Conformité RGPD IA avec Audact

Comment Audact gère le RGPD

Article 22 RGPD : prise de décision automatisée et IA

L'Article 22 donne à chaque personne concernée le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé — y compris le profilage — produisant des effets juridiques ou affectant de manière similaire et significativement la personne. Pour les déployeurs IA, c'est la disposition la plus importante du RGPD : un système IA qui refuse un prêt, rejette un candidat à un emploi, déclenche un blocage de fraude ou planifie une audience disciplinaire sans revue humaine significative tombe clairement dans le périmètre de l'Article 22.

Des voies légales existent : consentement explicite, nécessité pour un contrat, ou autorisation en vertu du droit de l'Union/des États membres avec des garanties adéquates. Dans tous les cas, le responsable du traitement doit fournir des informations significatives sur la logique impliquée, l'importance du traitement, et donner à la personne le droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision. La Cour de justice européenne a confirmé dans SCHUFA (C-634/21, 2023) que le scoring de probabilité utilisé par des tiers pour piloter une décision est lui-même une « prise de décision automatisée » — élargissant l'Article 22 pour les fournisseurs IA.

Comment les systèmes IA déclenchent les obligations RGPD de protection des données

L'entraînement, le fine-tuning et l'inférence sur des données personnelles sont chacun des activités de traitement distinctes au sens de l'Article 4(2), et chacune nécessite sa propre base juridique en vertu de l'Article 6. Les agents vocaux, chatbots et flux de travail agentiques ingèrent régulièrement des noms, numéros de téléphone, données biométriques vocales et contenu révélant la santé, les convictions ou la sexualité — ce qui peut faire passer le traitement en données de catégorie spéciale sous l'Article 9, nécessitant une base plus solide telle que le consentement explicite ou l'intérêt public substantiel.

Une évaluation d'impact sur la protection des données (Article 35) est effectivement obligatoire pour la plupart des déploiements IA orientés clients : ils combinent surveillance systématique, nouvelle technologie et souvent des personnes concernées vulnérables. Les responsables du traitement doivent également satisfaire aux obligations de transparence des Articles 13-14 au moment de la collecte des données — une obligation que les agents vocaux IA ne respectent fréquemment pas car la divulgation intervient trop tard dans la conversation.

Transferts transfrontaliers de données sous le RGPD pour les fournisseurs IA

Le Chapitre V du RGPD restreint les transferts de données personnelles hors de l'EEE. Suite à Schrems II, les responsables du traitement doivent effectuer une évaluation de l'impact des transferts lors de l'utilisation de clauses contractuelles types, et le cadre EU-US de confidentialité des données fournit actuellement le seul pont d'adéquation vers les États-Unis. De nombreux fournisseurs IA populaires (OpenAI, Anthropic, Google) traitent les données UE sur une infrastructure basée aux États-Unis sous DPF ou SCC, ce qui déplace la charge de diligence raisonnable sur le client.

Audact résout cela en opérant exclusivement dans l'UE : le trafic d'inférence, les métadonnées, les clés et les sauvegardes restent dans AWS Francfort et Amsterdam. Aucun transfert de Chapitre V n'a jamais lieu, éliminant la charge d'évaluation d'impact des transferts et supprimant la dépendance à la stabilité politique continue du DPF.

Rôles dans le traitement des données

Audact opère en tant que sous-traitant. Le client reste le responsable du traitement en tout temps. Audact traite les données uniquement au nom du responsable du traitement et selon ses instructions.

Accord de traitement des données

Notre DPA standard est disponible à /legal/dpa. Les clients Enterprise peuvent demander un DPA personnalisé.

Questions fréquemment posées

Comparer les lois de conformité IA UE

Ressources de conformité connexes

• Aperçu de la conformité EU AI Act Article 50
• Conformité DSA pour l'IA
• Tarifs de la plateforme de conformité Audact