Outre le RGPD, une deuxième loi européenne s'applique progressivement : le Règlement sur l'IA, aussi appelé AI Act. Cette loi ne régit pas la confidentialité elle-même, mais l'utilisation de l'intelligence artificielle, et touche ainsi précisément les outils que de nombreuses PME utilisent désormais quotidiennement : un chatbot pour le contact client, un scanner de CV lors du recrutement, ou un logiciel qui analyse les images de caméra. Pour les entreprises qui déploient ces outils, de nouvelles obligations s'ajoutent cette année et dans les années à venir, au-delà de ce que le RGPD exige déjà.
La pertinence de ceci pour votre entreprise dépend de ce que fait précisément l'application IA et des données avec lesquelles elle fonctionne. Si vous utilisez l'IA uniquement pour rédiger des textes ou planifier des agendas, il y aura probablement peu de changements pour vous. Si vous utilisez l'IA pour soutenir des décisions concernant des personnes — sélectionner des candidats, évaluer le personnel, classer les clients dans des catégories de risque — il est plus probable que les nouvelles règles vous affectent, et qu'elles examinent ensemble avec le RGPD le même traitement des données à caractère personnel.
Ce qui change cette année
Le Règlement sur l'IA n'est pas entré en vigueur en une seule fois. La loi prévoit différentes dates auxquelles ses éléments s'appliquent, échelonnées sur plusieurs années. Ainsi, des règles plus strictes s'appliquent aux systèmes d'IA identifiés comme à risque, et des obligations distinctes s'appliquent aux fournisseurs de modèles d'IA à usage général. La date exacte pour chaque élément est indiquée dans le Règlement lui-même ; comme il s'agit d'un processus échelonné, nous vous recommandons de consulter le texte officiel pour les dates exactes applicables à votre situation, plutôt que de vous fier à un résumé.
Ce qui est certain, c'est la direction : plus une application d'IA a d'influence sur les personnes — en matière de recrutement, d'évaluation, d'accès aux services — plus les exigences sont strictes. Cela s'aligne sur la manière dont le RGPD examine depuis longtemps la prise de décision automatisée, mais le Règlement sur l'IA ajoute ses propres obligations, telles que des exigences en matière de documentation, de transparence envers la personne concernée et, dans certains cas, une évaluation obligatoire avant la mise en service du système.
Pour ceux à qui ce changement s'applique
Le Règlement établit une distinction entre les rôles : celui qui développe ou met sur le marché un système d'IA a d'autres obligations que celui qui l'utilise simplement comme entreprise. La plupart des PME se situent dans cette deuxième catégorie, en tant qu'utilisateurs d'un outil construit par un fournisseur de logiciel. Même dans ce cas, des obligations s'appliquent, bien qu'elles soient généralement moins lourdes que pour le constructeur du système. Pensez à informer les employés ou les clients que l'IA est utilisée, et à évaluer si l'utilisation respecte les limites de la loi.
Les services des ressources humaines qui utilisent l'IA lors du recrutement ou de l'évaluation, et les entreprises qui font analyser les images de caméra par des logiciels, feraient bien de faire maintenant l'inventaire des outils précis qu'ils utilisent et ce qu'ils font avec les données. C'est le même inventaire que le RGPD exige déjà pour le registre des traitements, et ces deux lignes — RGPD et Règlement sur l'IA — vont souvent de pair dans la pratique.
Ce que cela signifie en plus du RGPD
Le Règlement sur l'IA ne remplace pas le RGPD et ne le rend pas superflu. Si un outil d'IA traite des données à caractère personnel, le RGPD continue de s'appliquer à ce traitement, y compris l'exigence d'une base légale, l'obligation d'information envers la personne concernée et, le cas échéant, un contrat de traitement avec le fournisseur de l'outil. Le Règlement sur l'IA s'ajoute dans certains cas, avec ses propres exigences qui portent spécifiquement sur le système d'IA, indépendamment de la question de savoir si des données à caractère personnel sont impliquées.
Si quelque chose se passe mal avec des données à caractère personnel lors de l'utilisation d'un outil d'IA — un chatbot qui partage accidentellement les données client avec la mauvaise personne, ou un système qui stocke les données de manière non sécurisée — l'obligation de notification du RGPD continue de s'appliquer entièrement. Si vous doutez qu'un incident impliquant un outil d'IA soit couvert par cette obligation de notification, vous pouvez montrer en quelques questions s'il s'agit d'une violation de données à signaler.
Ce que vous pouvez déjà faire maintenant
Sans attendre chaque date limite, vous pouvez dès maintenant recenser les outils d'IA utilisés dans votre entreprise, à quoi ils servent, et si des données à caractère personnel y sont traitées. Cet inventaire constitue aussi la base du registre des activités de traitement que le RGPD demande déjà, et vous pouvez atteindre ces deux objectifs — registre RGPD et vue d'ensemble IA — en une seule étape. Gdpria.eu tient à jour dans la base de connaissances par sujet ce qui se passe autour de l'IA et de la vie privée, avec la source dans le texte officiel incluse, de sorte que vous puissiez vérifier vous-même ce qui s'applique à votre situation.
Si vous avez des questions sur la façon dont l'utilisation de l'IA se rapporte à vos obligations existantes en matière de RGPD, vous trouverez un certain nombre de réponses à la questions fréquemment posées. Pour la question de savoir comment nous obtenons nos informations et pourquoi elles restent délibérément à la source, lisez-le sur la page d'où viennent les informations.
Le point de savoir exactement comment ces règles s'appliquent à votre entreprise est quelque chose que vous feriez mieux de faire évaluer par un juriste ou, en cas de doute sur l'aspect RGPD, de demander à l'autorité néerlandaise de protection des données. Si vous voulez d'abord vous faire une idée de votre situation, vous pouvez effectuer gratuitement l'analyse rapide sans engagement ou parcourir les sujets de la base de connaissances.