Conformité RGPD pour les entreprises d’IA : par où commencer

Le règlement général sur la protection des données (RGPD, règlement (UE) 2016/679) est opposable depuis mai 2018, mais le contrôle propre à l’IA s’accélère. Rien qu’en 2025, les autorités de protection des données de l’Union ont prononcé plus de 1,5 milliard d’euros d’amendes, dont plusieurs actions majeures visant la prise de décision algorithmique, la reconnaissance faciale et les pratiques d’entraînement de l’IA.

Si vous construisez, déployez ou intégrez des systèmes d’IA qui traitent des données à caractère personnel de personnes résidant dans l’Union, le RGPD s’applique à vous. Avec le règlement sur l’IA qui superpose désormais des obligations supplémentaires, bien faire la conformité RGPD pour l’IA n’est plus facultatif. C’est le socle. L’article 50 du règlement sur l’IA s’applique depuis le 2 août 2026 ; les obligations à haut risque de l’annexe III s’appliquent à compter du 2 décembre 2027 (annexe I : 2 août 2028), après le Digital Omnibus (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026).

Ce guide traduit les exigences de fond du RGPD en termes concrets pour les équipes IA : scientifiques des données, chefs de produit, ingénieurs MLOps, et les professionnels de la conformité qui les accompagnent.

L’essentiel : ce que le RGPD impose aux entreprises d’IA

• Chaque système d’IA qui traite des données à caractère personnel a besoin d’une base juridique (article 6) : consentement, intérêt légitime, ou une autre des six bases.
• L’entraînement d’IA sur des données à caractère personnel exige une approche conforme au RGPD : collecte licite, limitation des finalités, minimisation des données et limitation de la conservation s’appliquent toutes.
• La prise de décision automatisée aux effets juridiques ou significatifs déclenche l’article 22 : les personnes ont le droit de ne pas faire l’objet de décisions exclusivement automatisées et le droit à des informations utiles sur la logique.
• Une analyse d’impact relative à la protection des données (AIPD) est obligatoire pour les traitements à haut risque, ce qui inclut la plupart des systèmes d’IA qui profilent des personnes ou prennent des décisions automatisées.
• Les données de catégorie particulière (origine raciale, santé, religion, orientation sexuelle) exigent un consentement explicite ou une autre exception de l’article 9 avant de pouvoir être traitées, y compris pour la détection des biais.
• Le RGPD et le règlement sur l’IA sont complémentaires. Les organisations doivent satisfaire les deux là où ils se recoupent. Une AIPD ne remplace pas un système de gestion des risques au titre du règlement sur l’IA.
• La désignation d’un délégué à la protection des données est obligatoire pour les organisations dont les activités de base consistent en une surveillance régulière et systématique des personnes à grande échelle, ou en un traitement à grande échelle de données de catégorie particulière.

Fondamentaux du RGPD pour les équipes IA

Les six bases juridiques (article 6)

Chaque acte de traitement de données à caractère personnel, y compris la collecte, la conservation, l’usage pour l’entraînement d’un modèle, l’inférence et la génération de sorties, exige l’une des six bases juridiques :

Exemple concret : une jeune pousse de cybersécurité entraîne un modèle de détection d’anomalies sur des journaux réseau qui contiennent des adresses IP de salariés et des constantes comportementales. L’entreprise s’appuie sur l’intérêt légitime (art. 6, par. 1, point f)), en documentant dans une analyse d’intérêt légitime que la finalité de sécurité l’emporte sur l’impact limité pour la vie privée, dès lors que les données sont pseudonymisées avant l’entraînement du modèle et que les salariés sont informés par la politique de confidentialité.

Droits des personnes concernées pertinents pour l’IA

Le RGPD confère huit droits aux personnes. Plusieurs sont particulièrement exigeants pour les systèmes d’IA :

