AIPD nLPD vs analyse d'impact ISO 42001 : comparaison

Deux exercices, un même mot

Le terme « analyse d'impact » circule aussi bien dans les cercles de la protection des données que dans ceux de la gouvernance de l'IA. Pour un responsable conformité ou un DPO en Suisse romande, la confusion est compréhensible : la nLPD impose une analyse d'impact relative à la protection des données personnelles (AIPD), tandis que la norme ISO/IEC 42001 exige, à la clause 6.1.4, une évaluation d'impact spécifique aux systèmes d'IA^[3]. Les deux portent le même nom générique, mais leurs finalités, leurs périmètres et leurs livrables divergent.

Cet article met les deux exercices côte à côte pour vous aider à déterminer quand chacun s'applique, où ils se recoupent et comment les articuler sans doubler le travail inutilement. Pour un panorama plus large des recoupements réglementaires, consultez la page ISO 42001 face à ISO 27001, AI Act et nLPD.

Périmètres comparés

L'AIPD de la nLPD porte sur un traitement de données personnelles susceptible d'engendrer un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. Son périmètre est défini par la nature des données et par la finalité du traitement. Qu'il y ait ou non de l'intelligence artificielle derrière le traitement ne change rien au déclencheur légal.

L'analyse d'impact au sens de la clause 6.1.4 d'ISO 42001 est d'une autre nature. Selon la description technique de la norme, elle demande de considérer les conséquences prévisibles et raisonnablement envisageables pour les individus, les groupes et la société dans le contexte d'utilisation du système d'IA^[3]. Ce périmètre dépasse la seule protection des données : il inclut les effets sur la sécurité, l'équité, la transparence, l'environnement ou encore l'emploi.

En d'autres termes, l'AIPD est un exercice centré sur la donnée personnelle. L'analyse d'impact ISO 42001 est un exercice centré sur le système d'IA et ses effets sociétaux au sens large^[1]. Un système d'IA qui ne traite aucune donnée personnelle (par exemple un modèle de maintenance prédictive sur des capteurs industriels) échappe à l'AIPD mais reste soumis à l'analyse d'impact ISO 42001 si l'organisation a adopté la norme.

Périmètre : AIPD nLPD vs analyse d'impact ISO 42001

Critère	AIPD nLPD	Analyse d'impact ISO 42001 (6.1.4)
Objet évalué	Traitement de données personnelles	Système d'IA dans son contexte d'utilisation
Risques visés	Atteinte à la personnalité et aux droits fondamentaux	Conséquences sur individus, groupes, société[3]
Base juridique / normative	Art. 22 nLPD (loi contraignante)	Clause 6.1.4 ISO/IEC 42001:2023 (norme volontaire)[1]
Champ d'application	Toute organisation traitant des données personnelles sous la nLPD	Organisations ayant adopté un SMIA[7]

Déclencheurs et seuils

La nLPD fixe un seuil clair : l'AIPD est requise lorsqu'un traitement est susceptible d'engendrer un risque élevé pour la personnalité ou les droits fondamentaux. La loi précise des situations types (profilage à risque élevé, traitement à grande échelle de données sensibles). L'obligation est légale, et son non-respect expose l'organisation à des sanctions.

Du côté ISO 42001, la norme ne fixe pas de seuil binaire « risque élevé / pas élevé ». Elle demande à l'organisation d'évaluer l'impact de chaque système d'IA couvert par le périmètre du SMIA, en identifiant les parties affectées, la gravité des conséquences et les mesures de traitement^[3]. La granularité de l'exercice dépend du contexte et de la politique IA de l'organisation. L'approche est proportionnelle, pas binaire.

Pour le DPO, la conséquence pratique est la suivante : un système d'IA à faible risque pour les données personnelles (pas d'AIPD requise) peut tout de même nécessiter une analyse d'impact ISO 42001 si ses effets sociétaux sont significatifs. L'inverse est aussi vrai : un traitement de données personnelles à haut risque qui n'implique aucun système d'IA déclenche l'AIPD mais pas l'analyse d'impact ISO 42001.

Contenu attendu de chaque analyse

AIPD selon la nLPD

L'AIPD doit décrire le traitement envisagé, évaluer les risques pour la personnalité et les droits fondamentaux, et présenter les mesures prévues pour les atténuer. Si le risque résiduel reste élevé, l'organisation peut être tenue de consulter le Préposé fédéral à la protection des données et à la transparence (PFPDT), sauf exception pour les organisations disposant d'un conseiller à la protection des données au sens de l'art. 10 nLPD.

