Réponse · Mesures EDPB
Quelles mesures supplémentaires pour sécuriser un transfert IA ?
Les mesures supplémentaires se répartissent en trois familles (EDPB rec. 01/2020) : techniques, organisationnelles, contractuelles. Pour l’IA générative, la plus efficace est le filtrage des données en amont du modèle — elle réduit le risque à la source, indépendamment de l’évolution juridique.
Mesures techniques
- Filtrage en amont : empêcher qu’un identifiant, une donnée de santé ou un extrait RH parte dans un prompt.
- Pseudonymisation avant transmission (table de correspondance conservée dans l’UE).
- Chiffrement avec clés conservées par l’exportateur — portée limitée pour l’IA (un modèle ne traite pas un contenu illisible).
Mesures organisationnelles
- Politique d’usage documentée, restriction des systèmes par catégorie de données, formation tracée, journalisation des usages sensibles.
Mesures contractuelles
- Non-réutilisation pour l’entraînement, notification en cas de demande d’autorité, contestation des demandes disproportionnées, transparence sur la localisation et les sous-traitants, droit d’audit.
Le point de vigilance
- Une mesure purement contractuelle ne suffit pas si le droit local permet l’accès malgré le contrat. D’où la fragilité d’une TIA fondée sur les seules garanties contractuelles.
Le guide complet : méthode en 6 étapes, mesures supplémentaires, plan de repli.
Lire le guideVoir aussi : Toutes les réponses · Checklist transferts IA · Comparatif des mécanismes