1. Droit à l’information (art. 13-14) : vous devez expliquer que l’IA est utilisée, quelles données l’alimentent, et pourquoi. Voir la liste de contrôle de la politique de confidentialité pour les entreprises d’IA.
2. Droit d’accès (art. 15) : les personnes peuvent demander une copie de leurs données à caractère personnel, y compris les données dérivées par l’IA (par exemple notes inférées, classifications).
3. Droit de rectification (art. 16) : si un système d’IA produit une sortie incorrecte à partir de données à caractère personnel erronées, la personne peut exiger la correction.
4. Droit à l’effacement (art. 17) : le « droit à l’oubli » peut être techniquement complexe pour l’IA : retirer des données d’un modèle déjà entraîné peut exiger un réentraînement.
5. Droit à la limitation du traitement (art. 18) : les personnes peuvent faire cesser le traitement d’IA de leurs données le temps qu’un litige soit tranché.
6. Droit à la portabilité des données (art. 20) : les personnes concernées peuvent demander leurs données dans un format structuré, couramment utilisé et lisible par machine.
7. Droit d’opposition (art. 21) : les personnes peuvent s’opposer à un traitement fondé sur l’intérêt légitime, y compris le profilage à des fins de prospection.
8. Droits relatifs à la prise de décision automatisée (art. 22) : voir la section dédiée ci-dessous.

Exigences d’AIPD pour l’IA

Une analyse d’impact relative à la protection des données est obligatoire au titre de l’article 35 lorsque le traitement est « susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques ». Cela inclut explicitement :

• Le profilage systématique et approfondi aux effets significatifs.
• Le traitement à grande échelle de données de catégorie particulière.
• La surveillance systématique de zones accessibles au public.

En pratique, la plupart des systèmes d’IA qui prennent des décisions sur des personnes ou les profilent à grande échelle exigeront une AIPD. Les autorités nationales de protection des données ont publié leurs propres listes d’opérations de traitement exigeant une AIPD, et le profilage fondé sur l’IA figure sur presque toutes.

Une AIPD doit comprendre :

1. Une description systématique du traitement, de ses finalités, et de l’intérêt légitime poursuivi.
2. Une évaluation de la nécessité et de la proportionnalité du traitement.
3. Une évaluation des risques pour les droits et libertés des personnes concernées.
4. Les mesures pour répondre à ces risques, y compris les garanties, la sécurité, et les mécanismes propres à assurer la protection des données.

Exemple concret : une entreprise de technologies de santé utilise un modèle d’apprentissage automatique pour trier les messages de patients et attribuer des notes d’urgence. Le traitement porte sur des données de santé (catégorie particulière) à grande échelle et produit des classifications automatisées aux effets significatifs sur les personnes. Une AIPD est obligatoire et doit traiter des risques tels que la mauvaise classification, les biais contre certains groupes démographiques, et la disponibilité d’un examen humain.

Comment le RGPD s’applique aux données d’entraînement de l’IA

L’entraînement de modèles d’IA soulève des défis RGPD que le traitement classique de données ne soulève pas :

Limitation des finalités

Des données d’entraînement collectées pour une finalité ne peuvent pas être réutilisées pour une finalité incompatible sans nouvelle base juridique. Un jeu collecté pour l’analytique produit ne peut pas automatiquement être réaffecté à l’entraînement d’un moteur de recommandation.

Le « test de compatibilité » du RGPD (article 6, paragraphe 4) considère : le lien entre les finalités, le contexte de la collecte, la nature des données, les conséquences possibles, et l’existence de garanties telles que la pseudonymisation. Documenter cette évaluation est essentiel.

Minimisation des données et IA

L’article 5, paragraphe 1, point c), exige que les données soient « adéquates, pertinentes et limitées à ce qui est nécessaire ». Cela crée une tension réelle avec l’apprentissage automatique, où la performance du modèle s’améliore souvent avec plus de données.

Approches pratiques pour concilier minimisation des données et apprentissage automatique :

• Sélection des variables : utilisez des méthodes statistiques pour identifier quelles variables contribuent réellement à la performance du modèle, et écartez celles qui n’y contribuent pas.
• Données synthétiques : générez des jeux synthétiques qui préservent les propriétés statistiques sans contenir de vraies données à caractère personnel.
• Apprentissage fédéré : entraînez des modèles sur des sources de données décentralisées, sans centraliser les données brutes à caractère personnel.
• Confidentialité différentielle : ajoutez un bruit mathématique aux données d’entraînement pour que les enregistrements individuels ne puissent pas être reconstruits à partir du modèle.
• Agrégation et pseudonymisation : agrégez les données avant l’entraînement lorsque c’est possible, ou pseudonymisez pour séparer les identifiants des variables.

Limitation de la conservation

Les données d’entraînement ne peuvent pas être conservées indéfiniment. Définissez et documentez une durée de conservation. Si le modèle a été entraîné et que les données d’entraînement brutes ne sont plus nécessaires, supprimez-les, ou anonymisez-les au-delà du point de réidentification.

