Quelle base légale pour utiliser l'IA sur des données personnelles ?
En bref
Utiliser l'IA sur des données personnelles exige une base légale au sens de l'article 6 du RGPD – comme tout autre traitement. En général, c'est le contrat avec le client, une obligation légale ou votre intérêt légitime. L'IA ne change pas la base légale, mais vous devez vérifier que l'usage est compatible avec la finalité pour laquelle les données ont été collectées (art. 6, paragraphe 4). Les données sensibles exigent en plus une exception de l'article 9. Et avoir une base légale pour utiliser des données ne revient pas à autoriser un fournisseur d'IA à s'entraîner dessus.
Les bases légales les plus courantes
| Base légale | Exemple |
|---|---|
| Contrat (art. 6, paragraphe 1, point b) | L'IA aide à répondre à la demande d'un client |
| Obligation légale (point c) | L'IA aide à retrouver les données pour une demande d'accès |
| Intérêt légitime (point f) | L'IA repère des tendances dans les demandes des clients pour améliorer le service |
| Consentement (point a) | Offres personnalisées par e-mail |
Le test de compatibilité
Si l'usage de l'IA est une nouvelle finalité, vous devez évaluer le lien avec la finalité d'origine, ce à quoi les personnes peuvent s'attendre, la nature des données, les conséquences pour elles et les mesures de protection en place – par exemple la pseudonymisation. Le RGPD cite expressément la pseudonymisation comme mesure de protection appropriée à l'article 6, paragraphe 4.
Comment faire
- Décrivez la finalité.En quoi l'IA doit-elle aider ?
- Retrouvez la finalité d'origine.Pourquoi avez-vous collecté ces données ?
- Vérifiez qu'elles sont compatibles.Lien entre les finalités, attentes des personnes, nature des données, conséquences et mesures de protection comme la pseudonymisation.
- Choisissez la base légale.Contrat, obligation légale ou intérêt légitime – rarement le consentement.
- Documentez-la.Dans le registre des usages de l'IA et dans le registre des traitements.
Ce que dit la loi
- Article 6 du RGPD – licéité du traitement
- Les six bases légales, et le paragraphe 4 sur les finalités compatibles.
- Avis 28/2024 du Comité européen de la protection des données (EDPB) sur les modèles d'IA
- Sur l'intérêt légitime comme base légale pour le développement et l'utilisation de modèles d'IA.
Questions et réponses
Faut-il un consentement pour utiliser l'IA ?
Rarement. Le consentement peut être retiré et il est difficile à recueillir dans une relation de travail. Le contrat ou l'intérêt légitime conviennent plus souvent.
Qu'est-ce qu'une mise en balance des intérêts ?
Une évaluation : votre intérêt à utiliser l'IA l'emporte-t-il sur les intérêts des personnes ? La pseudonymisation compte en votre faveur.
Pouvons-nous utiliser les données clients pour entraîner notre propre IA ?
C'est une nouvelle finalité, qui exige une évaluation distincte – et souvent une information des clients.
Sources
Rédigé par La rédaction GoalCube. Dernière mise à jour 11 octobre 2026. GoalCube vous aide à respecter l’AI Act et le RGPD. Ce n’est pas un conseil juridique.
Soyez parmi les premiers.
Le lancement est prévu en novembre 2026. Inscrivez-vous : nous vous contacterons dès que vous pourrez commencer.