Réponse · Étape 1
Comment cartographier les flux de données de ses systèmes d’IA ?
La cartographie consiste à documenter, pour chaque système d’IA, quatre informations : les catégories de données susceptibles d’être transmises, l’entité juridique destinataire, le pays de traitement effectif et les sous-traitants ultérieurs. C’est la première étape de la méthode EDPB et le préalable à toute analyse de transfert.
Trois sources d’exposition à couvrir
- Les outils souscrits officiellement (part minoritaire de l’exposition réelle).
- Les usages non déclarés (flux réseau, dépenses carte, sondage interne sans posture répressive).
- L’IA embarquée, souvent activée par défaut dans une mise à jour — la source la plus difficile et l’une des plus significatives.
Le piège principal
- S’arrêter au contrat de premier rang. La granularité utile est le sous-traitant ultérieur, pas le contrat.
Comment démarrer sans y passer un trimestre
- Commencer par les cinq systèmes traitant les données les plus sensibles, les documenter complètement, en tirer la méthode, puis étendre. Une cartographie partielle mais fiable vaut mieux qu’une cartographie exhaustive et périmée.
Le critère de réussite
- Répondre en moins de dix minutes à : quels systèmes d’IA transfèrent des données hors UE, et sur quel fondement ? Si la réponse demande une enquête, ce n’est pas encore un dispositif.
Le guide complet : méthode en 6 étapes, mesures supplémentaires, plan de repli.
Lire le guideVoir aussi : Toutes les réponses · Checklist transferts IA · Comparatif des mécanismes