Réglementation de l'IA et données sensibles : ce que le RGPD et la LOPD espagnole exigent de votre entreprise
L'intelligence artificielle n'est plus de la science-fiction : chatbots pour le service client, algorithmes de tri de CV, modèles analysant des dossiers médicaux. Le problème : beaucoup de ces outils traitent des données personnelles sensibles sans que l'entreprise ait conscience de ses obligations légales. Le Règlement IA de l'UE (AI Act), le RGPD et la LOPD-GDD espagnole forment un cadre réglementaire que toute organisation utilisant l'IA doit connaître. L'ignorer peut entraîner des amendes allant jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial.
En résumé
- L'AI Act (Règlement UE 2024/1689) classe les systèmes d'IA par niveau de risque et interdit certains usages (scoring social, identification biométrique de masse).
- Le RGPD exige base légale, transparence et analyse d'impact (AIPD) lorsque l'IA traite des données personnelles, en particulier les catégories spéciales.
- La LOPD-GDD espagnole renforce les garanties : droits numériques, obligations du DPO et régime de sanctions propre.
- Les sanctions cumulées peuvent atteindre 35 M€ (AI Act) + 20 M€ (RGPD).
- Réaliser une Analyse d'Impact sur la Protection des Données (AIPD/DPIA) avant de déployer l'IA est pratiquement obligatoire.
L'AI Act européen : classification par risque et interdictions
Le Règlement IA de l'UE (en vigueur depuis août 2024, application échelonnée jusqu'en 2027) est la première législation intégrale au monde sur l'intelligence artificielle. Il classe les systèmes d'IA en quatre niveaux :
| Niveau de risque | Exemples | Obligations |
|---|---|---|
| Inacceptable | Scoring social, manipulation subliminale, identification biométrique en temps réel dans les espaces publics | Interdit |
| Élevé | Recrutement, évaluation de crédit, diagnostic médical, systèmes de migration | Évaluation de conformité, enregistrement UE, contrôle humain, transparence, gestion des risques |
| Limité | Chatbots, deepfakes, contenus générés par IA | Obligations de transparence : l'utilisateur doit savoir qu'il interagit avec une IA |
| Minimal | Filtres anti-spam, recommandations de contenu, jeux vidéo | Pas d'obligations spécifiques (code de conduite recommandé) |
Données sensibles et catégories spéciales : ce que dit le RGPD
L'article 9 du RGPD interdit, en règle générale, le traitement des catégories spéciales de données : origine raciale ou ethnique, opinions politiques, convictions religieuses, appartenance syndicale, données génétiques et biométriques, données de santé et données relatives à la vie sexuelle. L'IA multiplie le risque car elle peut inférer ces données même lorsqu'elles ne sont pas directement fournies.
La LOPD-GDD espagnole : renforcement du RGPD
La LOPD-GDD espagnole (Loi organique 3/2018) adapte le RGPD au droit espagnol et ajoute des garanties propres : droits numériques (droit à la déconnexion, vie privée sur les appareils professionnels), obligations élargies du DPO et un régime de sanctions pouvant aller jusqu'à 20 M€ ou 4 % du chiffre d'affaires.
Analyse d'Impact (AIPD/DPIA) : quand est-elle obligatoire ?
L'article 35 du RGPD impose une Analyse d'Impact sur la Protection des Données lorsqu'un traitement, par sa nature, sa portée ou ses finalités, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. En pratique, presque toute utilisation d'IA avec des données personnelles en nécessite une, notamment en cas de : évaluation automatisée, décisions automatisées avec effets juridiques, surveillance systématique, traitement à grande échelle de catégories spéciales ou utilisation de nouvelles technologies (IA générative, reconnaissance faciale, analyse prédictive).
Cas pratiques : IA et données sensibles au quotidien
1. Recrutement par IA
Si vous utilisez un algorithme pour filtrer les CV, c'est un système d'IA à haut risque (AI Act, Annexe III). Il peut inférer des données sensibles (âge, origine ethnique, handicap). Vous devez : réaliser une AIPD, assurer un contrôle humain effectif, informer les candidats et enregistrer le système.
2. Chatbot de service client
Si votre chatbot IA générative collecte des données personnelles, vous devez : informer de l'interaction avec une IA (AI Act, risque limité), mettre à jour la politique de confidentialité, avoir une base légale et empêcher le modèle de stocker ou réentraîner sur des données sensibles.
3. Analyse prédictive en santé ou assurance
Les modèles prédisant le risque de maladies ou calculant des primes d'assurance traitent des données de santé (catégorie spéciale). Requis : consentement explicite ou base légale spécifique (art. 9.2 RGPD), AIPD obligatoire, chiffrement et pseudonymisation.
4. Reconnaissance faciale au travail
Un système de contrôle d'accès biométrique par reconnaissance faciale constitue un traitement de données biométriques (catégorie spéciale) et un système d'IA à haut risque. L'AEPD espagnole a publié des critères stricts : il n'est proportionné que s'il n'existe aucune alternative moins invasive.
Sanctions : le coût de la non-conformité
Régime de sanctions cumulatif :
- AI Act : jusqu'à 35 M€ ou 7 % du CA mondial pour pratiques interdites ; jusqu'à 15 M€ ou 3 % pour non-conformité des systèmes à haut risque.
- RGPD : jusqu'à 20 M€ ou 4 % du CA mondial pour infractions graves.
- LOPD-GDD : infractions très graves jusqu'à 20 M€ ou 4 % du CA ; infractions graves jusqu'à 300 000 €.
Checklist : IA, données sensibles et conformité
- Inventaire de tous les systèmes d'IA et classification par niveau de risque (AI Act).
- Cartographie des données personnelles traitées et bases légales.
- AIPD pour chaque système d'IA à haut risque.
- Politique de confidentialité mise à jour (usage de l'IA, logique, conséquences).
- Contrôle humain des décisions automatisées garanti.
- Contrats avec les fournisseurs d'IA vérifiés (sous-traitance, localisation, sécurité).
Services connexes
Votre entreprise utilise l'IA sans savoir si elle respecte le RGPD et l'AI Act ?
Chez Satya Legal nous vous accompagnons pour l'analyse d'impact, l'adaptation des contrats avec les fournisseurs d'IA, la politique de confidentialité et la conformité au nouveau Règlement européen sur l'intelligence artificielle.
Contacter Satya Legal
