AI Act et RGPD : construire une conformité cohérente avec la CNIL.
L’AI Act ne remplace pas le RGPD. Un même système peut être peu risqué au sens de l’AI Act et traiter des données personnelles dans des conditions sensibles. La gouvernance doit donc réunir les deux analyses sans les confondre.
L’AI Act qualifie notamment les rôles et les risques liés au système. Le RGPD encadre les traitements de données personnelles. Une fiche commune peut partager les faits, puis conserver des décisions et bases juridiques distinctes.
Cluster éditorial : AI Act, données et droits fondamentaux · Intention : Articuler la conformité AI Act et RGPD en entreprise
En bref
L’essentiel à retenir
01
Deux cadres complémentaires
02
Un socle factuel commun
03
Des décisions juridiques distinctes
04
Une gouvernance et des preuves coordonnées
01
Commencer par une fiche factuelle commune
Décrivez le système, la finalité, les entités, les fournisseurs, les utilisateurs, les personnes concernées, les données, les sorties et les décisions influencées. Cette base alimente l’inventaire AI Act et le registre des traitements. Elle évite de demander deux fois les mêmes informations aux métiers. Les conclusions restent séparées, car les notions et les obligations ne se recouvrent pas entièrement.
Indiquez la version du système et les flux. Un service peut envoyer des données à un fournisseur, utiliser un modèle tiers et conserver les résultats dans un autre outil. Cartographiez les lieux de traitement, les accès et les transferts. Côté AI Act, cette chaîne éclaire les rôles et la destination. Côté RGPD, elle soutient l’analyse des responsables, sous-traitants, finalités et garanties.
Un déployeur au sens de l’AI Act n’est pas automatiquement responsable du traitement au sens du RGPD. Les analyses portent sur des objets différents. L’une examine l’utilisation du système sous l’autorité d’une organisation. L’autre examine qui détermine les finalités et les moyens du traitement de données personnelles. Une même entité peut cumuler les rôles, mais la conclusion doit être justifiée pour chaque cadre.
Créez une matrice qui affiche les acteurs en lignes et les cadres en colonnes. Pour chaque case, indiquez le rôle, les faits, le contrat et le valideur. Cette présentation révèle les incohérences. Un fournisseur qui se présente comme simple sous-traitant peut conserver des données pour ses propres finalités. Un intégrateur technique peut aussi accomplir des tâches qui modifient la chaîne de valeur AI Act.
Une analyse d’impact relative à la protection des données, ou AIPD, est requise lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés. L’article 27 de l’AI Act prévoit une analyse d’impact sur les droits fondamentaux pour certains déployeurs de systèmes à haut risque. Les deux exercices peuvent partager la description, les personnes, les risques et les mesures, mais leur périmètre et leurs conditions doivent être respectés.
Définissez une équipe commune et un calendrier coordonné. La protection des données examine notamment nécessité, proportionnalité, risques et mesures. L’analyse AI Act considère l’effet du système dans son contexte de déploiement sur les droits fondamentaux. Conservez un tableau de correspondance et deux validations explicites. Cette organisation réduit la duplication sans effacer les exigences propres à chaque texte.
Le RGPD impose une information sur le traitement de données personnelles. L’AI Act ajoute des exigences de transparence pour certaines interactions et sorties. Une interface peut donc devoir expliquer qui traite les données, pourquoi, pendant combien de temps, quels droits existent et qu’une personne interagit avec une IA. L’empilement de notices produit rarement une bonne compréhension.
Organisez l’information en couches. Une première phrase décrit l’interaction et l’action possible. Une seconde couche présente les limites et le recours humain. Une page détaillée traite des données, des destinataires, de la conservation et des droits. Testez le parcours avec des personnes qui ne connaissent pas le projet. Vérifiez aussi les versions audio, mobiles et accessibles.
L’article 10 de l’AI Act impose des pratiques de gouvernance et de qualité pour les jeux de données utilisés avec les systèmes à haut risque. Le RGPD impose notamment minimisation, exactitude et limitation de la conservation pour les données personnelles. Le besoin de performance ne justifie pas une collecte illimitée. Définissez chaque variable, son utilité, sa source, sa qualité et sa durée.
Mesurez les effets sur les groupes concernés. Un jeu globalement précis peut produire des erreurs concentrées sur une population. Documentez les tests, les seuils et le risque résiduel. Lorsque des données sensibles sont utilisées pour détecter ou corriger un biais dans les conditions prévues par l’AI Act, examinez attentivement les garanties, les accès, la suppression et la base applicable. Associez le DPO et les compétences juridiques nécessaires.
Le tableau relie chaque exigence aux faits, à la décision, au contrôle, au propriétaire et à la preuve. Il indique si l’élément sert l’AI Act, le RGPD ou les deux. Par exemple, une procédure d’habilitation peut soutenir la sécurité des données et la maîtrise du système. Une décision de base légale reste propre au RGPD. Une qualification haut risque reste propre à l’AI Act.
Révisez la matrice après un changement de finalité, de modèle, de données, de fournisseur ou de population. Ajoutez les incidents et demandes de droits qui révèlent une faiblesse. Une gouvernance commune ne signifie pas un document unique. Elle signifie des équipes qui partagent les faits, comprennent leurs décisions et savent retrouver les preuves.
Non. Les deux règlements poursuivent des objectifs complémentaires et peuvent s’appliquer au même système.
Non. Les rôles doivent être qualifiés séparément à partir des faits et des critères propres à chaque règlement.
Les travaux peuvent être coordonnés et partager des éléments, mais les conditions, périmètres et validations de chaque analyse doivent rester identifiables.
Non. L’AI Act peut s’appliquer à un système même si son fonctionnement ne repose pas sur des données personnelles.
Un propriétaire métier coordonne utilement le projet avec conformité, DPO, juridique, technique, sécurité et représentants des personnes concernées selon le contexte.