Exactitude

Les données d’entraînement doivent être exactes. Des données d’entraînement inexactes peuvent conduire à des sorties de modèle biaisées ou incorrectes, qui à leur tour peuvent produire des décisions qui portent préjudice aux personnes. Mettez en place des contrôles de qualité des données, la déduplication et des chaînes de validation.

Exemple concret : une entreprise de commerce en ligne moissonne des avis produits accessibles au public pour entraîner un modèle d’analyse de sentiment. Les avis contiennent des identifiants de compte qui peuvent être reliés à de vraies identités. L’entreprise doit évaluer si elle a une base juridique pour ce traitement, si les personnes ont été informées (l’article 14 s’applique lorsque les données ne sont pas collectées directement auprès de la personne concernée), et si le traitement est proportionné à la finalité.

Prise de décision automatisée au titre de l’article 22

L’article 22 confère aux personnes le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques ou l’affectant de manière significative de façon similaire.

Quand l’article 22 s’applique

Trois conditions doivent toutes être réunies :

1. La décision est fondée exclusivement sur un traitement automatisé (pas d’implication humaine véritable).
2. Le traitement comprend un profilage ou une autre forme d’analyse automatisée.
3. La décision produit des effets juridiques (par exemple résiliation d’un contrat, refus de prestations) ou des effets d’une importance comparable (par exemple refus de crédit, rejet d’une candidature).

Exceptions

Les décisions automatisées sont permises si :

• La décision est nécessaire à un contrat entre la personne concernée et le responsable du traitement.
• La décision est autorisée par le droit de l’Union ou d’un État membre assorti de garanties appropriées.
• La personne concernée a donné son consentement explicite.

Même lorsqu’une exception s’applique, le responsable du traitement doit mettre en œuvre des garanties appropriées, y compris le droit d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision.

Le droit à des informations utiles sur la logique

L’article 22 n’emploie pas explicitement la formule « droit à l’explication », mais les considérants 63 et 71 et les lignes directrices du groupe de travail « article 29 » établissent que les personnes concernées ont droit à des « informations utiles concernant la logique sous-jacente » des décisions automatisées. Cela signifie :

• Expliquer les facteurs clés que le modèle prend en compte.
• Expliquer la logique générale (pas nécessairement le code source complet ni l’architecture du modèle).
• Expliquer l’importance et les conséquences prévues du traitement.

Pour les équipes IA, cela signifie construire l’explicabilité dans le système dès la conception, que ce soit par des architectures de modèles interprétables, des valeurs SHAP, des explications LIME, ou des synthèses des facteurs de décision.

Exemple concret : une compagnie d’assurance utilise un modèle à gradient boosting pour fixer les primes. Un client dont la prime a fortement augmenté demande une explication. Au titre de l’article 22 et du considérant 71, l’entreprise doit pouvoir expliquer quels facteurs (par exemple historique de sinistres, code postal, type de véhicule) ont le plus influencé la décision tarifaire, et non se borner à dire que « l’algorithme a décidé ».

Consentement ou intérêt légitime pour l’IA

C’est l’une des questions les plus débattues en protection des données pour l’IA. Chaque base a des arbitrages :

Recommandation pratique : pour des données d’entraînement d’IA collectées directement auprès des personnes concernées (par exemple données d’interaction avec le service), l’intérêt légitime est souvent plus approprié que le consentement si l’usage entre dans les attentes raisonnables des personnes et qu’une analyse d’intérêt légitime approfondie est documentée. Pour des données sensibles ou des réutilisations secondaires inattendues, le consentement offre un ancrage juridique plus solide.

Détection des biais et données de catégorie particulière

L’équité de l’IA et la détection des biais créent un paradoxe RGPD : pour détecter et atténuer les biais dans les sorties du modèle selon les groupes protégés, vous avez souvent besoin de traiter des données de catégorie particulière (origine raciale ou ethnique, état de santé, religion, orientation sexuelle, opinions politiques), ce qui est interdit au titre de l’article 9, paragraphe 1, sauf exception.

