Source : Clark, Michael, (2026) GDPR and the EU AI Act: Five Structural Conflicts and Resolution Frameworks.

Sommaire : En 2026, le secteur financier fait face à des injonctions contradictoires entre le GDPR et l'AI Act. La conservation des données pour la surveillance post-commercialisation s'oppose à la minimisation, et l'exercice du droit à l'effacement dans les réseaux de neurones risque de déclencher de lourdes procédures de réévaluation du modèle. De plus, la représentativité des données et la supervision humaine proactive requièrent une articulation complexe avec le RGPD.
Pour naviguer dans cette incertitude, les institutions doivent documenter de bonne foi leurs arbitrages en intégrant ces exigences dans leur gestion des risques de modèles existante.

1. Introduction : Un Paysage Réglementaire en Collision

En juin 2026, les institutions financières naviguent dans un environnement complexe marqué par la collision entre le GDPR et l'AI Act. Bien que le « Digital Omnibus on AI » ait fait l'objet d'un accord provisoire le 7 mai 2026 pour simplifier certaines mises en œuvre, la coordination systématique entre ces deux cadres demeure inachevée. Pour les systèmes d'IA traitant des données à caractère personnel, les obligations se chevauchent de manière conflictuelle, plaçant les responsables de la conformité devant des injonctions contradictoires.

L'absence de directives conjointes définitives de l'EDPB et de l'Office de l'IA accentue cette incertitude. Les points d'intersection réglementaires majeurs incluent :

• L'Article 26(9) de l'AI Act : L'obligation pour les déployeurs d'utiliser les informations techniques fournies par les fournisseurs pour s'acquitter de leur analyse d'impact relative à la protection des données (AIPD/DPIA).
• L'Article 27(4) de l'AI Act : La précision selon laquelle l'Évaluation d'Impact sur les Droits Fondamentaux (FRIA) doit compléter, et non remplacer, une AIPD existante.
• L'Article 65(2) : Le statut d'observateur accordé au Contrôleur européen de la protection des données (EDPS) au sein du Conseil européen de l'intelligence artificielle.
• L'Article 70(5) : L'exigence de coopération entre les autorités nationales compétentes en matière d'IA et les autorités de protection des données (DPAs).

2. Conflit 1 : Limitation de la Conservation vs Surveillance Post-Commercialisation

Une tension structurelle oppose l'Article 5(1)(e) du GDPR (principe de limitation de la conservation) et l'Article 72 de l'AI Act, qui impose une collecte et une analyse systématiques des données de performance des systèmes à haut risque tout au long de leur cycle de vie. Pour les modèles financiers, cette surveillance nécessite souvent le maintien de données granulaires pour détecter des dérives (drifts) sur des sous-segments de population.

3. Conflit 2 : Droit à l'Effacement et Paramètres de Modèle

L'Article 17 du GDPR (droit à l'effacement) se heurte à l'architecture même des réseaux de neurones. Supprimer une donnée du jeu d'entraînement ne garantit pas la suppression de son influence statistique dans les poids du modèle.

Le "Machine Unlearning" offre deux voies, chacune comportant des risques :

1. L'effacement exact : Nécessite un réentraînement complet à partir d'un jeu de données nettoyé. Cette approche est économiquement prohibitive pour les modèles de grande taille.
2. L'effacement approximatif : Utilise des modifications de paramètres pour réduire l'influence de la donnée. Son caractère intrinsèquement probabiliste alimente une incertitude juridique majeure quant à sa conformité à l'Article 17.

Cette problématique génère une « boucle de conformité » (compliance loop) critique : tout réentraînement significatif visant à satisfaire une demande d'effacement pourrait constituer une "modification substantielle" au sens de l'Article 3(23) de l'AI Act. Cela déclencherait alors une nouvelle procédure d'évaluation de la conformité selon l'Article 43(4), incluant la mise à jour de la documentation technique et l'implication potentielle d'un organisme notifié.

4. Conflit 3 : Décisions Automatisées (Art. 22) vs Supervision Humaine (Art. 14)

Le GDPR protège les individus contre les décisions « exclusivement » automatisées (Art. 22) via un droit de contestation réactif. À l'inverse, l'AI Act (Art. 14) impose une supervision humaine proactive pour les systèmes à haut risque, visant à prévenir les risques avant qu'ils ne se matérialisent.

