Nouvelle guidance EDPB sur l’IA et la protection des données

Du point de vue normatif, l’EDPB (European Data Protection Board) a publié une guidance en 2026 visant à préciser l’application du GDPR aux systèmes d’intelligence artificielle. Le document reprend les principes classiques de la data protection et les décline pour les traitements automatisés, les modèles d’entraînement et les activités de profiling à grande échelle.

1. La réglementation et la position des autorités

Le Garante et d’autres autorités nationales, en cohérence avec l’EDPB et la CJUE, ont rappelé que l’utilisation de l’IA ne crée pas d’exception aux exigences du GDPR. La guidance insiste sur l’obligation d’effectuer des analyses d’impact relatives à la protection des données (DPIA) dès lors que le traitement présente un risque élevé pour les droits et libertés des personnes concernées. Elle précise aussi les conditions de licéité, les exigences d’information et les exigences relatives aux garanties techniques et organisationnelles.

2. Interprétation et implications pratiques

Du point de vue pratique, cela signifie que les entreprises doivent considérer l’IA non pas comme une boîte noire à isoler, mais comme un traitement soumis à des obligations opérationnelles strictes. Transparence, minimisation des données et responsabilité démontrable sont au cœur des attentes des autorités. Le risque compliance est réel: la guidance clarifie que les fournisseurs de modèles et les utilisateurs finaux peuvent être tenus responsables, selon leur rôle effectif dans le traitement.

3. Ce que doivent faire les entreprises

Le Garante a établi que les étapes suivantes sont prioritaires pour toute organisation utilisant l’IA :

• Répertorier tous les systèmes d’IA et les finalités de traitement.
• Réaliser des DPIA proportionnées, en incluant des scénarios d’usage et des tests d’impact sur les droits fondamentaux.
• Mettre en place des garanties techniques (ex. pseudonymisation, robustesse des modèles) et organisationnelles (politiques d’accès, journaux d’audit).
• Formaliser les relations contractuelles avec les fournisseurs de modèles et de données, en prévoyant clauses de responsabilité, audits et assistance en cas de violation.
• Renforcer l’information et les mécanismes d’exercice des droits des personnes (accès, rectification, opposition, explication sur la logique du traitement).

4. Risques et sanctions possibles

Le risque compliance est réel: en cas de manquement, les autorités peuvent appliquer des mesures correctives, des injonctions opérationnelles et des sanctions financières pouvant atteindre 4% du chiffre d’affaires mondial annuel ou 20 millions d’euros, selon l’infraction. Outre l’aspect financier, les entreprises s’exposent à un risque réputationnel élevé et à des procédures civiles initiées par les personnes concernées.

5. Best practice pour atteindre la conformité

Le Garante et l’EDPB recommandent plusieurs bonnes pratiques pragmatiques :

• Adopter une approche ‘privacy by design’ dès la conception des projets d’IA.
• Documenter toutes les décisions techniques et juridiques (registre des traitements, choix des finalités, critères de minimisation).
• Intégrer des procédures de gouvernance : comité d’éthique, revues régulières des modèles, tests de biais et audits indépendants.
• Utiliser des outils RegTech pour automatiser le suivi des DPIA, la gestion des consentements et la traçabilité des accès.
• Former les équipes opérationnelles et juridiques sur les implications pratiques du GDPR pour l’IA.

Conclusion

Du point de vue normatif, la guidance de l’EDPB ne révolutionne pas le droit mais clarifie les attentes en matière de data protection pour l’IA. Le risque compliance est réel: les entreprises doivent traduire ces principes en actions concrètes, documentées et vérifiables. En pratique, la conformité passe par une combinaison de mesures techniques, garanties contractuelles et gouvernance interne — autant d’éléments qui, s’ils sont bien mis en œuvre, réduisent significativement l’exposition aux risques réglementaires et réputationnels.

Dr. Luca Ferretti, avocat spécialisé en droit numérique et legal tech. Sources : EDPB, Garante per la protezione dei dati personali, Cour de justice de l’Union européenne.