IA et RGPD : comment déployer l’intelligence artificielle sans risque juridique

Une intelligence artificielle qui traite des données personnelles reste soumise à l’IA RGPD conformité. Les deux règlements s’appliquent en même temps : le RGPD encadre la donnée. De son côté, l’AI Act encadre le système. Trois obligations structurent notamment la conformité RGPD d’un projet IA : une base légale identifiée, la minimisation des données collectées et une information claire des personnes concernées.

Beaucoup d’entreprises pensent que l’AI Act a remplacé le RGPD sur les projets d’intelligence artificielle. Pourtant, c’est une erreur qui expose à des sanctions. Dès qu’un système d’IA traite une donnée personnelle, le RGPD s’applique, en plus de l’AI Act. Tel est le cas pour une app qui traite un CV, un profil client, une voix, une photo. Alors, quelles sont les obligations RGPD propres à l’IA ? Parlons de la base légale, de l’analyse d’impact et du droit à l’explication. AquilApp vous propose aussi une checklist opérationnelle pour lancer un projet sans risque juridique.

Quelles sont les tensions fondamentales pour une IA RGPD conformité ? 

Le RGPD encadre les données personnelles. L’AI Act encadre le système d’IA en tant que produit. Un projet peut donc être conforme à l’un et pas à l’autre : les deux analyses sont distinctes et cumulatives.

Trois tensions reviennent systématiquement dans les projets IA :

1. Minimisation vs volume d’entraînement : le RGPD impose de ne collecter que les données nécessaires. Un modèle d’IA, lui, gagne en performance avec des volumes importants de données.
2. Opacité du modèle vs droit à l’explication : un réseau de neurones est difficile à interpréter. Le RGPD exige pourtant que les personnes comprennent les décisions qui les concernent.
3. Conservation longue vs droit à l’effacement : un modèle « mémorise » parfois des données d’entraînement. Effacer une donnée précise d’un modèle déjà entraîné reste techniquement complexe.

La Commission nationale de l’informatique et des libertés (CNIL) publie depuis 2023 une série de fiches pratiques sur le développement des systèmes d’IA. Son message est constant : le RGPD n’interdit pas l’IA, il l’encadre. Par exemple, la CNIL a précisé en 2026 les conditions d’utilisation de l’intérêt légitime pour l’entraînement de modèles. C’est notamment utile en cas de collecte de données sur le web.

Sur le volet AI Act, le calendrier a évolué en 2026. Le règlement (UE) 2024/1689 est entré en vigueur le 1ᵉʳ août 2024. Il s’applique par vagues. Le règlement « Digital Omnibus » (UE 2026/1744), adopté fin juin 2026, a reporté les obligations les plus lourdes du 2 août 2026 au 2 décembre 2027. À savoir : celles des systèmes à haut risque de l’annexe III (recrutement, crédit, santé, éducation, justice, biométrie). En revanche, les obligations de transparence de l’article 50 restent dues depuis le 2 août 2026. Tel est le cas pour l’information de l’utilisateur qu’il interagit avec une IA. 

Ce report ne change rien aux obligations RGPD. En effet, elles s’appliquent indépendamment du niveau de risque IA, dès qu’il y a une donnée personnelle.

Quelle est la base légale du traitement IA de données personnelles ? 

Tout traitement de données personnelles par une IA doit reposer sur une base légale au sens de l’article 6 du RGPD. Quatre bases sont mobilisables en pratique dans un projet IA :

• Le consentement, pertinent quand l’utilisateur active lui-même une fonctionnalité IA (recommandation personnalisée, assistant conversationnel).
• L’exécution d’un contrat, quand vous avez besoin de l’IA au service souscrit par le client.
• L’obligation légale, plus rare, dans des cas de contrôle réglementaire automatisé.
• L’intérêt légitime, la base la plus fréquemment utilisée pour l’entraînement de modèles.

La CNIL identifie l’intérêt légitime comme la base la plus courante pour l’entraînement. Son usage suppose de passer un triple test. Exemple : une finalité légitime, un traitement nécessaire pour l’atteindre, et une mise en balance avec les droits des personnes concernées. Dans tous les cas,  documentez ce triple test avant le lancement du projet, pas rédigé a posteriori pour justifier un choix déjà fait.

Attention, le cas du web scraping mérite une attention particulière. Vous pouvez collecter des données publiques sur le web pour entraîner un modèle. Cependant, la CNIL l’encadre. Notamment, vous devez respecter des mentions légales des sites sources. En plus, prenez en compte le fichier robots.txt. Enfin, mettez en place d’un droit d’opposition effectif pour les personnes concernées.

Dans les deux cas, la documentation des choix de conception constitue le point de conformité le plus surveillé par la CNIL. Un projet IA doit conserver une trace écrite. À savoir : pourquoi cette base légale, pourquoi ce volume de données, pourquoi cette durée de conservation.

Nous vous conseillons aussi notre autre article sur le règlement DORA et résilience numérique

Quand et comment mener une analyse d’impact (AIPD) ? 

Oui.  Vous devez aussi faire une analyse d’impact relative à la protection des données (AIPD) pour garantir une IA RGPD conformité. C’est une évaluation préalable des risques qu’un traitement fait courir aux droits des personnes. Elle est obligatoire avant le lancement d’un traitement susceptible d’engendrer un risque élevé.

Une AIPD devient obligatoire pour un projet IA dans plusieurs cas concrets :

• Scoring ou notation automatisée de personnes (crédit, assurance, recrutement).
• Traitement de données sensibles (santé, biométrie, origine, opinions).
• Surveillance systématique de personnes à grande échelle.
• Décision produisant des effets juridiques ou significatifs sans intervention humaine.

