Dès qu'un système d'intelligence artificielle traite des données à caractère personnel, le règlement général sur la protection des données (RGPD) s'applique. L'AI Act et le RGPD sont deux cadres distincts mais complémentaires : le premier encadre les systèmes d'IA selon leur risque, le second protège les données personnelles.
Le RGPD ne s'efface pas
Comme le rappelle l'Autorité de protection des données (APD), les nouvelles technologies ne sont pas exclues du champ d'application du RGPD, et l'interaction entre le RGPD et l'AI Act est jugée complexe. Autrement dit, l'arrivée de l'AI Act ne dispense pas de respecter les principes du RGPD : licéité, minimisation, limitation des finalités, transparence, droits des personnes.
Ce que dit le CEPD sur les modèles d'IA
Dans son avis 28/2024 (18 décembre 2024), adopté à la demande de l'autorité irlandaise, le Comité européen de la protection des données (CEPD) examine trois questions : quand un modèle d'IA peut être considéré comme anonyme (appréciation au cas par cas ; il doit être très improbable d'identifier les personnes ou d'extraire leurs données par des requêtes), si l'intérêt légitime peut servir de base légale (à évaluer via un test en trois étapes, dont un examen de nécessité et une mise en balance des droits), et les conséquences lorsqu'un modèle a été développé avec des données traitées illégalement.
Analyse d'impact et attentes raisonnables
En pratique, un traitement susceptible d'engendrer un risque élevé peut nécessiter une analyse d'impact relative à la protection des données (AIPD) préalable. Le CEPD invite par ailleurs à vérifier si les personnes pouvaient raisonnablement s'attendre à un tel usage de leurs données, en tenant compte notamment du caractère public ou non des données, du contexte de leur collecte et de la relation avec le responsable du traitement. Des mesures d'atténuation peuvent limiter les effets négatifs.
Vos droits, en pratique
Lorsqu'un organisme traite des données sur la base de l'intérêt légitime — souvent invoqué pour l'entraînement de modèles d'IA — la personne concernée dispose d'un droit d'opposition. L'APD, signataire en septembre 2025 d'une déclaration commune pour une gouvernance des données fiable au service de l'IA, publie des ressources d'information à ce sujet.
La matière évoluant vite (le CEPD prépare notamment des lignes directrices sur le moissonnage du web), l'analyse doit se faire au cas par cas. En cas de doute, il est prudent de consulter son délégué à la protection des données ou l'autorité compétente.