Voir où j'en suis, avant d'écrire la première ligne de code

Que fait votre système ?

Plusieurs réponses possibles — un produit fait souvent deux choses à la fois.

À qui s'adresse-t-il ?

Plusieurs réponses possibles. C'est le public le plus fragile qui commande vos obligations.

Quelles données traite-t-il ?

Une seule réponse : celle qui va le plus loin. Si vous traitez à la fois des données ordinaires et des données de santé, c'est la santé qui décide.

Quel modèle utilisez-vous ?

Entraînez-vous le modèle ?

Où tourne votre infrastructure ?

« Je ne sais pas » est une réponse valide, et c'est même une information utile.

Sur quoi repose votre droit de traiter ces données ?

Le RGPD (Art. 6) exige que chaque traitement ait une justification, choisie parmi une liste fermée. Sans elle, aucune autre question n'a d'importance.

Combien de personnes l'utiliseront dans les douze prochains mois ?

Une estimation suffit. Le seuil qui compte est 10 000 : au-delà, on parle de « grande échelle ».

Où se trouvent vos utilisateurs ?

Votre système prend-il une décision qui a des conséquences réelles pour une personne ?

Accorder ou refuser un crédit, un emploi, un accès, une sanction. Si un humain valide chaque décision, répondez non.

Votre cas d'usage touche-t-il au recrutement, à l'éducation, au crédit, à la santé, à la justice, aux infrastructures critiques ou à l'identification biométrique ?

Ce sont les domaines que l'AI Act classe à haut risque (Annexe III).

Fabriquez-vous ce système, ou l'utilisez-vous ?

C'est la question qui décide de tout le reste sur la transparence. Fabriquer un système et en utiliser un conçu par quelqu'un d'autre n'entraînent pas les mêmes obligations — et c'est le contresens le plus répandu du marché.

Publiez-vous des images, vidéos ou sons qui représentent des personnes réelles de façon trompeuse ?

Publiez-vous des textes destinés à informer le public sur des sujets d'intérêt général ?

Votre système reconnaît-il des émotions, ou classe-t-il des personnes à partir de données biométriques ?

Vos utilisateurs installent-ils quelque chose sur leur machine ?

Application de bureau ou mobile, extension de navigateur, ligne de commande, paquet, image conteneur. Si tout se passe dans un navigateur, répondez non. La gratuité ne change rien à la réponse.

Vos clients peuvent-ils exporter leurs données dans un format réutilisable ?

Votre contrat prévoit-il ce qui se passe s'ils partent — délai, format, assistance ?

Dépendez-vous d'un fournisseur dont vous ne pourriez pas sortir ?

Le verrou que vous subissez, vos clients le subissent aussi.

Votre activité relève-t-elle d'un de ces secteurs ?

Ces secteurs portent leurs propres régimes, qui s'ajoutent au RGPD et à l'AI Act — et qui dépassent ce que ce pré-diagnostic couvre.