Une architecture de conformité unifiée pour les institutions financières doit intégrer :

1. Supervision opérationnelle systématique : Un contrôle humain intégré au workflow de décision, et non une simple validation a posteriori.
2. Mécanisme d'exercice des droits : Une interface permettant l'intervention humaine et la contestation effective par le client.
3. Documentation de l'effectivité : Preuve que les superviseurs comprennent les limites du modèle (biais d'automatisation) et peuvent interpréter correctement les sorties.
4. Soutien à la littératie en IA : Conformément à l'Article 4 de l'AI Act (tel que modifié par l'Omnibus de mai 2026), l'institution doit prendre des mesures pour soutenir le développement des compétences du personnel, sans toutefois être tenue à une obligation de résultat sur un niveau de compétence spécifique garanti.

5. Conflit 4 : Minimisation des Données vs Représentativité du Jeu d'Entraînement

L'Article 5(1)(c) du GDPR exige la minimisation, mais l'Article 10(3) de l'AI Act impose que les jeux de données soient « suffisamment représentatifs » et « complets » pour éviter les biais discriminatoires.

Les solutions de convergence reposent sur :

• Données synthétiques : Production de données statistiquement représentatives via la confidentialité différentielle pour limiter le traitement de données réelles.
• Article 10(5) de l'IA Act : Utilisation de cette base légale spécifique pour traiter des données sensibles (Art. 9 RGPD) afin de détecter les biais. L'accord Omnibus de mai 2026 a réinstauré le standard de « nécessité stricte » pour ce traitement, conformément aux avis de l'EDPB.
• Différenciation architecturale : Distinction entre les Environnements de Recherche Sécurisés (TRE), qui centralisent l'accès pour l'analyse de robustesse, et l'Apprentissage Fédéré (Federated Learning), qui décentralise l'entraînement pour minimiser l'exposition des données individuelles.

6. Conflit 5 : Convergence des Évaluations d'Impact (DPIA, FRIA, et Gestion des Risques)

Les entités financières pratiquant l'évaluation du crédit ou l'assurance vie/santé (Annexe III) doivent cumuler DPIA, FRIA (Art. 27) et système de gestion des risques (Art. 9). Notez que les systèmes utilisés comme composants de sécurité pour les infrastructures critiques (Annexe III, point 2) sont exemptés de FRIA.

Processus d'Évaluation Intégré

En l'absence de modèle officiel publié par l'Office de l'IA pour la FRIA (Article 27(3) toujours en attente en juin 2026), la structure séquentielle suivante est recommandée :

1. Socle descriptif commun : Définition unique du système et des finalités de traitement.
2. Analyse de nécessité et proportionnalité : Répondant aux exigences de l'Art. 35(7) du RGPD.
3. Évaluation multidimensionnelle des risques : Analyse croisée des risques pour la vie privée, la performance technique et les droits fondamentaux.
4. Mesures de mitigation unifiées : Contrôles répondant simultanément aux trois cadres.
5. Gestion des risques résiduels : Incluant la consultation préalable (Art. 36 RGPD) si les risques demeurent élevés.

7. Focus Secteur Financier : Infrastructures et Cadres Existants

Pour le secteur bancaire, la résolution de ces conflits s'appuie sur le cadre de Gestion des Risques de Modèles (Model Risk Management - MRM). Les institutions doivent particulièrement intégrer le rapport de suivi de l'EBA de 2023 sur l'utilisation du machine learning pour les modèles IRB, qui définit les attentes en matière de gouvernance des données et de validation.

L'évaluation de la « nécessité des données » devient un artefact central : elle justifie la proportionnalité (GDPR) tout en démontrant la robustesse et la performance requises par les lignes directrices de l'EBA et les principes SS1/23 de la PRA. Les infrastructures existantes de surveillance prudentielle servent de base à l'obligation de monitoring de l'Article 72 de l'IA Act, renforçant la légitimité de la conservation des données au titre de la conformité réglementaire.

8. Conclusion : Stratégie de Conformité en Période d'Incertitude

Face à l'incertitude persistante entre les positions de l'EDPB et celles de l'Office de l'IA, la conformité ne peut être absolue. Elle repose sur une posture de "bonne foi" rigoureusement documentée.

Les quatre actions prioritaires sont :

• Documenter : Consigner chaque arbitrage entre minimisation et représentativité dans le registre de traitement et la documentation technique.
• Articuler : Expliciter le raisonnement juridique (notamment le recours au Récital 45 du GDPR) pour justifier les durées de rétention liées au monitoring.
• Identifier : Surveiller les futures décisions du « Digital Omnibus » et les premiers templates de l'Office de l'IA.
• Planifier : Anticiper des cycles de réévaluation de la conformité dès qu'un réentraînement de modèle est rendu nécessaire par une demande d'effacement ou une dérive de performance.