5.4RGPD, AI Act & cadre légal
L'essentiel en 30 secondes
- Donnee personnelle = vigilance : minimisation, outil valide, humain dans la boucle pour toute decision a effet.
- AI Act par les risques : pratiques a eviter, usages sensibles tres encadres (dont le recrutement), transparence.
- Votre role : reperer les situations sensibles et poser la question au DPO/juriste — pas trancher seul.
Mini-cas filé — Amine et le tri de CV interdit d'improviser
Amine veut faire trier des CV par l'IA pour son projet a Alger : donnees personnelles de candidats + decision touchant des personnes. Au lieu d'improviser, il sort son radar : minimisation, humain dans la boucle, usage sensible a conformite lourde. Il prepare 3 questions pour le DPO au lieu de coller les CV. Suite des cas 5.1-5.3 — Amine reconnait le perimetre reglemente.
Suite des cas 5.1-5.3 — Amine repere, ne tranche pas : le DPO tranche.
1. Données personnelles & décisions
Des qu'une donnee personnelle entre en jeu (clients, salaries, candidats), les principes generaux s'appliquent : base legitime, minimisation, droits des personnes. Et pour toute decision a effet significatif prise sur une personne, l'humain reste dans la boucle : pas de decision entierement automatisee qui s'impose sans controle humain. Amine renonce a tout tri automatique des CV.
2. L'AI Act par les risques, et votre rôle
L'AI Act europeen adopte une approche par les risques : certaines pratiques sont a eviter, les usages sensibles touchant les personnes (dont le recrutement et l'evaluation) sont tres encadres, avec des obligations de transparence sur les contenus et systemes IA. Objectif pratique : les reperes, pas le cours de droit.
Votre role : reperer, pas trancher. Les questions reglementaires se posent au DPO/juriste — cartographiez vos usages (lesquels touchent des donnees personnelles ? lesquels touchent des personnes ?) et apportez-leur 3 questions precises. Suivre la charte interne vous met du bon cote.
🔎 Exemple concret — Le radar réglementaire
Repérer, pas trancher : le radar d'Amine.
Donnee personnelle ? -> minimisation, pas de decision auto, outil valide.
Tri de CV, evaluation ? -> usage sensible (conformite exigeante), ne pas improviser.
-> 3 questions a poser a votre DPO/referent, pas d'auto-interpretation.
Amine note : qui valide la conformite dans l'organisation ?Lecture : trois questions precises valent mieux qu'une interpretation hasardeuse.
Lecon : le DPO/juriste est la bonne porte d'entree.
Vocabulaire de la section
- Donnee personnelle
- Toute information sur une personne : minimisation et outil valide.
Exemple simple : Les CV des candidats d'Amine sont des donnees personnelles.
Ce que ce n'est pas : « anonymise vite fait, donc hors sujet » sans verification.
Réflexe : cet usage touche-t-il des personnes identifiables ?
- Humain dans la boucle
- Pas de decision a effet sur une personne sans controle humain.
Exemple simple : Amine refuse le rejet automatique de candidatures.
Ce que ce n'est pas : laisser l'IA trier seule « pour aller plus vite ».
Réflexe : qui signe humainement cette decision ?
- AI Act (principes)
- Approche europeenne par les risques + transparence.
Exemple simple : Amine signale les contenus synthetiques diffuses au public.
Ce que ce n'est pas : croire que l'AI Act ne concerne que les editeurs.
Réflexe : mon usage est-il sensible ou soumis a transparence ?
- Usage sensible
- Recrutement, evaluation : zone a conformite exigeante.
Exemple simple : Amine escalade le tri de CV au lieu de l'improviser.
Ce que ce n'est pas : bricoler un scoring de candidats dans un tableur + IA.
Réflexe : qui valide la conformite de cet usage ?
- DPO / referent
- L'interlocuteur des questions reglementaires.
Exemple simple : Amine apporte 3 questions precises au DPO.
Ce que ce n'est pas : auto-interpreter les textes entre collegues.
Réflexe : mes 3 questions sont-elles pretes et ecrites ?
