RGPD et IA : ce qui est interdit, ce qui est conditionnel, et ce que vous contrôlez

Une courte liste d'usages de l'IA est proche d'une véritable interdiction sous le RGPD. Les connaître d'abord rend le reste plus facile à raisonner.

• Décisions uniquement automatisées sur les personnes. L'article 22 restreint les décisions à effet juridique ou similairement significatif prises sans intervention humaine véritable. Les autorités de contrôle allemandes le lisent strictement et attendent une supervision humaine effective plutôt qu'un tampon de complaisance (Hogan Lovells).
• Données de catégories particulières par défaut. Les données de santé, biométriques, de croyance et assimilées sont interdites de traitement sous l'article 9 sauf si une exception précise s'applique. Le règlement européen sur l'IA ajoute une ouverture étroite : l'article 10(5) autorise de telles données strictement pour détecter et corriger des biais dans les systèmes à haut risque (IAPP).
• Modèles construits sur des données collectées illicitement. L'avis 28/2024 du CEPD, publié le 18 décembre 2024, estime que si un modèle a été développé à partir de données personnelles traitées illicitement, cela peut vicier la licéité de son déploiement, sauf si le modèle a été dûment anonymisé (CEPD).

La plupart du travail sur l'IA se situe hors de cette courte liste, où la réponse est rarement un « non » franc. C'est un « oui, si ».

Le vaste milieu du travail sur l'IA est licite quand vous pouvez démontrer les bonnes conditions et les documenter.

Deux conditions font l'essentiel du travail. La première est une base légale. Pour l'entraînement et l'usage de modèles sur des données personnelles, le CEPD a posé un test en trois étapes pour s'appuyer sur l'intérêt légitime, pesant l'intérêt lui-même, la nécessité du traitement, et une mise en balance avec les droits des personnes concernées (CEPD). L'intérêt légitime est disponible, mais il se gagne par ce test, il ne se présume pas.

La seconde est l'anonymat, que vous ne pouvez pas déclarer vous-même. Le même avis estime qu'un modèle entraîné sur des données personnelles n'est pas automatiquement anonyme. Il ne compte comme anonyme que lorsqu'il est très improbable à la fois d'identifier les personnes dont les données l'ont entraîné et de faire extraire ces données par des requêtes, appréciation faite au cas par cas par l'autorité de contrôle (IAPP). L'avis s'appuie tant sur « au cas par cas » que des analystes juridiques ont compté les occurrences de la formule dans le texte (Ropes & Gray). La lecture pratique : la plupart des traitements d'IA sont permis, à la condition que vous puissiez démontrer votre base et votre documentation.

Le point encourageant est que les conditions à remplir sont largement déterminées par la façon dont vous construisez le système, pas par qui vous êtes.

• Garder moins, moins longtemps. La minimisation des données et la limitation des finalités s'appliquent aux endroits propres à l'IA où les données se cachent : journaux de prompts et de système, et les vecteurs dans un magasin RAG. Les lignes directrices du CEPD pointent vers la minimisation de ce qui est journalisé, la préférence pour des identifiants agrégés ou pseudonymes, et une conservation courte (analyse du CEPD).
• Décider où résident les données, à dessein. Depuis l'arrêt Schrems II, envoyer des données personnelles à un fournisseur américain ne se règle pas en signant des clauses contractuelles types. Vous devez évaluer si ces clauses peuvent réellement être respectées compte tenu du droit de surveillance américain, et cette responsabilité ne peut être confiée au fournisseur (analyse).

C'est la raison pratique pour laquelle la résidence des données et le déploiement on-prem sont des leviers de contrôle plutôt qu'une idéologie, le même point que derrière le fait de faire tourner des modèles que vous possédez plutôt que loués (iiterate).

Il aide de traiter la protection des données et la régulation de l'IA comme des obligations distinctes qui se rencontrent, plutôt qu'un règlement unique.

Le RGPD est un régime de droits fondamentaux portant sur les données personnelles ; le règlement européen sur l'IA est plus proche d'un droit de la sécurité des produits pour les systèmes d'IA (IAPP). Un même système à haut risque peut devoir des obligations au titre des deux : une analyse d'impact relative à la protection des données au titre de l'article 35 du RGPD, et une analyse d'impact sur les droits fondamentaux au titre de l'article 27 du règlement sur l'IA, qui la complète plutôt qu'elle ne la remplace. Les deux interagissent aussi de façon délicate. Les praticiens soulignent par exemple que le profilage au sens du RGPD peut ramener dans le champ un système qu'une exemption du règlement sur l'IA semblait libérer (r/gdpr). De l'aide officielle est en route : le CEPD et la Commission européenne doivent publier des lignes directrices conjointes sur ce chevauchement début 2026 (IAPP).

Vous n'avez pas besoin d'une certitude que le régulateur n'a pas fournie. Vous avez besoin d'une posture défendable et documentée. Un ordre pratique :

1. Cartographiez où les données personnelles entrent dans le système : entrées, prompts, journaux, données d'entraînement, et le magasin RAG.
2. Choisissez et consignez une base légale pour chaque usage. Si vous vous appuyez sur l'intérêt légitime, réalisez le test de mise en balance plutôt que de le présumer.
3. Réalisez une AIPD avant de déployer tout ce qui profile ou décide au sujet des personnes, et gardez un humain véritablement dans la boucle pour les cas de l'article 22.
4. Minimisez et bornez dans le temps ce que le système conserve, surtout les journaux de prompts et les vecteurs.
5. Décidez la résidence des données à dessein. Si des données personnelles devaient quitter l'UE, réalisez l'évaluation de transfert, ou gardez le traitement en UE ou on-prem.
6. Réexaminez la posture quand les lignes directrices conjointes du CEPD et de la Commission arriveront en 2026.

Version courte : très peu de choses en matière d'IA sont catégoriquement interdites sous le RGPD, quelques-unes le sont réellement, et l'essentiel du reste est un « oui, si » documenté. Les conditions qui en décident sont surtout architecturales, ce qui signifie qu'elles vous appartiennent. Les mêmes questions de gouvernance surgissent dès qu'un agent interne touche aux données d'un client (iiterate). Ceci reste une orientation plutôt qu'un conseil juridique, alors faites de votre délégué à la protection des données le prochain lecteur.