Étape 1 : vérifier que vous en avez le droit
Commencez par la propriété. Les données créées par votre entreprise dans le cadre de sa propre activité peuvent généralement être concédées sous licence. Les données que vous détenez pour des clients, les plans fournisseurs sous accord de confidentialité et les contenus obtenus sous licence auprès de tiers ne le peuvent généralement pas sans consentement. Passez en revue vos contrats clients, accords de confidentialité, contrats de travail et licences logicielles à la recherche de clauses sur l’usage des données.
Étape 2 : traiter les informations personnelles
| Juridiction | Point clé | Source |
|---|---|---|
| UE / Royaume-Uni (RGPD) | Les données pseudonymisées restent des données personnelles ; les données réellement anonymes sortent du champ du RGPD. Les autorités placent la barre haut pour l’anonymat dans les modèles d’IA. | Considérant 26 ; Avis 28/2024 du CEPD |
| Japon (APPI, loi sur la protection des informations personnelles) | Les informations traitées sous pseudonyme ne peuvent généralement pas être communiquées à des tiers ; les informations traitées de manière anonyme le peuvent, avec publication des catégories et de la méthode. | DLA Piper |
| Hong Kong (PDPO, ordonnance sur les données personnelles) | L’utilisation de données personnelles pour une nouvelle finalité nécessite un consentement exprès ; l’autorité considère la vente de données comme une nouvelle finalité. | PCPD, DPP3 |
| Taïwan (PDPA, loi sur la protection des données personnelles) | Tout usage au-delà de la finalité initiale exige une base légale ou un consentement ; les normes de désidentification sont moins précises. | Commentaire |
| Chine continentale (PIPL, loi sur la protection des informations personnelles) | Les informations anonymisées ne sont pas des informations personnelles ; les transferts transfrontaliers entraînent des obligations de consentement et d’évaluation. | Jones Day |
| Singapour (PDPA, loi sur la protection des données personnelles) | Les lignes directrices 2024 de la PDPC traitent du consentement, des exceptions et de l’anonymisation dans les systèmes d’IA. | PDPC |
Il s’agit d’informations générales, et non d’un conseil juridique. Consultez un avocat de votre juridiction avant de signer.
Étape 3 : planifier la désidentification
Décidez qui supprime les informations personnelles, à quel moment et selon quelle norme. Les pratiques varient : Google a exigé que les données de Spirit Airlines soient expurgées des informations personnelles ; d’autres acheteurs indiquent les supprimer ou les transformer eux-mêmes après le transfert. Si la sortie de données personnelles brutes de votre entreprise pose problème au regard de votre droit, exigez la désidentification avant toute livraison.
Étape 4 : formaliser le périmètre par écrit
- Systèmes, équipes et périodes inclus.
- Clients, projets, personnes ou types de données exclus.
- Le format et le volume de la copie.
- Qui réalise l’extraction, et où les données sont traitées.
Étape 5 : obtenir les validations internes
Identifiez qui peut autoriser une licence : associés, dirigeants, et parfois une société mère ou un prêteur. Informez la DSI et la personne qui gère les contrats clients. Dans l’évaluation Calto Data, nous demandons si votre entreprise peut autoriser l’utilisation de ses données, afin de repérer tôt les questions d’autorisation.
Questions fréquentes
Faut-il anonymiser les données avant de les concéder sous licence ?
La loi ne l’impose pas toujours, mais c’est l’approche la plus sûre. Si des données personnelles sont conservées, il vous faut une base légale et souvent un consentement, selon la juridiction.
Des données pseudonymisées suffisent-elles au regard du RGPD ?
Non. Les données pseudonymisées restent des données personnelles au sens du RGPD. Seules les données qui ne permettent plus d’identifier une personne sortent de son champ.
Une entreprise japonaise peut-elle concéder des données à une société d’IA américaine ?
Oui, mais les informations personnelles doivent être traitées conformément à l’APPI, y compris ses règles sur la communication à des tiers et à l’étranger. Les informations traitées de manière anonyme sont soumises à des règles plus légères.
Avons-nous besoin du consentement de nos clients ?
Si les données contiennent des informations personnelles ou confidentielles de clients, généralement oui, sauf si elles sont supprimées ou si vos contrats autorisent déjà cet usage.