Règlements (UE) 2016/679 et 2024/1689

Articuler le RGPD et l'AI Act : deux régimes cumulatifs, deux analyses d'impact, un seul dossier de preuves

Le règlement (UE) 2024/1689 ne remplace pas le règlement (UE) 2016/679 et n'y déroge pas. Son article 2.7 le dit expressément : le droit de l'Union relatif à la protection des données à caractère personnel demeure applicable. Une organisation qui déploie un système d'IA traitant des données personnelles relève donc des deux textes simultanément, avec deux analyses d'impact, deux logiques de qualification, et un seul dossier à produire en contrôle.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Deux objets distincts, et c'est ce qui les rend cumulatifs

Le RGPD régit le traitement de données à caractère personnel : il s'intéresse à la finalité poursuivie, à la base légale qui l'autorise, aux droits des personnes concernées et à la sécurité des données. Son déclencheur est la donnée.

L'AI Act régit la mise sur le marché, la mise en service et l'utilisation de systèmes d'intelligence artificielle : il s'intéresse au risque que le système fait courir à la santé, à la sécurité et aux droits fondamentaux, indépendamment de la nature des données traitées. Son déclencheur est le système.

Il en résulte trois configurations. Un système d'IA à haut risque qui ne traite aucune donnée personnelle, par exemple un composant de sécurité industriel, relève du seul AI Act. Un traitement de données personnelles sans recours à l'IA relève du seul RGPD. Et le cas le plus fréquent, un système d'IA à haut risque traitant des données personnelles, relève des deux, sans que l'un allège l'autre.

L'article 2.7 du règlement (UE) 2024/1689 confirme que les règlements (UE) 2016/679 et (UE) 2018/1725 ainsi que la directive 2002/58/CE ne sont pas affectés, sans préjudice des dispositions spécifiques de l'AI Act.

Ce que l'AI Act ne fait pas : fournir une base légale

C'est l'erreur de raisonnement la plus coûteuse. La conformité d'un système à l'AI Act ne rend pas licite le traitement de données personnelles qu'il opère. La licéité continue de se déterminer exclusivement par l'article 6 du RGPD, et, pour les catégories particulières de données, par une exception de l'article 9.

Le règlement (UE) 2024/1689 ne comporte qu'une dérogation étroite en la matière. L'article 10.5 autorise, dans la mesure strictement nécessaire, le traitement de catégories particulières de données à caractère personnel aux seules fins de garantir la détection et la correction des biais affectant les systèmes à haut risque, sous une série de conditions cumulatives : impossibilité de parvenir au même résultat par des données synthétiques ou anonymisées, limitations techniques strictes de la réutilisation, mesures de sécurité renforcées, pas de transmission à des tiers, et suppression dès que le biais a été corrigé ou que la période de conservation arrive à son terme.

En dehors de ce cas précis, l'AI Act n'ajoute rien à l'arsenal des bases légales. Un système d'IA à haut risque parfaitement conforme au chapitre III reste illicite s'il repose sur un traitement sans base légale.

Les deux analyses d'impact : périmètres et articulation

L'article 35 du RGPD impose une analyse d'impact relative à la protection des données lorsqu'un type de traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques. L'article 35.3 cite trois cas où elle est requise en particulier : l'évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, y compris le profilage, sur la base de laquelle sont prises des décisions produisant des effets juridiques ou affectant de manière significative la personne ; le traitement à grande échelle de catégories particulières de données ou de données relatives à des condamnations ; et la surveillance systématique à grande échelle d'une zone accessible au public. Le premier de ces cas décrit exactement la plupart des systèmes de l'annexe III de l'AI Act.

L'article 27 du règlement (UE) 2024/1689 impose une analyse d'impact sur les droits fondamentaux à une catégorie plus étroite de déployeurs : les organismes de droit public, les entités privées fournissant des services publics, et les déployeurs des systèmes relevant de l'annexe III, point 5, sous b) et c), c'est-à-dire l'évaluation de la solvabilité et le scoring de crédit, ainsi que l'évaluation des risques et la tarification en assurance vie et santé.

