RGPD et intelligence artificielle : de nouveaux défis de conformité pour les petites structures
Huit ans après l’entrée en application du règlement général sur la protection des données, la conformité au RGPD reste un exercice difficile pour de nombreuses petites structures. L’arrivée progressive du règlement européen sur l’intelligence artificielle ajoute désormais de nouvelles obligations. Elle peut cependant aussi fournir des outils permettant de simplifier certaines tâches de conformité.
Le RGPD repose sur un principe essentiel : le responsable du traitement doit respecter les règles applicables et être en mesure de démontrer cette conformité. Ce principe de responsabilité, ou « accountability », résulte notamment des articles 5 et 24 du RGPD.
En pratique, les obligations sont nombreuses : tenue du registre des activités de traitement, information des personnes concernées, encadrement des sous-traitants, gestion des demandes d’exercice des droits ou encore réalisation d’une analyse d’impact lorsqu’un traitement présente un risque élevé.
La taille réduite d’une entreprise ne la dispense généralement pas du respect de ces exigences. L’exemption concernant la tenue du registre des traitements reste notamment limitée lorsque les traitements réalisés ne présentent pas un caractère occasionnel.
L’intelligence artificielle ajoute une nouvelle dimension à la conformité
Le règlement européen (UE) 2024/1689 sur l’intelligence artificielle, également appelé règlement IA, introduit un cadre supplémentaire pour les entreprises qui développent ou utilisent des systèmes d’intelligence artificielle.
Lorsque ces systèmes traitent des données à caractère personnel, le règlement IA et le RGPD ont vocation à s’appliquer conjointement. Une entreprise utilisant une solution d’intelligence artificielle générative pour traiter des informations relatives à ses clients, salariés ou partenaires doit donc examiner ses obligations au regard de ces deux textes.
Cette articulation peut se révéler complexe pour les petites structures, qui disposent rarement de ressources juridiques ou techniques importantes. Les études récentes consacrées à la protection des données et à l’intelligence artificielle montrent d’ailleurs un recours croissant à ces technologies, alors que la gouvernance interne demeure encore insuffisamment formalisée dans de nombreux organismes.
Le calendrier progressif d’application du règlement IA impose également une veille attentive. Certaines dispositions sont déjà applicables, notamment celles relatives aux pratiques interdites et à la maîtrise des systèmes d’intelligence artificielle. Chaque organisme doit donc identifier les règles applicables à ses propres usages et suivre l’évolution du calendrier réglementaire.
L’IA peut faciliter la conformité sans remplacer l’analyse juridique
L’intelligence artificielle peut parallèlement constituer un outil de rationalisation de la conformité. La préparation d’un registre de traitements, de mentions d’information, de clauses contractuelles ou d’une première trame d’analyse d’impact peut être partiellement automatisée.
Cette évolution peut réduire le coût de certaines opérations documentaires, notamment pour les entreprises ne disposant ni d’un service juridique spécialisé ni d’un délégué à la protection des données à temps plein.
Cette automatisation doit néanmoins être utilisée avec prudence. Le recours à une solution d’intelligence artificielle ne transfère jamais la responsabilité juridique du responsable de traitement vers l’outil ou son fournisseur. Une documentation produite automatiquement doit être vérifiée et adaptée aux traitements effectivement mis en œuvre.
L’utilisation d’un outil d’IA peut également soulever de nouvelles problématiques juridiques : transmission de données à un prestataire, sous-traitance, transferts internationaux, confidentialité ou respect du secret professionnel pour certaines professions réglementées.
L’intelligence artificielle ne supprime donc pas la nécessité d’une expertise humaine. Elle peut faciliter la préparation et le suivi de la conformité, mais les décisions relatives à la base légale d’un traitement, aux durées de conservation ou à l’évaluation des risques demeurent des décisions juridiques engageant la responsabilité de l’organisme. Pour les petites structures, l’enjeu consiste désormais à intégrer l’intelligence artificielle dans une démarche de conformité documentée, proportionnée et juridiquement maîtrisée.