Naviguer le paradoxe

Les exceptions disponibles pour la détection des biais comprennent :

• Consentement explicite (art. 9, par. 2, point a)) : les personnes acceptent explicitement que leurs données sensibles soient utilisées pour une analyse d’équité.
• Intérêt public important (art. 9, par. 2, point g)) : certains États membres ont adopté des lois reconnaissant le suivi antidiscriminatoire comme un intérêt public important. Vérifiez votre transposition nationale.
• Finalités statistiques et de recherche (art. 9, par. 2, point j)) : traitement à des fins statistiques avec des garanties appropriées, y compris la pseudonymisation et la minimisation des données.

Bonnes pratiques :

1. Utilisez des données démographiques agrégées et anonymisées pour l’audit des biais lorsque c’est possible.
2. Si des données sensibles au niveau individuel sont nécessaires, pseudonymisez-les et restreignez l’accès à l’équipe chargée des essais d’équité.
3. Documentez la nécessité et la proportionnalité du traitement de données sensibles pour la détection des biais dans votre AIPD.
4. Supprimez ou anonymisez les données sensibles une fois l’audit des biais achevé.

Le règlement sur l’IA ouvre, à l’article 10, paragraphe 5, une voie étroite pour que les fournisseurs traitent des données de catégorie particulière afin de détecter et de corriger les biais, sous des garanties strictes. Cette voie ne dispense pas du RGPD : les deux régimes s’appliquent ensemble.

Transferts transfrontaliers de données d’entraînement

Les données d’entraînement d’IA proviennent souvent de plusieurs juridictions. Le RGPD restreint les transferts de données à caractère personnel hors de l’UE / EEE (chapitre V) :

Mécanismes de transfert

Exemple concret : une entreprise d’IA basée à Berlin envoie des données d’entraînement annotées à une équipe d’étiquetage aux Philippines. Aucune décision d’adéquation ne couvre les Philippines, donc l’entreprise doit conclure des CCT avec le sous-traitant et mener une analyse d’impact des transferts pour évaluer si le droit philippin offre, en pratique, une protection adéquate.

Nuage et infrastructure

Les traitements d’IA s’exécutent souvent sur une infrastructure de nuage opérée par de grands hébergeurs américains (AWS, Google Cloud, Azure). Assurez-vous que :

• L’hébergeur de nuage propose des options de résidence des données dans l’UE et que les données sont traitées dans l’EEE.
• Si des données quittent l’EEE, des mécanismes de transfert appropriés (typiquement des CCT) sont en place.
• L’accord de sous-traitance de l’hébergeur satisfait les exigences de l’article 28 du RGPD.

Exigences relatives au délégué à la protection des données pour les entreprises d’IA

Un délégué à la protection des données doit être désigné si :

1. L’organisation est une autorité publique (sauf les autorités juridictionnelles lorsqu’elles agissent dans l’exercice de leurs fonctions juridictionnelles).
2. Les activités de base consistent en des opérations de traitement exigeant une surveillance régulière et systématique des personnes à grande échelle.
3. Les activités de base consistent en un traitement à grande échelle de données de catégorie particulière.

La plupart des entreprises d’IA dont l’offre principale implique le profilage, l’analytique comportementale, le traitement biométrique ou des données de santé rempliront l’un de ces seuils. Même si ce n’est pas strictement exigé, désigner un délégué est considéré comme une bonne pratique et signale une maturité réglementaire.

Le délégué doit être indépendant, rendre compte au plus haut niveau de direction, et ne peut pas être licencié ni sanctionné pour l’exercice de ses missions. Il peut être un salarié interne ou exercer ses missions sur la base d’un contrat de service.

Liste de contrôle RGPD pour les entreprises d’IA

Servez-vous de cette liste de contrôle pour évaluer votre état actuel :

Inventaire et cartographie des données

• Toutes les données à caractère personnel traitées par des systèmes d’IA sont documentées dans un registre des activités de traitement au titre de l’article 30.
• Les flux de données sont cartographiés de bout en bout : collecte, conservation, traitement (y compris l’entraînement du modèle), sortie, partage et suppression.
• Les sources de données tierces (API, données moissonnées, jeux achetés) sont identifiées et leur base juridique est documentée.

Base juridique

• Une base juridique est identifiée et documentée pour chaque activité de traitement portant sur des données à caractère personnel.
• Lorsque l’intérêt légitime est invoqué, une analyse d’intérêt légitime est achevée et disponible.
• Les mécanismes de consentement satisfont les normes du RGPD (libre, spécifique, éclairé, univoque, pouvant être retiré).

