieurs niveaux d’obligations : * Pour les **modèles d’IA à usage général** : nous retrouvons des obligations de documentation et de transparence dans l’objectif de mieux comprendre le modèle lorsqu’il doit par exemple être intégré dans un SIA d’un fournisseur ; * Pour les **modèles d’IA à usage général présentant un risque systémique** : pour les fournisseurs, nous retrouvons des obligations d’évaluation des SIA en vue d’identifier et d’atténuer les risques systémiques. Le Bureau de l’IA encourage l’élaboration de **code de bonnes pratiques sur les IA Génératives** afin d’assurer le respect du règlement. ## Et le reste ? D'autres cadres juridiques pourront se voir appliquer tels que le choix de licence, l'open data des documents administratifs, ou encore des cadres relatifs à votre activité (code de l'environnement, code du travail ...). Seul votre service juridique sera en mesure de vous orienter et d'encadrer votre projet dès le début. Dans tous les cas, il sera nécessaire d'identifier le cadre juridique s'appliquant à votre utilisation d'un SIA et de documenter tous vos choix. Cette documentation sera nécessaire en cas de contrôle. {% hint style="info" %} 👉 pour aller plus loin, [Cellule de conformité de la DINUM ](https://ia.numerique.gouv.fr/ressources/cellule-conformit%C3%A9-ia/) {% endhint %} --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://guides.ia.numerique.gouv.fr/guides/guide-de-construction-dun-assistant-conversationnel-base-sur-du-rag/les-enjeux-juridiques.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.