En pratique — Le radar réglementaire appliqué à vos usages
- Reprenez vos usages listés en 4.5 et marquez ceux qui touchent des données personnelles : minimisation, outil validé, humain dans la boucle.
- Repérez les usages sensibles potentiels autour de vous (tri de CV, évaluation) : qui, dans l'organisation, en valide la conformité ?
- Testez le réflexe transparence : lesquels de vos contenus générés devraient être signalés comme tels (chatbots face au public, contenus synthétiques) ?
- Notez les 3 questions à poser à votre DPO/référent : c'est la bonne porte d'entrée — pas l'auto-interprétation des textes.
Script prêt à dire — escalader au DPO
« Je prepare un usage IA qui touche [donnees personnelles / des personnes : decrire]. J'ai applique minimisation et outil valide, et je garde un humain decideur. Validez-vous cet usage ? Faut-il une transparence specifique ou une conformite renforcee avant de demarrer ? »
A adresser au DPO/referent ou juriste avec la description precise de l'usage — avant tout demarrage.
Modèle copier-coller — radar réglementaire
MON RADAR REGLEMENTAIRE
USAGES AVEC DONNEES PERSONNELLES : _______________ -> minimisation + outil valide : OK / A REVOIR
USAGES SENSIBLES (personnes : recrutement, evaluation) : _______________ -> valide par : _______________
TRANSPARENCE (contenus a signaler IA) : _______________
MES 3 QUESTIONS AU DPO : 1) ___ 2) ___ 3) ___Solo / sans DPO
Amine sans DPO interne : referent + juriste externe ou direction — la question se pose toujours, meme sans intitulé DPO.
TPE / usages simples
Cartographie courte : 1 page, usages marques, 3 questions — la simplicite n'exonere pas du radar.
PME Algérie
Amine a Alger : donnees de candidats et salaries traitees avec la prudence de la loi 18-07 ; usages europeens sensibles connus en principe general.
Équipe RH
Aucun usage RH touche-aux-personnes sans validation conformite : la grille RH passe devant le DPO avant demarrage.
✓ Bonnes pratiques
- Dès qu'il y a une donnée personnelle, pensez minimisation.
- Gardez un humain dans la boucle pour toute décision à effet.
- Posez les questions réglementaires au DPO/juriste, ne tranchez pas seul.
✗ Pièges fréquents
- Mettre en place une décision automatisée à effet sans humain.
- Improviser un usage sensible (tri de CV) sans conformité.
- Auto-interpréter les textes au lieu de consulter le DPO.
Points clés à retenir
- Donnée personnelle = vigilance, quel que soit l'outil : minimisation, outil validé.
- Pas de décision à effet sur une personne sans humain dans la boucle.
- Usages touchant les personnes (recrutement, évaluation) : zone sensible, ne s'improvise pas.
- Les questions réglementaires se posent au DPO/juriste : repérer, pas trancher.
Défi 48h — appliquez demain
Cartographiez vos usages (donnees personnelles ? personnes touchees ?) et ecrivez vos 3 questions au DPO : prise de contact planifiee ?
- Je peux citer le radar en une phrase (données, usages, DPO).
- Mes usages sont cartographiés (marquage fait).
- Mes 3 questions au DPO sont écrites.
Questions fréquentes
Les cadres s'appliquent-ils à moi, simple utilisateur en entreprise ?
Ils pesent d'abord sur les organisations — mais vous touchent concretement : formation, usages encadres (transparence, supervision humaine), pratiques a eviter. Suivre la charte interne vous met du bon cote. Vous n'avez pas a maitriser les textes, mais a reconnaitre quand un usage est sensible.
Que risque-t-on en cas de manquement ?
Sans entrer dans aucun montant ni detail : les textes prevoient des consequences serieuses pour les organisations, et a l'echelle individuelle le risque est disciplinaire — raison de plus pour des regles d'equipe claires (5.5) validees avec le DPO ou un juriste.
Amine veut faire trier des CV par l'IA. Premier réflexe ?