Comprendre
Deux règlements européens majeurs encadrent aujourd’hui l’usage des données et de l’intelligence artificielle : le règlement général sur la protection des données (RGPD), appliqué depuis le 25 mai 2018, et le règlement sur l’intelligence artificielle (RIA), entré en vigueur le 1er août 2024 et appliqué par étapes. Voici l’essentiel des deux, sans jargon.
Protection des données personnelles
Tout organisme, public ou privé, qui collecte, stocke, consulte ou transmet des informations sur des personnes identifiables : fichiers clients, paie, dossiers patients, vidéosurveillance, cookies d’un site internet. Artisans, professions libérales, TPE et PME, établissements de santé et collectivités sont concernés, sans seuil d’effectif ; seules les obligations sont proportionnées.
La CNIL contrôle, sur place ou en ligne, et sanctionne. Les amendes administratives peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Les sanctions publiées visent régulièrement des PME, pour des manquements courants : prospection sans consentement, vidéosurveillance excessive, durées de conservation non maîtrisées, sécurité insuffisante.
Intelligence artificielle
Le règlement (UE) 2024/1689, dit « AI Act » ou RIA, est le premier cadre juridique complet sur l’intelligence artificielle. Il classe les systèmes d’IA selon le risque qu’ils font courir aux personnes et fixe des obligations graduées pour ceux qui les conçoivent et ceux qui les utilisent.
Notation sociale, manipulation ou exploitation des vulnérabilités, reconnaissance des émotions au travail ou dans l’enseignement, catégorisation biométrique à partir de données sensibles, identification biométrique à distance en temps réel dans l’espace public sauf exceptions strictement encadrées.
Recrutement et gestion des salariés, accès à l’éducation, au crédit, à l’assurance ou aux services publics essentiels, infrastructures critiques, biométrie, justice et migration, et IA intégrée à des produits réglementés. Système de gestion des risques, qualité des données, documentation, surveillance humaine, journalisation et marquage CE.
Les personnes doivent savoir qu’elles dialoguent avec une IA (agents conversationnels) et les contenus générés ou manipulés par IA (hypertrucages, textes d’intérêt public) doivent être signalés comme tels.
Filtres anti-spam, correcteurs, assistants de bureautique, jeux vidéo : la grande majorité des usages. Le RGPD continue de s’appliquer dès que des données personnelles sont traitées, et la maîtrise de l’IA par les équipes reste attendue.
Le règlement distingue les fournisseurs, qui développent un système d’IA ou le mettent sur le marché sous leur nom, et les déployeurs, qui l’utilisent sous leur autorité dans un cadre professionnel. La plupart des TPE, PME, établissements de santé et collectivités sont des déployeurs : un outil de tri de candidatures, un assistant conversationnel sur un site, un logiciel d’aide à la décision ou une fonction d’IA intégrée à un service en ligne entrent dans ce cadre. Les importateurs et distributeurs de systèmes d’IA ont aussi leurs obligations.
Un système d’IA qui traite des données personnelles reste soumis au RGPD : base légale, information des personnes, analyse d’impact, encadrement des décisions entièrement automatisées (article 22), droits des personnes. Le registre des traitements et le registre des systèmes d’IA se construisent ensemble, et le délégué à la protection des données est le premier interlocuteur naturel de cette démarche. La CNIL a publié des recommandations sur le développement et l’usage de l’IA et accompagne les organismes sur ces sujets.
Les amendes peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites, 15 millions d’euros ou 3 % pour les autres manquements, et 7,5 millions d’euros ou 1 % pour la fourniture d’informations inexactes. Pour les PME, c’est le montant le plus bas des deux qui s’applique.
Notre méthode
Asklépian aborde chaque mise en conformité, RGPD comme RIA, sur cinq axes complémentaires. Ils peuvent être traités clé en main ou à la carte, selon ce qui existe déjà dans votre organisme.
Bases légales, durées de conservation, mentions d’information, contrats de sous-traitance et de transfert, gestion des exercices de droits.
Procédures, responsabilités, plans d’actions, mutualisation et simplification des processus qui manipulent des données.
Avis sur les dispositifs (géolocalisation, vidéosurveillance, systèmes d’IA), protection des données dès la conception pour vos logiciels et nouveaux traitements.
Accès aux locaux, aux postes et aux supports, protection des archives papier, politique de bureau propre.
Registres, analyses d’impact, revues périodiques et logiciel de documentation au titre de l’accountability.
Sensibilisation et formation des collaborateurs, veille juridique commentée : la conformité tient d’abord aux réflexes de chacun.
Appelez-nous pour nous décrire votre organisation et vos traitements. Un délégué certifié vous répond.
