La première étape d'un audit réglementaire des données synthétiques est de déterminer leur statut légal au regard de la loi fédérale suisse sur la protection des données. Ce statut dépend du niveau de risque de ré-identification résiduel : si ce risque est non négligeable, les données synthétiques peuvent être considérées comme des données personnelles et soumises aux obligations correspondantes. Notre équipe recommande de demander au fournisseur de la plateforme une analyse documentée du risque de ré-identification, décrivant les tests conduits, les résultats obtenus et les mesures de mitigation mises en place. En l'absence de cette documentation, l'équipe conformité doit conduire sa propre analyse ou mandater un tiers spécialisé. Cette vérification doit être conduite avant tout déploiement et mise à jour si les données d'entraînement du générateur ou la configuration du modèle changent.

Quelle que soit la conclusion de l'analyse de statut légal, l'équipe conformité doit documenter l'activité de génération et d'utilisation de données synthétiques dans le registre des activités de traitement de l'organisation. Cette documentation doit inclure la finalité du traitement, la description du processus de génération, le fournisseur de la plateforme, les données d'entraînement utilisées et leur origine, les mesures de sécurité mises en place, la durée de rétention des données générées et les personnes responsables du traitement. Notre équipe recommande de structurer cette entrée du registre de façon à pouvoir démontrer, en cas de contrôle par les autorités compétentes, que l'organisation a conduit une évaluation sérieuse des risques associés et a mis en place des mesures proportionnées aux risques identifiés.

La relation avec le fournisseur de la plateforme de données synthétiques doit être encadrée par un contrat qui répond aux exigences du cadre réglementaire suisse. Notre équipe recommande de vérifier que le contrat précise clairement les points suivants : qui détient les données synthétiques générées et les données d'entraînement utilisées, si le fournisseur peut utiliser les données de l'organisation pour améliorer ses propres modèles, les mesures de sécurité mises en place par le fournisseur pour protéger les données d'entraînement, les procédures de notification en cas d'incident de sécurité, et les conditions de résiliation et de suppression des données en cas de fin de contrat. Ces points sont souvent absents des contrats standards proposés par les fournisseurs et doivent être négociés explicitement.

Même si les données synthétiques présentent un risque de ré-identification jugé faible, leur accès doit être encadré par des mesures de contrôle appropriées. Notre équipe recommande de définir explicitement quelles équipes peuvent accéder aux données synthétiques, dans quel cadre, et avec quelle procédure d'autorisation. Ces mesures de contrôle d'accès doivent être documentées et régulièrement auditées. Nous recommandons également de mettre en place une procédure de traçabilité permettant d'identifier qui a accédé à quelles données synthétiques et pour quelle finalité. Cette traçabilité est particulièrement importante pour les données synthétiques utilisées dans des processus de décision réglementés, où l'auditabilité du processus peut être exigée par les autorités compétentes.

Le cadre réglementaire applicable aux données synthétiques est en évolution, et les pratiques des fournisseurs de plateformes évoluent également. Notre équipe recommande de planifier des révisions périodiques de la conformité, à une fréquence adaptée au niveau de risque identifié et aux évolutions réglementaires attendues. Ces révisions doivent vérifier si les conditions ayant fondé l'analyse initiale de statut légal ont changé — notamment si les données d'entraînement du générateur ont été mises à jour ou si la configuration du modèle a été modifiée. Elles doivent également suivre les évolutions du cadre réglementaire suisse et, le cas échéant, des lignes directrices publiées par les autorités compétentes sur le traitement des données synthétiques. Les résultats de ces révisions doivent être documentés et leurs conclusions intégrées dans les processus de gouvernance des données de l'organisation.