Là où l’IA rencontre la protection des données personnelles
La plupart des projets d’intelligence artificielle en entreprise font intervenir, à un moment ou à un autre, des données personnelles : données clients pour des modèles de segmentation, données salariés pour des outils RH, données patients pour l’aide au diagnostic, ou données de comportement pour la personnalisation. Tout projet d’IA mené par une entreprise européenne doit donc respecter à la fois le Règlement général sur la protection des données (RGPD) et, depuis 2025, le règlement européen sur l’IA (AI Act).
Pour les entreprises, cette double obligation n’est pas un obstacle insurmontable, mais elle exige une démarche structurée qui intègre la protection des données dès la conception, et non comme un ajout en fin de projet.
Le RGPD appliqué aux projets d’IA : les points critiques
Base légale du traitement : avant d’entraîner un modèle sur des données personnelles, il faut identifier la base légale de ce traitement (consentement, intérêt légitime, contrat, obligation légale). L’intérêt légitime est la base la plus courante dans les projets d’analyse, mais il suppose une mise en balance documentée.
Minimisation des données : le RGPD impose de n’utiliser que les données strictement nécessaires à la finalité déclarée. En machine learning, cela suppose d’examiner s’il est possible d’entraîner des modèles tout aussi performants avec des données anonymisées ou pseudonymisées, ou avec un nombre réduit de variables.
Analyse d’impact relative à la protection des données (AIPD) : elle est obligatoire lorsque le traitement implique une évaluation systématique de personnes, le traitement à grande échelle de données sensibles ou la surveillance systématique de zones accessibles au public. La plupart des modèles de scoring, de prédiction des comportements ou de classification de personnes exigent une AIPD avant leur déploiement.
Décisions automatisées : l’article 22 du RGPD interdit, sauf exceptions, les décisions fondées exclusivement sur un traitement automatisé qui produisent des effets significatifs sur les personnes. Si un modèle d’IA prend des décisions de crédit, de recrutement ou de prix sans supervision humaine, il faut garantir le droit à une intervention humaine et à une explication.
Transferts internationaux : de nombreux fournisseurs de cloud et d’IA traitent des données hors de l’EEE. Il faut vérifier les mécanismes de transfert (clauses contractuelles types, décisions d’adéquation) avant de recourir à des services d’IA qui traitent des données personnelles de citoyens européens.
L’AI Act : ce que les entreprises doivent savoir
L’AI Act classe les systèmes d’IA selon leur niveau de risque. Pour la plupart des entreprises, les points essentiels sont les suivants.
Systèmes à haut risque : ils comprennent l’IA utilisée pour le crédit, l’emploi, l’éducation, les infrastructures critiques et la protection sociale. Ces systèmes exigent une évaluation de la conformité, un enregistrement, une documentation technique, une gestion des risques et un contrôle humain documenté.
Systèmes à risque limité : les chatbots et les systèmes de recommandation sont soumis à des obligations de transparence (les utilisateurs doivent savoir qu’ils interagissent avec une IA).
Modèles d’IA à usage général (GPAI) : les grands modèles de langage utilisés dans les applications d’entreprise sont soumis à leurs propres obligations de transparence et en matière de droit d’auteur.
Pratiques interdites : depuis février 2025, les systèmes de notation sociale, la manipulation subliminale et certains usages de la reconnaissance faciale dans l’espace public sont interdits.
Feuille de route de conformité pour les entreprises
Une feuille de route pratique de protection des données dans les projets d’IA comprend : l’inventaire des systèmes d’IA existants et l’évaluation de leur niveau de risque au sens de l’AI Act, la revue des AIPD en attente pour les projets qui traitent des données personnelles, l’application du privacy by design aux nouveaux projets, la mise en place de procédures de gestion des droits des personnes concernées, et la revue des contrats passés avec les fournisseurs d’IA en tant que sous-traitants.
Chez AIRES, nous associons une expertise technique en IA à une connaissance approfondie du cadre réglementaire européen pour accompagner les entreprises dans cette démarche, en évitant aussi bien le risque de non-conformité que l’excès de zèle qui paralyse l’innovation.
Questions fréquentes
Les données anonymisées échappent-elles au RGPD ? Oui, si l’anonymisation est réelle et irréversible. Mais la pseudonymisation, que pratiquent la plupart des projets, ne fait pas sortir les données du champ du RGPD. Une véritable anonymisation, qui résiste à un test de réidentification, est techniquement exigeante et réduit souvent l’utilité des données pour l’entraînement des modèles.
L’AI Act s’applique-t-il à toutes les entreprises ou seulement à celles qui développent de l’IA ? Il s’applique aussi bien aux fournisseurs (ceux qui développent ou mettent sur le marché des systèmes d’IA) qu’aux déployeurs (ceux qui utilisent des systèmes d’IA dans leur activité). Une entreprise qui recourt à un système de scoring de crédit fondé sur l’IA a des obligations en tant que déployeur, même si elle n’a pas développé le modèle.
Que faire si des modèles déjà en production ne respectaient pas ces règles ? L’AI Act prévoit des périodes transitoires pour les systèmes existants. Toutefois, les autorités de protection des données de l’UE, coordonnées par le Comité européen de la protection des données (CEPD), contrôlent déjà l’usage de l’IA au titre du RGPD. Le plus prudent est d’auditer les systèmes existants, de traiter en priorité ceux qui présentent le plus de risques et d’établir un plan de mise en conformité documenté.