RGPD et IA Act : une articulation qui ne va pas de soi

Le 1er août 2024, le règlement sur l’intelligence artificielle (RIA) est entré en vigueur, visant à encadrer le développement et le déploiement des systèmes d’IA sur le marché européen. Il classe les modèles d’IA selon leur niveau de risque pour garantir la protection des droits fondamentaux et la sécurité des personnes. Les entreprises qui développent ou déploient des systèmes d’IA à haut risque, comme les dispositifs médicaux, devront mettre en place un certain nombre de règles, comme s’assurer que les données de leurs modèles ne sont pas biaisées, ce qui n’est pas une mince affaire.

Pour les délégués à la protection des données personnelles (DPO), l’articulation entre ce RIA et le RGPD sera l’un des grands défis des prochaines années. Si les deux réglementations convergent à plusieurs niveaux, notamment en termes d’analyse d’impact, d’appréciation des risques et d’obligations de transparence, ils ont en effet des approches du risque différentes. 

Une chaîne de responsabilité élargie

Première des évolutions constatée : “la chaîne de responsabilités entre les acteurs va s’élargir” indique à mind Health Anisse Chagraoui, DPO et chercheur universitaire doctorant. Cela démontre “une plus forte méfiance vis-à-vis des potentialités de l’IA sur l’usage de la donnée, et particulièrement en santé” dit-il.