Un droit d'accès, une explication de décision automatisée, un droit à l'effacement : trois demandes qu'un délégué à la protection des données ne peut pas traiter par une recherche manuelle dans les systèmes de production, sauf à risquer l'erreur et le délai.
Ce scénario est fictif, mais représentatif des demandes que reçoit aujourd'hui tout DPO. Il sert ici de fil conducteur, centré uniquement sur les obligations RGPD, pour montrer comment KARL Core y répond : droit d'accès, explication d'une décision automatisée et droit à l'effacement.
Le contexte : deux demandes reçues par le DPO de Kelenia Crédit
Kelenia Crédit traite des données personnelles pour instruire des demandes de crédit à la consommation, en partie avec le concours d'un agent, ARIA. Le délégué à la protection des données (DPO) reçoit régulièrement deux types de demandes distinctes : des demandes d'accès et d'explication d'une décision automatisée (articles 15 et 22 du RGPD), et des demandes d'effacement (article 17).
Le 2 avril 2026, M. Reyval demande communication des données ayant fondé le refus de son dossier DOS-2026-0847 et une explication de la logique sous-jacente à cette décision automatisée. Le 8 septembre 2026, un prospect démarché par erreur, M. Castagnier, demande l'effacement de son profil commercial. Ce document suit, écran par écran, comment le DPO traite ces deux demandes dans KARL MX sans dépendre d'une recherche manuelle dans les systèmes de production.
Le droit d'accès et l'explication d'une décision automatisée (art. 15 et 22)
La Memory Layer conserve, pour chaque état d'une ressource, les informations nécessaires à une réponse RGPD complète : la finalité du traitement, la base légale, les catégories de données concernées, la durée de conservation prévue et, lorsqu'une décision individuelle automatisée a été rendue, la politique exacte qui en constitue la logique sous-jacente.
Pour documenter précisément la logique sous-jacente exigée par l'article 22, le DPO interroge ensuite le RAG gouverné : quelles données précises ont été utilisées, dans quelle version, sans qu'aucune ne soit substituée à une version ultérieure.
Répondre au droit d'accès avec un Evidence Pack de type decision
Lorsque la réponse doit être remise à la personne concernée ou à son conseil sous une forme qui reste vérifiable après coup, le DPO produit un Evidence Pack de type decision : un périmètre scellé et signé, limité aux données ayant fondé la décision, avec toute omission déclarée explicitement — ici, la donnée d'un tiers co-titulaire du dossier n'est pas incluse.
Cette réponse satisfait l'obligation de transparence sans jamais exposer plus que ce que la demande autorise : le profil de divulgation « audit » permet de déclarer une omission typée plutôt que de bloquer l'export dans son ensemble.
Le droit à l'effacement et sa preuve (art. 17)
La seconde demande pose une exigence différente : prouver qu'une donnée a été supprimée, sans la réexposer. KARL Core répond par un Evidence Pack de type deletion, dont le contenu se limite à des empreintes, des horodatages et l'identité de l'événement de suppression — jamais à la donnée personnelle elle-même.
Ce que cela change, par fonction dans l'entreprise
| Fonction | Enjeu | Réponse apportée |
|---|---|---|
| Délégué à la protection des données (DPO) | Répondre dans les délais légaux à un droit d'accès, d'explication ou d'effacement | Fiche RGPD et citations exactes réunies en quelques écrans, sans recherche manuelle |
| Conformité et gouvernance IA | Documenter la logique sous-jacente d'une décision automatisée sans reconstitution approximative | Citations exactes (kind, stable_id, version) et politique appliquée, jamais déduites après coup |
| Direction juridique | Prouver une suppression de données sans réexposer la donnée elle-même | Evidence Pack de type deletion : preuve par empreinte et horodatage, contenu jamais restitué |
| Direction des systèmes d'information | Ne pas multiplier les extractions manuelles dans les systèmes de production pour chaque demande | Export scellé, borné à un périmètre précis, avec omissions déclarées plutôt que silencieuses |
En résumé
Les deux demandes traitées dans ce scénario illustrent une même mécanique appliquée à deux articles différents du RGPD : la Memory Layer conserve, pour chaque ressource, les informations nécessaires à une réponse complète ; le RAG gouverné cite exactement les données utilisées par une décision automatisée ; l'Evidence Pack transforme cette mémoire en une preuve scellée, calibrée au strict périmètre autorisé par le type de demande.
Le pack_type distingue précisément l'objet de la preuve : decision pour justifier une décision individuelle, deletion pour attester une suppression sans la réexposer. Dans les deux cas, toute omission est déclarée et jamais silencieuse.
Glossaire rapide
| Terme | Signification |
|---|---|
| Droit d'accès (art. 15) | Droit d'obtenir communication des données personnelles traitées et des informations associées |
| Décision individuelle automatisée (art. 22) | Décision produite sans intervention humaine, dont la logique sous-jacente doit être explicable |
| Droit à l'effacement (art. 17) | Droit d'obtenir la suppression de données personnelles, sous certaines conditions |
| pack_type: decision | Type d'Evidence Pack destiné à justifier une décision individuelle contestée ou demandée |
| pack_type: deletion | Type d'Evidence Pack destiné à prouver une purge de données, sans la réexposer |
| Profil de divulgation « audit » | Permet de déclarer des omissions typées (données non autorisées) plutôt que de bloquer l'export |
Kelenia Crédit, le dossier DOS-2026-0847 et les demandeurs M. Reyval et M. Castagnier sont fictifs. Les captures proviennent de l'interface KARL MX exécutée sur un jeu de données de démonstration : la mécanique montrée est réelle, les données ne le sont pas.
