Algoritmeregister aux Pays-Bas : transparence et IA dans les communes

Aux Pays-Bas, une commune qui utilise un algorithme pour trier des demandes, détecter des anomalies ou planifier des contrôles peut le décrire publiquement dans un registre national. Ce choix de transparence est assez rare en Europe pour mériter qu'on s'y arrête, surtout au moment où l'IA générative arrive dans les bureaux des administrations.

Cet article regarde comment fonctionne l'Algoritmeregister, ce qu'il nous apprend sur l'usage responsable de l'IA dans les communes, et pourquoi la transparence sur les algorithmes ne suffit pas à protéger les données que les agents saisissent chaque jour dans des assistants d'IA.

Un registre public lancé en décembre 2022

La première version du registre des algorithmes de l'administration néerlandaise a été mise en ligne en décembre 2022, sur le site algoritmes.overheid.nl. Son but : rendre les algorithmes publics plus faciles à trouver, expliquer comment ils fonctionnent et à quoi ils servent, et permettre au public d'en discuter. Le registre a démarré avec 109 algorithmes et en comptait 291 à la mi-février 2024, selon les chiffres relevés par la presse spécialisée des collectivités.

Au départ, l'inscription reposait sur le volontariat. Le gouvernement a annoncé dès décembre 2022, dans une lettre au Parlement, son intention d'en faire une obligation légale. L'Autoriteit Persoonsgegevens (AP), l'autorité néerlandaise de protection des données, coordonne de son côté la surveillance des algorithmes.

Ce que montrent les inscriptions des communes

Les communes sont parmi les contributeurs les plus actifs. Début 2024, Amsterdam déclarait 40 algorithmes, Utrecht 38, La Haye 29 et Rotterdam 11, tandis qu'une quarantaine d'autres communes en déclaraient entre un et cinq. Ces chiffres montrent surtout une chose : la transparence progresse par l'exemple, commune par commune, et beaucoup de collectivités n'avaient pas encore publié leurs algorithmes à fort impact.

Pour un chercheur ou un responsable de la sécurité, le registre est une source précieuse. Il montre quels types de traitements automatisés touchent les habitants, quelles données ils utilisent et qui en est responsable. Il donne aussi un modèle de documentation que d'autres organisations, publiques ou privées, peuvent reprendre.

Les outils du cadre néerlandais

Autour du registre, l'administration a construit plusieurs outils pour un usage responsable des algorithmes :

• l'Algoritmekader, un cadre qui rassemble les normes et mesures à respecter, développé par le ministère de l'Intérieur ;

• l'IAMA (Impact Assessment Mensenrechten en Algoritmes), une analyse d'impact sur les droits fondamentaux, mise à jour pour suivre la pratique et la réglementation ;

• l'analyse d'impact sur la protection des données (DPIA) prévue par le RGPD, obligatoire pour les traitements à risque élevé.

Ces outils ont un point commun : ils obligent à écrire noir sur blanc pourquoi on utilise un système, avec quelles données et sous quelle responsabilité. Cette discipline de documentation est exactement ce qui manque, dans beaucoup d'organisations, à l'usage quotidien de l'IA générative.

Le règlement européen sur l'IA ajoute une couche : les autorités publiques qui déploient des systèmes d'IA à haut risque devront les enregistrer dans une base de données européenne. Notre checklist sur le règlement IA et l'article 32 du RGPD détaille ces exigences.

L'IA générative, un angle mort du registre

Le registre décrit des algorithmes déployés par l'organisation. Il ne voit pas l'usage individuel d'un assistant d'IA par un agent qui reformule un courrier, résume un dossier ou traduit une demande. Or c'est là que les données personnelles des habitants circulent le plus facilement : noms, adresses, numéros de service citoyen (BSN), situations familiales ou sociales.

Le gouvernement néerlandais a pris position sur ce point. Dans un avis provisoire présenté au Parlement le 11 décembre 2023, il a indiqué que les outils d'IA générative non contractualisés ne respectaient en général pas de façon démontrable la législation sur la vie privée et le droit d'auteur, et que les organisations de l'État ne devaient en principe pas les utiliser en cas de risque d'infraction. Chaque cas d'usage doit faire l'objet d'une DPIA et d'une analyse d'impact sur les algorithmes, comme l'IAMA. Ce texte vise l'administration centrale ; l'association des communes (VNG) a indiqué que les communes couraient probablement des risques juridiques comparables.

Ce que les communes peuvent faire concrètement

1. Recenser les assistants d'IA réellement utilisés par les agents, y compris les comptes personnels.

2. Documenter les usages autorisés comme on documente un algorithme : finalité, données, responsable.

3. Réaliser une DPIA pour chaque cas d'usage impliquant des données d'habitants.

4. Protéger à la source : détecter un BSN, une adresse ou un nom avant l'envoi vers l'IA et le remplacer par une valeur fictive.

5. Conserver des preuves des incidents évités, utiles en cas de contrôle de l'AP.

Notre premier article sur le pays revenait sur les fuites de données par chatbot signalées à l'AP. Ces incidents illustrent bien ce que le registre ne capte pas. Pour comprendre leur mécanique, voir aussi l'anatomie d'une fuite de données par l'IA et le vrai coût de l'IA fantôme.

En résumé

L'Algoritmeregister fait des Pays-Bas un cas d'étude utile pour toute organisation qui veut rendre ses algorithmes lisibles. Mais la transparence sur les systèmes déployés doit s'accompagner d'un contrôle des usages quotidiens de l'IA générative, là où les données des habitants peuvent sortir sans bruit.

Pour une commune, la bonne question n'est donc pas seulement « quels algorithmes publions-nous ? », mais aussi « quelles données nos agents confient-ils chaque jour à des outils externes ? ».

ZeusLock détecte et anonymise les données personnelles dans les prompts et fichiers avant leur envoi vers les assistants d'IA, et fournit un journal des incidents pour vos analyses d'impact. Demandez une démo pour votre organisation.