Article 59 de l'AI Act Traitement des données personnelles dans les bacs à sable

Analyse juridique de l'article 59

Principe de compatibilité conditionnelle

L'article 59, paragraphe 1, prévoit que le traitement ultérieur de données personnelles dans le bac à sable « peut être considéré comme compatible avec les finalités initiales de collecte, conformément au règlement (UE) 2016/679 », lorsque certaines conditions cumulatives sont remplies. Cette disposition s'appuie sur l'article 6, paragraphe 4, du RGPD qui permet d'évaluer si un traitement ultérieur est compatible avec les finalités initiales en tenant compte de divers facteurs, dont l'existence de garanties appropriées.

Cette compatibilité présumée facilite significativement l'innovation en IA en évitant la nécessité de recueillir un nouveau consentement des personnes concernées ou de trouver une nouvelle base légale pour chaque utilisation de données dans le bac à sable. Toutefois, cette facilité n'est accordée que sous réserve de « garanties appropriées pour les droits et libertés des personnes concernées » et du respect de six conditions cumulatives strictes.

Nécessité et intérêt public

L'article 59, paragraphe 1, point a), impose deux conditions cumulatives. Premièrement, le traitement ultérieur doit être « nécessaire pour se conformer au présent règlement », c'est-à-dire que l'utilisation de données personnelles réelles doit être indispensable pour réaliser les objectifs du bac à sable (par exemple, évaluer les performances sur données représentatives, détecter les biais). Des données synthétiques ou anonymisées ne suffiraient pas.

Deuxièmement, le traitement doit être « strictement nécessaire aux fins du développement et du test dans le bac à sable de systèmes d'IA qui servent l'intérêt public ». Cette double exigence de nécessité stricte et d'intérêt public limite considérablement la portée de la disposition. Les systèmes d'IA commerciaux servant principalement des intérêts privés ne peuvent bénéficier de cette facilité. La notion d'intérêt public couvre notamment les systèmes utilisés pour des missions de service public (santé publique, éducation, sécurité, environnement, etc.).

Mesures de protection et garanties fonctionnelles

L'article 59, paragraphe 1, point b), impose la mise en place de « mesures techniques et organisationnelles appropriées » garantissant le respect des droits et libertés des personnes concernées. Ces mesures peuvent inclure : la pseudonymisation ou l'anonymisation partielle des données, le chiffrement, les contrôles d'accès stricts, les audits réguliers, et la minimisation des données (limitation aux données strictement nécessaires).

Le point b) exige également des « garanties fonctionnelles » assurant que « les données traitées dans le bac à sable ne sont pas utilisées à d'autres fins » (principe de limitation des finalités strictement appliqué) et que « les résultats du test ne portent pas atteinte aux droits et libertés des personnes concernées ». Cette seconde garantie implique notamment que les systèmes testés ne doivent pas produire de décisions défavorables aux personnes ou de profilages intrusifs, ou que de telles sorties doivent être strictement contrôlées et ne pas avoir d'effet juridique ou significatif sur les personnes.

Exclusion immédiate des résultats négatifs

L'article 59, paragraphe 1, point c), établit une garantie importante : « tout résultat du traitement qui peut avoir une incidence négative sur les personnes concernées est immédiatement exclu du traitement ultérieur ». Cette disposition impose une surveillance continue des sorties du système d'IA testé pour détecter tout résultat potentiellement préjudiciable (par exemple, classification erronée défavorable, biais discriminatoire, prédiction négative) et d'exclure immédiatement ces résultats pour qu'ils n'affectent pas les personnes concernées.

Le point c) impose également que « le responsable du traitement ou le sous-traitant au sein du bac à sable informe l'autorité compétente et l'autorité de contrôle » de tels résultats. Cette obligation de notification permet aux autorités de superviser les risques émergents et d'intervenir si nécessaire pour protéger les personnes ou suspendre l'expérimentation.

Documentation et transparence

L'article 59, paragraphe 1, point d), impose de conserver des « registres des opérations de traitement de données réalisées dans le cadre du bac à sable » conformément au RGPD. Ces registres, prévus à l'article 30 du RGPD, doivent documenter précisément les catégories de données traitées, les finalités, les catégories de personnes concernées, les destinataires, les durées de conservation, et les mesures de sécurité. Ils permettent aux autorités de contrôler la conformité et aux participants de démontrer leur responsabilité.

