IA et protection des données

Le RGPD s’applique pleinement

Lorsqu’un système d’IA traite des données personnelles — dans les données d’entraînement, les requêtes, les résultats ou les journaux — tous les principes du RGPD s’appliquent. L’avis 28/2024 du Comité européen de la protection des données a confirmé que l’intérêt légitime ne peut fonder le développement et le déploiement de modèles d’IA qu’après un test documenté en trois étapes, et qu’un modèle entraîné sur des données personnelles n’est pas automatiquement anonyme. La limitation des finalités, la minimisation, l’exactitude et la transparence demandent une attention particulière, car les modèles peuvent mémoriser et restituer des données et produire des informations inexactes sur des personnes.

Ce que vérifie le DPO

• La base légale et la finalité de chaque usage de l’IA, y compris toute réutilisation de données pour l’entraînement.
• Une AIPD lorsque l’usage de l’IA est susceptible d’être à haut risque — technologie nouvelle, profilage et surveillance des salariés sont des déclencheurs fréquents.
• Les conditions du fournisseur : conservation des requêtes et des résultats, entraînement de modèles, transferts hors de l’EEE.
• Transparence et droits : informer les personnes de l’usage de l’IA et traiter les demandes d’accès, de rectification et d’opposition touchant aux résultats de l’IA.
• Les garanties de l’article 22 lorsque des décisions sont exclusivement automatisées et significatives.

La place de l’AI Act

L’AI Act encadre les systèmes d’IA selon le risque et le rôle. Les fournisseurs mettent des systèmes sur le marché ; les déployeurs les utilisent sous leur autorité. Certaines pratiques sont interdites depuis le 2 février 2025, dont la reconnaissance des émotions sur le lieu de travail et dans l’enseignement (sauf exceptions limitées) et la notation sociale. Les obligations de transparence de l’article 50 s’appliquent à partir du 2 août 2026, et les obligations relatives aux systèmes à haut risque suivent selon le calendrier modifié par l’Omnibus de 2026. Certains déployeurs d’IA à haut risque doivent réaliser une analyse d’impact sur les droits fondamentaux, qui peut s’appuyer sur l’AIPD. L’AI Act ne remplace pas le RGPD : les deux s’appliquent.