Wortlaut

L’article 21bis est ajouté à la loi du 25 septembre 2020 sur la protection des données. Il a la teneur suivante :

Artikel 21bis Devoir d’informer en cas d’utilisation d’intelligence artificielle

1. Le responsable du traitement informe la personne concernée de toute décision qui repose principalement sur l’intelligence artificielle et qui a des effets juridiques pour elle ou l’affecte de manière significative (décision individuelle reposant sur l’IA).

2. Si la personne concernée le demande, le responsable du traitement lui donne la possibilité de faire valoir son point de vue. La personne concernée peut exiger que la décision individuelle reposant sur l’IA soit revue par une personne physique.

3. Les alinéa 1 et 2 ne s’appliquent pas dans les cas suivants :

a. la décision individuelle reposant sur l’IA est en relation directe avec la conclusion ou l’exécution d’un contrat entre le responsable du traitement et la personne concernée et la demande de cette dernière est satisfaite ;

b. la personne concernée a expressément consenti à ce que la décision repose sur l’IA.

4. Si la décision individuelle reposant sur l’IA émane d’un organe fédéral, ce dernier doit la qualifier comme telle. L’alinéa 2 ne s’applique pas lorsque la personne concernée ne doit pas être entendue avant la décision conformément à l’article 30, alinéa 2, de la loi fédérale du 20 décembre 1968 sur la procédure administrative (PA) ou en vertu d’une autre loi fédérale.

Begründung

La numérisation, et en particulier l’automatisation des processus et des procédures, a pour conséquence que les décisions humaines reposent de plus en plus souvent sur des systèmes algorithmiques. Il convient de distinguer différents niveaux d’automatisation :

a. les systèmes entièrement automatisés exécutent eux-mêmes, c’est-à-dire sans intervention humaine, chaque étape jusqu’à la décision ;

b. les systèmes partiellement automatisés peuvent quant à eux fournir une aide décisionnelle ou aider à l’établissement des faits. Ainsi, un système peut par exemple chercher des informations, les rassembler et les évaluer. Et les résultats ainsi obtenus peuvent, mais ne doivent pas obligatoirement, être pris en compte par la personne physique qui prend la décision. La décision définitive appartient donc à un humain.

Il est (théoriquement) imaginable d’utiliser l’intelligence artificielle (IA) pour les systèmes automatisés et semi-automatisés. Toutefois, l’IA est bien plus souvent utilisée dans les procédures semi-automatisées (en particulier comme aide décisionnelle) que dans les procédures qui ne nécessitent aucune intervention humaine.

Or, pour la personne concernée, une décision semi-automatisée reposant sur l’IA peut justement avoir des conséquences aussi graves qu’une décision entièrement automatisée.

La version actuelle de la loi sur la protection des données prévoit une qualification spécifique et certains droits pour la personne concernée uniquement en cas de décision automatisée (art. 21 nLPD), ce qui n’est pas suffisant compte tenu des défis posés par l’IA. C’est pourquoi il est judicieux d’ajouter un article 21bis à la loi. La notion d’IA n’est pas encore clairement définie, mais elle le sera bientôt dans une ordonnance sur l’IA que l’Union européenne s’apprête à édicter et dans une convention du Conseil de l’Europe sur l’IA.