Le livrable est un document structuré qui suit la logique « description du traitement, évaluation du risque, mesures d'atténuation, risque résiduel ». La loi ne prescrit pas de format, mais la pratique s'est alignée sur des canevas proches de ceux du RGPD.

Analyse d'impact selon ISO 42001 (clause 6.1.4)

La norme demande d'identifier les conséquences prévisibles et raisonnablement envisageables du système d'IA, d'identifier les parties affectées, d'évaluer la gravité des impacts et de définir des mesures de traitement^[3]. Elle exige également de prévoir une réévaluation lorsque le système ou son utilisation change. Pour approfondir le contenu de cette clause, l'article analyse d'impact IA : ce que la norme exige vraiment détaille les attentes point par point.

Le spectre des impacts est plus large que celui de l'AIPD. La norme couvre explicitement les aspects éthiques, légaux et sociétaux^[1], ce qui peut inclure l'impact environnemental, l'effet sur l'emploi, les biais algorithmiques ou la sécurité physique. Le livrable prend généralement la forme d'un registre d'impacts par système d'IA, rattaché à la déclaration d'applicabilité et au plan de traitement des risques.

La norme ISO/IEC 42005:2025, publiée en complément, fournit des orientations spécifiques pour mener cette évaluation d'impact^[3]. Elle n'est pas requise pour la certification, mais constitue une aide méthodologique utile.

Réévaluation et cycle de vie

Un point de divergence notable concerne la temporalité. L'AIPD de la nLPD est généralement réalisée avant la mise en service du traitement. Sa mise à jour n'est pas explicitement prescrite par la loi, même si la bonne pratique recommande de la réviser en cas de modification substantielle du traitement.

La clause 6.1.4 d'ISO 42001 intègre la réévaluation dans ses exigences : l'analyse doit être reprise lorsque le système d'IA ou son utilisation change^[3]. Cette logique s'inscrit dans le cycle PDCA (Plan-Do-Check-Act) qui structure l'ensemble du SMIA^[6]. Un modèle réentraîné, un changement de population cible ou une extension du périmètre d'utilisation déclenche une nouvelle itération de l'analyse.

Pour les organisations qui gèrent des systèmes d'IA évolutifs (apprentissage continu, mise à jour fréquente des modèles), cette exigence de réévaluation continue est plus contraignante que l'AIPD ponctuelle. Elle impose un processus vivant, pas un document figé. L'article sur la différence entre risques et analyse d'impact ISO 42001 clarifie comment ces deux exercices s'imbriquent dans la planification.

Zones de recouvrement

Les deux exercices se recoupent lorsqu'un système d'IA traite des données personnelles et présente un risque élevé pour les droits des personnes. Dans ce cas, l'organisation doit conduire les deux analyses. La bonne nouvelle : une partie du travail est mutualisable.

L'identification des parties affectées, l'évaluation de la gravité des conséquences et la définition des mesures d'atténuation sont des étapes communes. La description du système d'IA (finalité, données d'entrée, logique de fonctionnement, données de sortie) sert aux deux exercices. Un registre de traitement bien tenu alimente l'AIPD, et un inventaire des systèmes d'IA structuré selon la norme alimente l'analyse d'impact ISO 42001.

En revanche, les éléments spécifiques divergent. L'AIPD doit traiter de la base juridique du traitement, de la proportionnalité, des droits des personnes concernées (accès, rectification, opposition). L'analyse d'impact ISO 42001 doit couvrir des dimensions que l'AIPD ignore : impact sociétal au-delà des données personnelles, biais algorithmiques, sécurité du système, transparence envers les parties prenantes^[8].

Piège fréquent : fusionner sans précaution

Les démarches observées montrent une tentation récurrente : produire un seul document qui « couvre les deux ». L'intention est compréhensible (éviter la duplication), mais le risque est réel.

Un document unique qui mélange les exigences de la nLPD et celles d'ISO 42001 peut satisfaire partiellement chacune sans répondre pleinement à aucune. L'auditeur ISO cherchera la couverture des impacts sociétaux, la réévaluation systématique et le lien avec les contrôles de l'Annexe A^[7]. Le PFPDT ou un tribunal s'intéressera à la base juridique, à la proportionnalité et aux droits des personnes concernées.

