Jusqu’où va la responsabilité du DPO face à un Shadow AI dont il ignore l’existence ?
## Responsabilité du DPO face au Shadow AI
Responsabilité du DPO face au Shadow AI
Le Délégué à la Protection des Données (DPO) n'est pas tenu d'être omniscient, mais doit démontrer qu'il a mis en place des mécanismes raisonnables pour détecter et encadrer les traitements de données. En cas d'usage non déclaré d'un outil d'IA par un salarié ou une équipe, la responsabilité formelle demeure celle de l'entreprise, en tant que responsable de traitement. Toutefois, un DPO qui n'aurait pas instauré de procédures de veille, d'audit ou de sensibilisation pourrait être mis en cause pour manquement à ses obligations de conseil et de contrôle.
Instaurer des audits réguliers de l'usage des applications SaaS et IA. Mettre en place un canal de signalement interne pour les employés. Sensibiliser les managers à déclarer tout nouvel outil utilisé.
RGPD article 39 (missions du DPO : information, conseil, contrôle), article 24 (responsabilité du responsable de traitement).
Le Délégué à la Protection des Données (DPO) n'est pas tenu d'être omniscient, mais doit démontrer qu'il a mis en place des mécanismes raisonnables pour détecter et encadrer les traitements de données.
Mettre en œuvre des outils de détection tels que les logs SSO, CASB, et audits navigateurs. Organiser des campagnes de sensibilisation trimestrielles. Intégrer un point « usages IA » dans le registre de traitement.
D’après FrenchWeb.
