IA et protection des données en Autriche : le DSG et la DSB

En Autriche, IA et protection des données vont ensemble. Le RGPD s'applique, plus la loi nationale sur la protection des données (DSG). Le contrôle revient à l'autorité de protection des données (DSB). Qui saisit des données personnelles dans une IA doit avoir une base légale et limiter les données. En bref : l'IA est permise, mais avec des règles claires.

Le RGPD et le DSG en Autriche

Deux niveaux s'appliquent en même temps en Autriche. Le RGPD est le socle européen. Le DSG national le complète. Selon le DSG, certains points sont précisés.

• Le RGPD s'applique directement dans tous les pays de l'UE, dont l'Autriche.
• Le DSG le complète, par exemple pour les données au travail.
• Selon le DSG, les salariés ont un devoir de secret des données (§ 6 DSG).
• En Autriche, la protection des données a même valeur constitutionnelle (§ 1 DSG, droit fondamental à la protection des données).
• Les deux niveaux s'appliquent en parallèle à l'usage de l'IA.

L'autorité de protection des données (DSB)

La DSB est l'autorité de contrôle centrale en Autriche. Elle veille au respect du RGPD et du DSG. En cas de manquement, elle peut agir.

• La DSB est l'autorité nationale de protection des données.
• Elle examine les plaintes des personnes concernées.
• Elle peut ouvrir des procédures et infliger des amendes RGPD.
• Elle publie des décisions et des lignes directrices.
• Les entreprises doivent documenter leurs décisions et traitements.

Base légale et minimisation des données

Chaque usage d'IA a besoin d'une base légale. L'art. 6 RGPD liste les bases possibles. L'art. 5 RGPD exige aussi la minimisation. Selon OpenAI, les saisies des clients professionnels ne servent pas à entraîner ses modèles par défaut. Vérifiez-le tout de même dans la documentation à jour.

• Chaque traitement a besoin d'une base légale au sens de l'art. 6 RGPD.
• L'art. 5 RGPD exige la minimisation : seulement ce qui est nécessaire.
• Il faut un AVV avec le fournisseur d'IA au sens de l'art. 28 RGPD.
• Les décisions automatisées sont encadrées par l'art. 22 RGPD.
• Vérifiez si le fournisseur utilise vos saisies pour l'entraînement.

Ce qui ne doit pas aller dans une IA ouverte

Certaines données sont très protégées. L'art. 9 RGPD dresse une liste exhaustive de ces catégories. Un simple nom n'en fait pas partie.

• Les catégories particulières de l'art. 9 RGPD sont très protégées.
• Elles couvrent la santé, l'origine, la religion, la biométrie et plus.
• Un simple nom ou une adresse ne relève pas de l'art. 9.
• Ces données sensibles ne doivent pas aller dans une IA ouverte.
• Réduisez les données personnelles avant chaque saisie.

Étapes pratiques pour les entreprises

La protection des données face à l'IA se planifie bien. Quelques étapes fixes aident au quotidien. Elles vous gardent aussi prêt à répondre à la DSB.

1. 1Définissez la base légale pour chaque usage d'IA.
2. 2Signez un AVV avec le fournisseur.
3. 3Minimisez les données : pseudonymisez avant l'envoi.
4. 4Documentez vos décisions pour la DSB.
5. 5Formez votre équipe à l'usage de l'IA.

C'est là qu'un outil comme ONYRI Sanitize aide. Il détecte les données sensibles dans le texte et les remplace par des jetons réversibles avant que le texte n'atteigne l'IA. La table de correspondance reste dans le navigateur et n'est jamais envoyée à un serveur. Après la réponse, les vraies valeurs sont restaurées. Point important et honnête : c'est de la pseudonymisation, pas de l'anonymisation. Les données pseudonymisées restent des données personnelles (considérant 26 du RGPD). ONYRI réduit l'exposition des données, mais ne remplace ni un AVV ni une base légale.

En Autriche, IA et protection des données ne s'opposent pas. Avec le RGPD, le DSG et le contrôle de la DSB, les règles sont claires. Minimisez vos données et documentez vos choix : vous utilisez l'IA plus sûrement.