Transparence

• La politique de confidentialité couvre le traitement propre à l’IA, y compris la prise de décision automatisée et le profilage. Voir la liste de contrôle de la politique de confidentialité.
• Les personnes sont informées du traitement d’IA au moment de la collecte des données, ou avant.
• Lorsque les données n’ont pas été obtenues auprès de la personne concernée (art. 14), une information est fournie dans un délai d’un mois.

Droits des personnes concernées

• Des processus sont en place pour répondre aux demandes d’accès, de rectification, d’effacement, de portabilité, de limitation et d’opposition dans un délai d’un mois.
• Il existe un processus pour fournir des informations utiles sur les décisions automatisées au titre de l’article 22.
• Un examen humain est disponible pour les décisions automatisées aux effets juridiques ou significatifs.

AIPD et gestion des risques

• Des AIPD sont achevées pour toutes les activités de traitement d’IA à haut risque.
• Les AIPD sont revues et mises à jour lorsque le traitement change de façon matérielle.
• Les sorties d’AIPD sont intégrées à la gestion des risques du règlement sur l’IA le cas échéant.

Qualité des données et minimisation

• Les données d’entraînement sont examinées pour l’exactitude, la pertinence et la représentativité.
• Les variables qui ne contribuent pas à la performance du modèle sont retirées.
• Des durées de conservation sont définies et appliquées pour les données d’entraînement, les journaux d’inférence et les sorties du modèle.

Sécurité

• Des mesures techniques et organisationnelles appropriées sont mises en œuvre (art. 32) : chiffrement, pseudonymisation, contrôles d’accès, réponse aux incidents.
• La sécurité du modèle traite les risques d’extraction de données, d’inversion de modèle et d’attaques antagonistes.
• Des procédures de notification des violations de données sont en place (notification sous 72 heures à l’autorité de contrôle au titre de l’art. 33).

Biais et équité

• Des processus de détection et d’atténuation des biais sont en place, avec une base juridique documentée pour tout traitement de données de catégorie particulière.
• Les sorties du modèle sont surveillées pour un impact disparate selon les groupes protégés.

Transferts internationaux

• Tous les transferts transfrontaliers de données sont couverts par un mécanisme approprié (adéquation, CCT, BCR).
• Les analyses d’impact des transferts sont documentées pour les transferts vers des pays sans adéquation.
• Les hébergeurs de nuage et d’infrastructure ont des accords de sous-traitance conformes au RGPD et des options de résidence des données dans l’UE.

Gouvernance

• Un délégué à la protection des données est désigné si c’est exigé (ou volontairement, comme bonne pratique).
• Le personnel qui traite des données à caractère personnel reçoit une formation régulière au RGPD et propre à l’IA.
• Des accords de sous-traitance sont en place avec tous les sous-traitants (art. 28).

Coordonner la conformité au RGPD et au règlement sur l’IA

Le RGPD et le règlement sur l’IA sont des règlements complémentaires aux exigences qui se recoupent. Les coordonner évite les doublons et les trous :

Pour une comparaison détaillée, voir règlement sur l’IA et RGPD : différences et recoupements.

Erreurs fréquentes de conformité RGPD pour l’IA

1. Traiter les sorties du modèle comme des données non personnelles. Si un système d’IA génère une note de solvabilité, une classification de risque ou un profil comportemental lié à une personne identifiable, cette sortie est une donnée à caractère personnel au titre du RGPD.
2. Invoquer le consentement lorsque l’intérêt légitime est plus approprié (et l’inverse). Le consentement donne aux personnes concernées le contrôle maximal, mais il est fragile à l’échelle des données d’entraînement. L’intérêt légitime est plus praticable, mais exige une mise en balance approfondie et documentée.
3. Ignorer l’article 14 pour les données moissonnées ou tierces. Lorsque des données à caractère personnel ne sont pas collectées directement auprès de la personne concernée, l’article 14 exige de fournir un avis de confidentialité dans un délai d’un mois à compter de l’obtention des données, une exigence que beaucoup d’entreprises d’IA manquent.
4. Mener une AIPD comme une formalité unique. Les AIPD doivent être revues et mises à jour lorsque le traitement change. Une AIPD faite au modèle v1 peut ne pas couvrir les risques introduits en v3.
5. Supposer que la pseudonymisation égale l’anonymisation. Les données pseudonymisées restent des données à caractère personnel au titre du RGPD. Seules les données véritablement anonymisées (où la réidentification n’est pas raisonnablement possible) sortent du champ du RGPD.
6. Ne pas prévoir les demandes d’effacement. Si une personne concernée demande la suppression et que ses données ont servi à entraîner un modèle, vous avez besoin d’une stratégie : réentraînement, désapprentissage automatique, ou documentation expliquant pourquoi l’effacement est techniquement disproportionné au regard des exceptions disponibles.
7. Ne pas documenter la base juridique avant de commencer à traiter. Le RGPD exige de déterminer et de documenter votre base juridique avant que le traitement commence. Une justification rétroactive est un manquement de conformité.

