Skip to main content

Règlement IA vs RGPD : différences et chevauchements

En quoi le règlement sur l'IA et le RGPD diffèrent par le champ d'application, les obligations, les amendes et l'application, et où ils se chevauchent.

Les fournisseurs et déployeurs de systèmes d'IA traitant des données personnelles dans l'UE doivent respecter le règlement sur l'IA et le RGPD. Sans préjudice des articles 4 bis et 59, le règlement sur l'IA n'affecte pas le RGPD (article 2, paragraphe 7).

Le RGPD s'applique depuis le 25 mai 2018. Le règlement sur l'IA s'applique par étapes à partir du 2 février 2025. Les amendes du règlement sur l'IA atteignent 35 millions d'EUR ou 7 % du chiffre d'affaires annuel mondial total. Le montant le plus élevé est retenu (article 99, paragraphe 3). Celles du RGPD atteignent 20 millions d'EUR ou 4 %, avec le même critère (article 83, paragraphe 5). Prochaine étape : associez les rôles de chaque système d'IA aux deux textes.

Les deux textes diffèrent par le champ d'application, l'approche des risques, les obligations, les amendes et l'application

SujetRèglement sur l'IARGPD
Champ d'applicationSystèmes d'IA mis sur le marché ou mis en service dans l'UE, modèles GPAI mis sur le marché de l'UE, déployeurs établis ou situés dans l'UE, ainsi que fournisseurs et déployeurs établis ailleurs dont la sortie du système est utilisée dans l'UE (article 2, paragraphe 1)Traitement de données à caractère personnel effectué dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant dans l'UE, et traitement de données de personnes se trouvant dans l'UE par d'autres qui leur offrent des biens ou des services ou suivent leur comportement dans l'UE (article 3)
Approche des risquesDes règles selon le risque : pratiques interdites (article 5), systèmes d'IA à haut risque (article 6) et obligations de transparence (article 50), plus des règles distinctes pour les modèles GPAILes obligations augmentent avec le risque. Une analyse d'impact relative à la protection des données (AIPD) est exigée pour les traitements susceptibles d'engendrer un risque élevé (article 35)
Obligations principalesPour les systèmes d'IA à haut risque : gestion des risques, gouvernance des données, documentation technique, tenue de registres, transparence, contrôle humain, exactitude, robustesse et cybersécurité (articles 9 à 15)Une base juridique, la limitation des finalités, la minimisation des données et les droits des personnes concernées (articles 5, 6 et 12 à 22)
Amendes maximalesJusqu'à 35 millions d'EUR ou 7 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu (article 99, paragraphe 3)Jusqu'à 20 millions d'EUR ou 4 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu (article 83, paragraphe 5)
ApplicationLes autorités nationales de surveillance du marché. Le Bureau de l'IA de la Commission est seul compétent pour les modèles GPAI et pour certains systèmes d'IA : ceux fondés sur un modèle GPAI par le même fournisseur (avec des exceptions) et ceux intégrés dans de très grandes plateformes ou de très grands moteurs de recherche en ligne (articles 75 et 88)Les autorités nationales de protection des données (autorités de contrôle) (article 51)
Date d'applicationPar étapes du 2 février 2025 au 2 août 2028, certaines dates allant jusqu'au 2 août 2030 (article 113)Depuis le 25 mai 2018 (article 99, paragraphe 2)

Ces domaines se recoupent, et les deux textes s'appliquent dans chacun

  • Décisions automatisées

    L'article 22 du RGPD donne aux personnes le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, qui produit des effets juridiques ou les affecte de manière significative de façon similaire, sous réserve des exceptions de l'article 22, paragraphe 2. Le règlement sur l'IA exige que les systèmes à haut risque permettent un contrôle humain effectif (article 14). Il donne aussi à une personne concernée par une décision d'un déployeur fondée sur la sortie d'un système à haut risque de l'annexe III (hors infrastructures critiques) un droit à une explication, lorsque la décision produit des effets juridiques ou l'affecte de manière similaire et que la personne la juge défavorable à sa santé, sa sécurité ou ses droits fondamentaux. Cela ne s'applique que dans la mesure où le droit de l'Union ne prévoit pas déjà ce droit (article 86).

  • Transparence

    Le RGPD impose aux responsables du traitement d'informer les personnes sur le traitement de leurs données (articles 13 et 14). Le règlement sur l'IA impose aux fournisseurs de remettre aux déployeurs une notice d'utilisation des systèmes à haut risque (article 13) et exige, pour certains systèmes, une information des personnes (article 50). Les deux peuvent s'appliquer au même système.

  • Qualité des données et biais

    L'article 5, paragraphe 1, point d), du RGPD exige que les données à caractère personnel soient exactes. Le règlement sur l'IA exige que les données d'entraînement, de validation et de test des systèmes à haut risque respectent des critères de qualité, dont un examen des biais possibles (article 10). Les fournisseurs peuvent exceptionnellement traiter des catégories particulières de données à caractère personnel pour détecter et corriger les biais, à des conditions strictes (article 4 bis).

  • Analyses d'impact

    Le cas échéant, les déployeurs de systèmes à haut risque utilisent les informations de l'article 13 fournies par le fournisseur pour leur analyse d'impact relative à la protection des données au titre du RGPD (article 26, paragraphe 9). Une analyse d'impact sur les droits fondamentaux au titre de l'article 27 peut renvoyer à cette analyse (article 27, paragraphe 4).

Ces différences déterminent ce que vous devez faire au titre de chaque texte

  • Ce qui est réglementé

    Le RGPD régit le traitement des données à caractère personnel. Le règlement sur l'IA régit les systèmes d'IA et les modèles d'IA à usage général, qu'ils traitent ou non des données à caractère personnel.

  • Qui porte les obligations

    Le RGPD s'adresse aux responsables du traitement et aux sous-traitants. Le règlement sur l'IA s'adresse aux fournisseurs, aux déployeurs, aux importateurs, aux distributeurs et aux autres opérateurs. Les rôles ne se correspondent pas un à un : vérifiez les définitions de chaque texte (règlement sur l'IA article 3, RGPD article 4).

  • Exigences de documentation

    Le RGPD exige un registre des activités de traitement (article 30) et des analyses d'impact relatives à la protection des données (article 35). Le règlement sur l'IA exige une documentation technique (article 11), une évaluation de la conformité (article 43) et, pour certains déployeurs, une analyse d'impact sur les droits fondamentaux (article 27). L'un ne remplace pas l'autre.

Questions fréquentes

Respecter le RGPD suffit-il pour le règlement sur l'IA ?

Non. Le règlement sur l'IA fixe des obligations distinctes, comme la gestion des risques des systèmes à haut risque (article 9) et la documentation technique (article 11). Sans préjudice des articles 4 bis et 59, il n'affecte pas le RGPD (article 2, paragraphe 7) : les deux textes s'appliquent.

Deux autorités peuvent-elles agir à l'égard du même système d'IA ?

Oui. Une autorité de protection des données fait appliquer le RGPD et une autorité de surveillance du marché fait appliquer le règlement sur l'IA, chacune dans le cadre de son texte. Lorsqu'une autorité fixe une amende au titre du règlement sur l'IA, elle tient compte des amendes que d'autres autorités ont déjà infligées pour la même activité (article 99, paragraphe 7, point c)).

Guides connexes

Scanara prépare des preuves à partir de vos dépôts

Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.