Comment gérer les demandes d'accès et d'effacement quand des données sont passées par une IA ?
En bref
Les personnes ont le droit d'accéder aux données que vous détenez sur elles (article 15 du RGPD) et, dans certains cas, le droit à l'effacement (art. 17). Cela vaut aussi pour les prompts, les réponses et les rapports où l'IA a été utilisée. Vous devez répondre dans les meilleurs délais et au plus tard dans un délai d'un mois. C'est bien plus simple si le service d'IA n'a vu que des pseudonymes : les vraies données sont regroupées chez vous, et supprimer la clé coupe le lien.
Pourquoi la pseudonymisation aide
Sans pseudonymisation, le nom d'une personne peut figurer dans des centaines de conversations d'un service d'IA, dans lesquelles vous ne pouvez pas faire de recherche. Avec GoalCube, les vraies données sont regroupées dans l'UE, l'IA n'a vu que des codes, et vous trouvez tout ce qui concerne une personne au même endroit.
Comment faire
- Vérifiez l'identité.Mais n'exigez pas plus que nécessaire.
- Cherchez les données partout.Y compris dans les rapports d'IA, les décisions et les journaux.
- Expliquez les décisions automatisées.Si l'IA a pesé sur une décision, la logique doit être expliquée.
- Répondez dans un délai d'un mois.Le délai peut être prolongé de deux mois pour les demandes complexes, mais la personne doit en être informée.
- Effacez quand il n'y a plus de base légale.Et pensez à l'historique du service d'IA.
Ce que dit la loi
- Articles 12 et 15 du RGPD – droit d'accès
- Délai d'un mois ; information sur les décisions automatisées.
- Article 17 du RGPD – droit à l'effacement
- Le « droit à l'oubli », avec des exceptions.
- Article 86 du RIA
- Droit à l'explication du rôle de l'IA dans les décisions prises avec une IA à haut risque.
Questions et réponses
Devons-nous faire effacer des données chez OpenAI ou Anthropic ?
Oui, s'ils détiennent des données personnelles que vous devez effacer. Avec la pseudonymisation, ils n'ont que des codes – et ces codes ne disent rien sans la clé, qui reste chez vous.
Et le journal d'audit ?
Un journal des décisions peut avoir une base légale pour être conservé, par exemple à titre de preuve. Prévoyez-le dans votre politique de conservation.
Sources
Rédigé par La rédaction GoalCube. Dernière mise à jour 11 octobre 2026. GoalCube vous aide à respecter l’AI Act et le RGPD. Ce n’est pas un conseil juridique.
Soyez parmi les premiers.
Le lancement est prévu en novembre 2026. Inscrivez-vous : nous vous contacterons dès que vous pourrez commencer.