La démarche suit une méthode en cinq étapes :

1. Décrire le traitement envisagé et ses finalités.
2. Évaluer la nécessité et la proportionnalité du traitement au regard de l’objectif visé.
3. Identifier les risques pour les droits et libertés des personnes concernées.
4. Définir les mesures pour réduire ces risques (anonymisation, pseudonymisation, limitation d’accès).
5. Faire valider l’analyse par le délégué à la protection des données (DPO).

Prenons un exemple concret. Une entreprise qui développe un outil de tri automatisé de CV traite des données personnelles à fort impact sur les candidats. L’AIPD doit alors documenter les critères du modèle, les biais possibles et la procédure de recours humain en cas de rejet automatique. Sans cette analyse, le projet expose l’entreprise à une non-conformité dès sa mise en production.

Qu’en est-il du droit à l’explication des décisions automatisées pour une IA RGPD conformité ? 

L’article 22 du RGPD encadre les décisions individuelles automatisées. Une personne a le droit de ne pas être soumise à une décision fondée exclusivement sur un traitement automatisé. Tel est le cas aussi pour IA, lorsque cette décision produit des effets juridiques ou l’affecte de manière significative.

Concrètement, ce droit implique trois obligations pour un projet IA :

• La traçabilité des critères utilisés par le modèle pour produire une décision.
• La possibilité d’une intervention humaine réelle, pas seulement formelle, en cas de contestation.
• Une information claire donnée à la personne avant la mise en œuvre du traitement automatisé.

Il ne faut pas confondre ce droit RGPD avec l’obligation de transparence de l’AI Act. L’article 50 de l’AI Act, applicable depuis le 2 août 2026, impose d’informer un utilisateur qu’il interagit avec une IA. Par exemple, un chatbot doit se déclarer comme tel. 

Le droit à l’explication du RGPD va plus loin. En effet, il porte sur la logique d’une décision qui affecte une personne précise, pas seulement sur la nature IA de l’interlocuteur.

Sur le plan pratique, la CNIL recommande de rendre l’information accessible même pour des systèmes complexes. Cela peut être à l’aide de schémas qui expliquent comment les données sont utilisées lors de l’apprentissage. La complexité technique du modèle n’excuse pas une information insuffisante des personnes concernées.

Comment faire la différence entre le RGPD et AI Act : deux règlements, deux objets

Le tableau suivant résume les différences pratiques entre les deux textes pour une entreprise qui déploie une IA traitant des données personnelles.

Sources : CNIL, règlement (UE) 2024/1689, règlement Digital Omnibus (UE 2026/1744).

Un projet peut donc être exempté d’obligations AI Act (parce qu’il est classé à risque minimal). Cependant, il reste pleinement soumis au RGPD dès qu’il traite une donnée personnelle. 

Inversement, un système à haut risque au sens de l’AI Act peut ne traiter aucune donnée personnelle et échapper au RGPD. Les deux analyses doivent être menées séparément, projet par projet.

Pour aller plus loin, lisez aussi notre autre article sur l’AI Act européen : obligations pour vos logiciels

Le checklist pour une bonne IA RGPG conformité 

Avant de lancer un projet d’IA traitant des données personnelles, huit points doivent être vérifiés :

• [ ] La base légale du traitement est identifiée et documentée (article 6 RGPD).
• [ ] Le triple test d’intérêt légitime est réalisé si cette base est retenue.
• [ ] Une AIPD est menée si le traitement présente un risque élevé.
• [ ] Le volume de données collectées respecte le principe de minimisation.
• [ ] Les personnes concernées sont informées de l’usage de l’IA et de leurs droits.
• [ ] Une procédure de droit d’accès, de rectification et d’opposition est en place.
• [ ] Les choix de conception du modèle sont documentés et conservés.
• [ ] Un contrat de sous-traitance conforme à l’article 28 est signé avec le fournisseur IA, avec un encadrement des transferts hors UE si nécessaire.

Attention cependant, cette checklist ne remplace pas un avis juridique sur un projet spécifique. Elle permet de sécuriser le cadrage avant d’engager le développement.

Faites notamment attention à la conformité et sécurité des applications santé

Que propose AquilApp : IA responsable by design

Notre méthode place la conformité RGPD en amont du projet, pas en correction après coup. Nous cadrons la base légale, la minimisation des données et les besoins d’AIPD dès la phase de spécification. Donc, cela se fait avant la première ligne de code. Cette approche évite les refontes coûteuses une fois le modèle en production.

Nous avons accompagné des projets IA dans des secteurs à données sensibles : santé, RH, finance. Notre équipe technique travaille avec votre DPO ou votre juriste pour documenter les choix de conception au fil du développement, pas à la fin.

Un projet IA à cadrer sans risque juridique ? Demandez un audit conformité RGPD.

Conclusion

Un projet d’IA qui traite des données personnelles doit répondre au RGPD et à l’AI Act en même temps. On parle alors d’une IA RGPD conformité. Notamment, le RGPD reste dû dès la première donnée personnelle traitée, quel que soit le niveau de risque IA du système.  La base légale, l‘AIPD et le droit à l’explication forment le socle de cette conformité. Notre conseil : traitez ces questions dès le cadrage. De quoi vous éviter les refontes coûteuses après la mise en production.

Pour approfondir le volet réglementation IA dans sa globalité, consultez notre article sur l’AI Act. Pour sécuriser votre projet, découvrez notre accompagnement en développement d’applications sur mesure.

Audit conformité IA/RGPD ? Contactez-nous