Déployer un système d’intelligence artificielle en entreprise ne dispense en rien du respect du RGPD : les deux réglementations, RGPD et IA Act, s’appliquent de façon cumulative et non substitutive. La CNIL a d’ailleurs publié ses propres recommandations pour concilier innovation et respect des droits des personnes. Ce guide détaille les bases légales mobilisables, les obligations imposées par la CNIL, le rôle central de l’article 22 sur les décisions automatisées, les droits des personnes concernées et les sanctions encourues en cas de manquement.
Lire aussi : Comment choisir un outil d’IA générative pour son entreprise
RGPD et IA Act : deux réglementations qui se cumulent
Le RGPD s’applique dès qu’un système d’intelligence artificielle traite des données à caractère personnel, que ce soit lors de la constitution des jeux de données d’entraînement, lors de l’utilisation courante de l’outil, ou lorsqu’il produit une décision concernant une personne physique. L’IA Act, qui encadre plus largement le développement et la mise sur le marché des systèmes d’IA selon leur niveau de risque, vient s’ajouter à ces obligations sans jamais les remplacer : une entreprise conforme à l’IA Act reste pleinement soumise, en parallèle, à l’ensemble des exigences du RGPD.
Quelle base légale pour utiliser des données personnelles avec l’IA ?
Toute utilisation de données personnelles par un système d’IA doit reposer sur l’une des bases légales prévues par le RGPD : consentement explicite de la personne, exécution d’un contrat, ou intérêt légitime du responsable de traitement. Dans la pratique, l’intérêt légitime est la base la plus fréquemment invoquée pour l’entraînement des modèles, à condition de réussir le triple test exigé par la CNIL : une finalité légitime poursuivie par l’entreprise, la nécessité du traitement pour atteindre cette finalité, et une mise en balance démontrant que les droits et intérêts des personnes concernées ne priment pas sur cet intérêt légitime.
Lire aussi : Crédit d’impôt recherche (CIR) : comment le mobiliser pour financer l’innovation
Les obligations imposées par la CNIL aux systèmes d’IA
Minimisation des données et transparence
Seules les données strictement nécessaires à la finalité poursuivie doivent être collectées et traitées. Les personnes concernées doivent en outre être informées de façon claire et compréhensible du recours à un système d’IA et des finalités poursuivies, un principe de transparence renforcé par les obligations spécifiques de l’IA Act sur les contenus générés artificiellement.
Documentation des jeux de données d’entraînement
La CNIL insiste particulièrement sur la nécessité de documenter la constitution des jeux de données utilisés pour entraîner un modèle : origine des données (collecte directe, bases ouvertes, extraction automatisée de sites web, achat auprès d’un tiers), méthode de collecte, et vérification de la licéité de chaque source utilisée.
L’analyse d’impact obligatoire pour les IA à risque
Une analyse d’impact relative à la protection des données (AIPD) devient obligatoire dès lors que le traitement présente un risque élevé pour les droits des personnes, ce qui concerne fréquemment les systèmes d’IA utilisés en ressources humaines, en santé, ou pour des opérations de scoring individuel.
L’article 22 : le droit de ne pas être soumis à une décision automatisée
L’article 22 du RGPD accorde à toute personne le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques ou l’affectant de façon significative de manière similaire. Trois exceptions permettent de déroger à ce principe : l’exécution d’un contrat, une autorisation prévue par le droit de l’Union ou d’un État membre, ou le consentement explicite de la personne concernée. Dans tous les cas dérogatoires, l’entreprise doit garantir un droit d’intervention humaine, la possibilité pour la personne d’exprimer son point de vue et de contester la décision.
| Une articulation à ne pas négliger Les obligations de l’article 22 du RGPD s’appliquent de façon cumulative avec celles de l’IA Act pour les systèmes classés à haut risque, notamment en matière de documentation technique, de gestion des risques et de supervision humaine. |
Lire aussi : Agents IA en entreprise : cas d’usage concrets et limites
Quels droits pour les personnes concernées face à un système d’IA ?
- Droit d’accès : obtenir la confirmation qu’un système d’IA traite ses données et en connaître les finalités.
- Droit de rectification : corriger une donnée inexacte utilisée par le système, y compris lorsqu’elle a servi à l’entraînement du modèle.
- Droit d’opposition : s’opposer, pour des motifs légitimes, à un traitement automatisé de ses données personnelles.
- Droit à l’effacement : demander la suppression de ses données, sous réserve des exceptions légales applicables.
Quelles sanctions en cas de non-conformité ?
Les manquements les plus graves au RGPD, notamment ceux liés au non-respect de l’article 22 ou à l’absence de base légale pour un traitement de données personnelles, relèvent du plafond de sanction le plus élevé prévu par le règlement : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu par la CNIL.
Comment une entreprise doit-elle se mettre en conformité ?
- Cartographier les traitements de données impliquant de l’IA : identifier précisément quels outils traitent des données personnelles et à quelles fins.
- Documenter la base légale de chaque traitement : formaliser le triple test lorsque l’intérêt légitime est invoqué comme fondement juridique.
- Réaliser une AIPD pour les usages à risque élevé : anticiper cette analyse dès la phase de conception d’un projet d’IA en RH, santé ou scoring.
- Garantir l’intervention humaine sur les décisions automatisées : prévoir un mécanisme de contestation et de révision humaine pour toute décision entrant dans le champ de l’article 22.
Lire aussi : IA Act européen : ce qui change pour les entreprises en 2026
FAQ : RGPD et intelligence artificielle en 2026
Le RGPD s’applique-t-il aux systèmes d’intelligence artificielle ?
Oui, dès qu’un système d’IA traite des données personnelles, que ce soit pour l’entraînement d’un modèle ou pour produire une décision concernant une personne. Le RGPD et l’IA Act s’appliquent de façon cumulative, sans que l’un ne remplace l’autre.
Quelle base légale utiliser pour entraîner un modèle d’IA avec des données personnelles ?
L’intérêt légitime est la base légale la plus fréquemment invoquée pour l’entraînement des modèles, sous réserve de réussir le triple test exigé par la CNIL : finalité légitime, nécessité du traitement et mise en balance avec les droits des personnes concernées.
Qu’est-ce que l’article 22 du RGPD et en quoi concerne-t-il l’IA ?
L’article 22 accorde à toute personne le droit de ne pas être soumise à une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou l’affectant de façon significative, sauf exécution d’un contrat, obligation légale ou consentement explicite.
Une analyse d’impact (AIPD) est-elle obligatoire pour un projet d’IA ?
Oui, dès lors que le traitement présente un risque élevé pour les droits des personnes, ce qui est fréquemment le cas des systèmes d’IA utilisés en ressources humaines, en santé ou pour du scoring individuel.
Quelles sanctions encourt une entreprise en cas de manquement au RGPD sur un projet d’IA ?
Les manquements les plus graves, notamment ceux liés à l’article 22, relèvent du plafond de sanction le plus élevé du RGPD : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
La CNIL a-t-elle publié des recommandations spécifiques sur l’IA ?
Oui. La CNIL a publié en 2025 ses premières recommandations sur l’application du RGPD au développement des systèmes d’IA, portant notamment sur la minimisation des données, la documentation des jeux d’entraînement et l’information des personnes concernées.
b8e288992d44a6cbe531a6970a60dcaa