Toutefois, outre que l’AI Act ne s’appliquera pas dans son intégralité
avant 2026, cette nouvelle réglementation ne couvrira pas
l’ensemble des sujets soulevés par le recours accru aux SIA dans le champ
de l’action publique. En particulier, elle ne s’appliquera pas en matière
de renseignement en raison de l’exclusion de son champ d’application
des domaines de la défense et de la sécurité nationale.
De fait, l’encadrement actuellement applicable aux SIA résulte
de la juxtaposition de diverses règles, dont la cohérence d’ensemble
reste à bâtir.
En dehors des normes supérieures, constitutionnelles ou conventionnelles,
imposant le respect des droits et liberté fondamentaux, les dispositions
applicables aux SIA relèvent des législations sectorielles qui concernent
ses composants matériels (logiciels, équipements, etc.) ou certains
des procédés utilisés (traitements de données, algorithme, etc.).
ÉCL AIRAGE 1
Sur ce second volet, le plus sensible, les SIA sont essentiellement
concernés par la réglementation relative au traitement des données
à caractère personnel41.
Tout SIA utilisant des données à caractère personnel constitue ainsi
un traitement de données à caractère personnel au sens de la loi n° 78-17
du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, qui
précise dans son premier article que : « L’informatique doit être au service de
chaque citoyen. […]. Elle ne doit porter atteinte ni à l’identité humaine, ni aux
droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques. ».
Les SIA doivent respecter les droits accordés aux individus d’accéder
aux données à caractère personnels les concernant, de les faire rectifier et
de faire une démarche d’opposition fixés, selon le cas, par le règlement
général sur la protection des données personnelles (RGPD)42, par le titre III
de la loi du 6 janvier 1978 pour les traitements relevant de la directive
dite police-justice43, et du titre IV de cette même loi pour les traitements
ne relevant pas du champ du droit de l’Union, notamment ceux qui
41. Pour un exposé exhaustif, voir annexe 10 de l’étude précitée du Conseil d’État, note 9.
42. Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques
à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données
43. Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes
physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention
et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la
libre circulation de ces données
159