Analyse d'impact relative à la protection des données
Évaluation préalable obligatoire lorsque le traitement envisagé est susceptible d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées (art. 22 nLPD).
Quand une AIPD est-elle requise ?
L'article 22 nLPD impose au responsable du traitement (votre cabinet) de procéder à une analyse d'impact préalable lorsque le traitement envisagé est susceptible d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux. Un risque élevé est notamment présumé dans les cas suivants :
- Traitement à grande échelle de données sensibles (art. 5 let. c nLPD)
- Surveillance systématique d'une zone publique ou semi-publique
- Profilage à risque élevé entraînant des décisions individuelles automatisées
- Mise en relation de fichiers contenant des données personnelles
- Utilisation de nouvelles technologies (dont l'intelligence artificielle générative)
Le traitement de données par une IA générative dans le cadre d'une étude d'avocats — même avec souveraineté technique et hébergement suisse — relève généralement de l'art. 22 nLPD en raison de la sensibilité des données traitées (correspondance protégée par le secret professionnel art. 13 LLCA, données de procédures, données pénales ou de santé éventuelles). Une AIPD documentée est recommandée.
L'AIPD Souverain IA pour votre cabinet
Souverain IA fournit à chaque cabinet client une AIPD pré-instruite couvrant les automatisations déployées. L'AIPD reste sous la responsabilité finale du responsable du traitement (votre cabinet), mais le travail technique d'analyse est mutualisé.
Le document couvre :
- Description du traitementfinalités, fonctionnement, durée, périmètre des automatisations
- Évaluation de la nécessité et proportionnalitéjustification que le traitement est nécessaire et proportionné aux finalités poursuivies
- Évaluation des risquesidentification des risques pour les personnes concernées (atteinte à la confidentialité, intégrité, disponibilité, usage abusif)
- Mesures de protection mises en œuvrechiffrement, isolation tenant, validation humaine, journal d'audit, RAG fermé sur vos données
- Évaluation du risque résiduelrisques persistants après mise en œuvre des mesures, et justification de leur acceptabilité
- Avis de consultationsi applicable : avis du PFPDT préalable au traitement (art. 23 nLPD)
Méthode "bac à sable" — Sandbox de validation
Avant tout traitement de données réelles, chaque automatisation est testée dans un environnement isolé (sandbox) avec des données fictives ou anonymisées. Aucune donnée client réelle n'est traitée tant que :
- Le périmètre de l'automatisation a été validé par le cabinet
- Les sorties sandbox sont contrôlées et validées manuellement
- Le journal d'audit et les mesures de sécurité sont opérationnels
- L'AIPD est documentée et signée
Cette méthode garantit qu'aucune donnée sensible ne quitte votre infrastructure avant que la robustesse de l'automatisation n'ait été démontrée en environnement contrôlé.
Quand l'AIPD est-elle réalisée ?
L'AIPD est instruite pendant la phase de cadrage technique (entre la signature du contrat et la mise en production), avant toute exécution avec des données réelles. Pour les cabinets pilotes, elle est livrée en même temps que le cahier des charges initial.
Téléchargement du modèle d'AIPD
Le modèle d'AIPD Souverain IA suit la trame recommandée par le PFPDT et les bonnes pratiques d'analyse d'impact pour les systèmes d'IA générative.
Le DPA (art. 9 nLPD) formalise la sous-traitance ; l'AIPD (art. 22 nLPD) documente le risque. Pour les cabinets d'avocats traitant des données protégées par le secret professionnel, les deux documents sont systématiquement fournis dans le cadre d'une collaboration avec Souverain IA. Voir le DPA →