Beaucoup d'entreprises pensent que le RGPD concerne uniquement la collecte de données personnelles. En réalité, il encadre également le traitement automatisé de ces données — et donc l'IA.
L'article 22 du RGPD donne aux individus le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou significatifs. Cela signifie que :
Une IA boîte noire qui refuse un crédit, rejette une candidature ou détermine un tarif d'assurance sans explication viole potentiellement cet article.
Le RGPD impose de ne traiter que les données strictement nécessaires à la finalité poursuivie. Or, les modèles d'IA générative sont conçus pour absorber un maximum de données. Envoyer un dossier client complet à ChatGPT pour obtenir un résumé viole le principe de minimisation.
L'utilisation d'outils IA hébergés aux États-Unis constitue un transfert de données vers un pays tiers. Depuis l'invalidation du Privacy Shield (arrêt Schrems II), ces transferts nécessitent des garanties renforcées que la plupart des entreprises n'ont pas mises en place.
Le RGPD et l'AI Act sont complémentaires. Une infrastructure IA nativement conforme aux deux est le choix le plus sûr.
Identifier les usages concernés, la documentation attendue et les contrôles à mettre en place, avec une décision humaine finale.