L'approche recommandée consiste à maintenir un socle commun (description du système, identification des parties prenantes, évaluation de gravité) et deux volets distincts : un volet « protection des données » conforme à la nLPD, un volet « impact IA » conforme à la clause 6.1.4. Cette architecture modulaire permet de mutualiser sans confondre.

Exemple romand : chatbot RH d'une caisse de pension

Prenons le cas fictif d'une caisse de pension publique du canton de Vaud qui déploie un chatbot pour répondre aux questions des assurés sur leurs prestations. Le chatbot utilise un modèle de langage hébergé chez un fournisseur cloud et traite des données personnelles (nom, numéro AVS, situation familiale, montant des prestations).

Côté nLPD, le traitement implique des données personnelles à caractère sensible (données relatives à des mesures d'aide sociale) et un profilage potentiel (le chatbot adapte ses réponses au profil de l'assuré). Une AIPD est vraisemblablement requise. Elle devra couvrir la base juridique, la proportionnalité du recours à l'IA, les mesures techniques de protection et les droits d'accès des assurés.

Côté ISO 42001, l'analyse d'impact des systèmes d'IA devra aller plus loin : évaluer le risque de réponses erronées sur des prestations financières, l'impact d'un biais du modèle sur certaines catégories d'assurés, la dépendance envers le fournisseur cloud, et les conséquences d'une indisponibilité du service pour des personnes vulnérables^[3]. Elle devra aussi prévoir un mécanisme de réévaluation si le modèle est mis à jour ou si le périmètre d'utilisation s'étend à d'autres cantons.

Le socle commun (description du chatbot, données traitées, parties prenantes) alimente les deux analyses. Mais les volets spécifiques restent distincts : la nLPD exige la consultation du PFPDT en cas de risque résiduel élevé, tandis qu'ISO 42001 exige l'intégration des résultats dans le plan de traitement des risques du SMIA et dans la déclaration d'applicabilité^[3].

Articuler les deux dans la pratique

Gouvernance et responsabilités

L'AIPD relève typiquement du DPO ou du conseiller à la protection des données. L'analyse d'impact ISO 42001 relève du responsable du SMIA ou de la fonction de gouvernance IA. Dans les organisations de taille moyenne, ces rôles sont parfois portés par la même personne, ce qui facilite la coordination mais exige une rigueur accrue pour ne pas confondre les deux casquettes.

La norme ISO 42001 demande que les rôles, autorités et responsabilités soient clairement définis^[3]. Il est recommandé de désigner explicitement qui pilote chaque analyse et qui valide les résultats. Un RACI partagé entre le DPO et le responsable SMIA clarifie les interfaces.

Calendrier et déclencheurs

Pour les systèmes d'IA traitant des données personnelles, il est efficace de lancer les deux analyses en parallèle, dès la phase de conception. L'AIPD intervient avant la mise en service (obligation légale). L'analyse d'impact ISO 42001 accompagne le système tout au long de son cycle de vie^[8]. Prévoir un point de synchronisation à chaque modification substantielle du système évite les décalages.

Outillage et documentation

Un registre unique des systèmes d'IA, enrichi des métadonnées requises par les deux cadres, constitue la base. Pour chaque système, le registre peut contenir : la fiche descriptive (commune), le volet AIPD (si applicable) et le volet analyse d'impact IA (systématique dans le SMIA). Cette structure modulaire est auditable par les deux référentiels sans redondance excessive. Pour approfondir la préparation documentaire, voir préparer la déclaration d'applicabilité ISO 42001.

Limites de la comparaison

Il faut garder à l'esprit que la nLPD est une loi fédérale dont le non-respect entraîne des conséquences juridiques (amendes pénales pouvant atteindre CHF 250 000 pour les personnes physiques responsables). ISO 42001 est une norme volontaire^[1]. La certification est facultative et réalisée par des organismes indépendants^[4]. Les deux cadres ne jouent pas dans la même catégorie normative, et l'un ne dispense jamais de l'autre.

Le comparatif détaillé entre ISO 42001 et nLPD suisse approfondit les points de convergence et de tension au-delà de la seule analyse d'impact.

Questions fréquentes

À lire ensuite