Questions fréquentes

Ai-je besoin d’une conformité RGPD si mon système d’IA ne traite pas de données à caractère personnel ?

Si votre système d’IA ne traite véritablement aucune donnée à caractère personnel, par exemple un modèle de prévision météo entraîné exclusivement sur des données de capteurs météorologiques, le RGPD ne s’applique pas à ce traitement précis. Restez toutefois prudent : des données qui paraissent non personnelles peuvent le devenir en contexte (par exemple des données de localisation combinées à des horodatages peuvent identifier des personnes).

Puis-je utiliser des données accessibles au public pour entraîner mon modèle d’IA ?

Le fait que des données soient accessibles au public ne les exempte pas du RGPD. Vous avez encore besoin d’une base juridique, devez fournir un avis de confidentialité (art. 14), et devez respecter les droits des personnes concernées. Le fait que les données aient été rendues publiques par la personne concernée peut étayer un argument d’intérêt légitime, mais cela doit être évalué au cas par cas.

Comment traiter les demandes de droit à l’effacement pour des données déjà utilisées dans l’entraînement d’un modèle ?

C’est l’un des défis RGPD les plus durs pour l’IA. Les options comprennent : réentraîner le modèle sans les données de la personne, appliquer des techniques de désapprentissage automatique, documenter que les données ont été anonymisées au point de n’être plus des données à caractère personnel dans les poids du modèle, ou invoquer une exception lorsque l’effacement rendrait le traitement impossible ou compromettrait gravement la réalisation d’une finalité de recherche (art. 17, par. 3, point d)).

L’article 22 du RGPD s’applique-t-il aux décisions assistées par l’IA (pas pleinement automatisées) ?

L’article 22 s’applique aux décisions fondées exclusivement sur un traitement automatisé. S’il y a une implication humaine véritable, où un humain examine réellement la sortie de l’IA et exerce un jugement indépendant avant que la décision soit prise, l’article 22 ne s’applique pas. En revanche, entériner sans examen une recommandation d’IA ne constitue pas une implication humaine véritable.

Comment coordonner mon AIPD avec les exigences de gestion des risques du règlement sur l’IA ?

Construisez une seule analyse de risque intégrée qui couvre à la fois les exigences d’AIPD du RGPD et la gestion des risques de l’article 9 du règlement sur l’IA. L’AIPD se concentre sur les risques de protection des données ; le système de gestion des risques du règlement sur l’IA couvre des risques plus larges de sécurité, de droits fondamentaux et de technique. Un processus conjoint évite les doublons et assure la cohérence. Voir le guide complet du règlement sur l’IA pour le tableau réglementaire d’ensemble.

Une analyse d’intérêt légitime est-elle la même chose qu’une AIPD ?

Non. Une analyse d’intérêt légitime justifie votre choix de base juridique au titre de l’article 6, paragraphe 1, point f). Une AIPD évalue le risque d’ensemble de l’activité de traitement pour les droits et libertés des personnes concernées. Si vous invoquez l’intérêt légitime pour un traitement d’IA à haut risque, vous aurez vraisemblablement besoin à la fois d’une analyse d’intérêt légitime documentée et d’une AIPD.

Prochaines étapes

La conformité au RGPD est une moitié du tableau réglementaire pour les entreprises d’IA. Pour comprendre comment le règlement sur l’IA s’ajoute à vos obligations, et où les deux régimes se recoupent, lancez l’évaluation gratuite au titre du règlement sur l’IA et consultez le guide complet du règlement sur l’IA.

Legalithm est un outil d’accompagnement à la conformité assisté par l’IA, ce n’est pas un conseil juridique. Les décisions finales de conformité doivent être revues par un conseil juridique qualifié.