Le point e) impose de publier « une description complète du processus et de la justification du traitement de données à caractère personnel » en tant qu'élément du résumé prévu à l'article 58. Cette exigence de transparence publique permet un contrôle social et contribue à la confiance du public dans les bacs à sable. La description doit expliquer pourquoi le traitement de données personnelles est nécessaire, quelles données sont utilisées, comment elles sont protégées, et quels bénéfices sont attendus.

Consultation préalable de l'autorité de protection des données

L'article 59, paragraphe 1, point f), impose que « l'autorité de contrôle compétente en vertu du règlement (UE) 2016/679 » (l'autorité de protection des données, comme la CNIL en France) soit « consultée, d'office ou sur demande de l'autorité compétente, avant le début du traitement ». Cette consultation préalable permet à l'autorité de protection des données d'évaluer les risques pour les droits et libertés, de formuler des recommandations, et de valider (ou non) que les conditions de l'article 59 sont remplies.

La consultation peut être initiée « d'office » par l'autorité compétente gérant le bac à sable, ou « sur demande de l'autorité compétente » si l'autorité de protection des données souhaite être impliquée. En pratique, une consultation systématique est recommandée pour garantir la conformité et éviter les contentieux ultérieurs.

Régime spécifique pour le secteur public

L'article 59, paragraphe 2, prévoit un régime spécifique pour les données détenues par les autorités publiques ou entités du secteur public. Ces données « peuvent être traitées aux fins du développement et du test de certains systèmes d'IA d'intérêt public dans le bac à sable, à condition que les participants au bac à sable soient des autorités publiques ou des entités du secteur public » et que les conditions du paragraphe 1 soient remplies.

Cette disposition facilite l'innovation dans le secteur public en permettant aux administrations de réutiliser leurs données pour développer des systèmes d'IA améliorant les services publics. Par exemple, un hôpital public pourrait utiliser des données de santé anonymisées ou pseudonymisées pour développer un système d'IA de diagnostic dans un bac à sable. La limitation aux participants publics garantit que les données publiques ne sont pas détournées au profit d'acteurs privés commerciaux.

Exemples concrets d'application

Articulation avec les autres dispositions

L'article 59 s'articule directement avec les articles 57 et 58 qui établissent le cadre général et les modalités des bacs à sable réglementaires IA. Il constitue un complément essentiel pour les expérimentations nécessitant le traitement de données personnelles, situation fréquente dans la pratique puisque de nombreux systèmes d'IA (santé, éducation, emploi, etc.) traitent de telles données.

L'article 59 s'inscrit dans l'articulation entre l'AI Act et le RGPD. Il n'exonère pas du respect du RGPD, mais facilite la conformité en présumant la compatibilité du traitement ultérieur sous réserve de conditions strictes. Les participants aux bacs à sable restent soumis à l'ensemble des obligations du RGPD (transparence, sécurité, droits des personnes, etc.), mais bénéficient d'une facilité pour le principe de limitation des finalités.

La consultation obligatoire de l'autorité de protection des données (paragraphe 1, point f) crée un pont institutionnel entre les autorités compétentes gérant les bacs à sable et les autorités de protection des données. Cette coopération est essentielle pour garantir une approche cohérente et éviter les conflits entre objectifs d'innovation et protection des données.

Implications pratiques pour les organisations

Pour les participants aux bacs à sable souhaitant utiliser des données personnelles, l'article 59 offre une opportunité précieuse de tester leurs systèmes sur des données réelles, mais impose de respecter des conditions strictes et de mettre en place des garanties robustes. La préparation doit inclure : une analyse rigoureuse de la nécessité du traitement de données personnelles, la démonstration claire que le système sert l'intérêt public, la conception et la mise en œuvre de mesures de protection techniques et organisationnelles appropriées, la mise en place de mécanismes de surveillance continue pour détecter les résultats négatifs, la préparation d'une documentation complète et transparente, et l'anticipation de la consultation avec l'autorité de protection des données.

Les organisations devront également prévoir des ressources et compétences en protection des données au sein de l'équipe projet, idéalement incluant un Délégué à la Protection des Données (DPO) impliqué dès la conception. La coordination entre les experts IA, les experts métier, et les experts protection des données est essentielle pour garantir la conformité.