Les deux analyses ne portent pas sur le même objet. L'AIPD du RGPD évalue le risque né du traitement pour les droits et libertés liés aux données. L'analyse de l'article 27 évalue le risque né de l'usage du système pour l'ensemble des droits fondamentaux, y compris ceux qui n'ont aucun rapport avec les données, tels que la non-discrimination ou l'accès à un service.

L'article 27.4 organise leur articulation : lorsque l'une des obligations de l'article 27 est déjà remplie par l'analyse d'impact relative à la protection des données, l'analyse sur les droits fondamentaux complète cette dernière. Le texte invite donc à un document unique à deux volets plutôt qu'à deux documents parallèles, à condition que chacun des points exigés par l'article 27 soit traité et identifiable.

Les points où les deux textes se renforcent

Décision individuelle automatisée

L'article 22 du RGPD confère à la personne concernée le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques la concernant ou l'affectant de manière significative, hors les trois exceptions du paragraphe 2. L'article 86 de l'AI Act ouvre en parallèle un droit à une explication claire et pertinente du rôle du système dans la procédure décisionnelle, pour les décisions prises par un déployeur sur la base d'un système relevant de l'annexe III. Les deux droits se cumulent et s'exercent auprès du même responsable.

Contrôle humain

L'article 14 de l'AI Act impose que les systèmes à haut risque soient conçus de manière à pouvoir être effectivement surveillés par des personnes physiques, et l'article 26.2 exige du déployeur qu'il confie ce contrôle à des personnes disposant de l'autorité nécessaire. Cette exigence recoupe l'intervention humaine qui, sous l'article 22.3 du RGPD, permet d'échapper à la qualification de décision exclusivement automatisée. Une intervention humaine purement formelle ne satisfait ni l'un ni l'autre.

Gouvernance des données

L'article 10 de l'AI Act impose, pour les systèmes à haut risque, des jeux de données d'entraînement, de validation et de test pertinents, suffisamment représentatifs et, dans toute la mesure du possible, exempts d'erreurs et complets au regard de la destination du système. C'est l'exacte traduction, au niveau du système, du principe d'exactitude de l'article 5.1, point d), du RGPD.

Transparence

L'article 50 de l'AI Act impose d'informer les personnes physiques qu'elles interagissent avec un système d'IA et de marquer les contenus de synthèse. Les articles 13 et 14 du RGPD imposent par ailleurs d'informer la personne concernée de l'existence d'une prise de décision automatisée et de la logique sous-jacente. Les deux informations sont dues, et rien n'interdit de les délivrer dans le même support.

Ce que cela implique pour l'organisation du dossier

Les deux textes désignent des interlocuteurs différents. Le délégué à la protection des données a une existence légale sous le RGPD, avec les garanties des articles 38 et 39 ; l'AI Act ne crée aucune fonction équivalente et n'impose la désignation de personne.

Cela ne signifie pas qu'il faille deux dossiers. En pratique, le registre des activités de traitement de l'article 30 du RGPD est le seul inventaire déjà tenu qui recense les finalités, les données et les destinataires : c'est à partir de lui que l'inventaire des systèmes d'IA se construit le plus économiquement, en y adjoignant, pour chaque traitement recourant à un système d'IA, la qualification au sens de l'article 6 de l'AI Act, le rôle de fournisseur ou de déployeur, et le palier d'application applicable.

L'AI Act n'ajoute d'ailleurs pas d'obligation de registre : le déployeur n'est tenu que de conserver les journaux au titre de l'article 26.6, et l'enregistrement dans la base de données de l'Union prévu à l'article 49 ne pèse, pour les systèmes de l'annexe III, que sur les fournisseurs et sur les déployeurs qui sont des autorités publiques ou agissent en leur nom. Consolider les deux inventaires en un seul document est donc un choix d'organisation, non une exigence de l'un ou l'autre texte, mais c'est celui qui évite qu'ils divergent.

L'intervention correspondante

La cartographie des traitements sert de base commune aux deux analyses : c'est elle qui identifie les systèmes d'IA à qualifier et les traitements dont la licéité doit être vérifiée.

Conduire le diagnostic sur les deux régimes en une seule mission

Textes et sources cités

Cette analyse est d'ordre général et ne constitue pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.