AI Act et RGPD : ce que vous risquez vraiment sur un dataset d'images faciales
Entre l'AI Act qui classe la reconnaissance faciale en haut risque et le RGPD qui encadre vos datasets, le concepteur de modèles de vision est devenu un acteur réglementé. Décryptage.
- L'AI Act classe la reconnaissance faciale en haut risque, voire en pratique interdite pour l'identification à distance en temps réel : concevoir ces modèles vous place dans un périmètre réglementé.
- Vos datasets d'images de visages sont des données personnelles, parfois biométriques : leur collecte, leur stockage et leur usage relèvent du RGPD et engagent votre responsabilité de sous-traitant ou de responsable conjoint.
- Le biais discriminatoire d'un modèle facial n'est plus seulement un défaut technique : il devient un risque de contentieux et de sanction réglementaire pour vous et votre client.
- Une RC Pro couvre la faute de conception et la défense, tandis qu'une option Cyber protège contre la violation et la fuite de vos jeux d'images sensibles.
L'expert vision est devenu un professionnel réglementé
Pendant des années, concevoir un modèle de reconnaissance faciale ou de classification d'images de personnes relevait d'un débat technique : précision, vitesse, architecture. Ce temps est révolu. Avec l'entrée en application progressive de l'AI Act européen et l'application constante du RGPD, le concepteur de modèles de vision portant sur des personnes est désormais un acteur dans une chaîne de conformité réglementaire.
Concrètement, cela signifie que vos choix de conception ne sont plus seulement jugés à l'aune de leur performance, mais aussi de leur conformité juridique. Un modèle techniquement excellent mais entraîné sur des données collectées sans base légale, ou produisant un biais discriminatoire, expose votre client — et vous — à un risque de sanction et de contentieux.
Cette mutation est mal anticipée par beaucoup de freelances et de petites structures du secteur, qui raisonnent encore en pur livrable technique. Or l'activité d'expert computer vision appliquée aux personnes est aujourd'hui l'une des plus exposées du numérique sur le plan réglementaire.
AI Act : la reconnaissance faciale au sommet de la pyramide des risques
L'AI Act classe les systèmes d'IA selon une pyramide de risques. Les modèles de vision portant sur l'identification des personnes se situent au sommet :
- Pratiques interdites : l'identification biométrique à distance en temps réel dans l'espace public, sauf exceptions très encadrées, ainsi que certaines formes de notation sociale ou de catégorisation à partir de données sensibles.
- Haut risque : de nombreux systèmes d'identification biométrique, de catégorisation et certains usages en sécurité ou contrôle d'accès. Ils imposent gestion des risques documentée, qualité des données, traçabilité, transparence et supervision humaine.
- Risque limité : obligations de transparence, par exemple informer qu'une personne interagit avec un système d'IA.
Si vous concevez un modèle de reconnaissance ou de catégorisation faciale, vous travaillez très probablement dans la zone haut risque, voire interdite selon l'usage. Cela ne signifie pas que vous ne pouvez pas le faire, mais que le cadre est strict et que la frontière du licite dépend finement du cas d'usage. Une erreur d'appréciation sur cette frontière est une faute professionnelle.
Avant d'accepter une mission de reconnaissance ou de catégorisation faciale, qualifiez l'usage au regard de l'AI Act. Un même modèle peut être licite pour du déverrouillage local et interdit pour de l'identification à distance.
RGPD : vos images de visages sont des données biométriques
Un visage identifiable est une donnée personnelle. Dès que vous utilisez ces images pour identifier une personne de manière unique, vous manipulez de la donnée biométrique, catégorie de données sensibles au sens du RGPD, dont le traitement est en principe interdit sauf exceptions et bases légales solides.
Cela emporte des conséquences directes sur votre travail quotidien :
- La base légale de collecte : d'où viennent vos images d'entraînement ? Un dataset scrapé sur le web sans consentement ni base légale est une bombe à retardement. Vous ne pouvez pas vous retrancher derrière « le client me les a fournies » sans vérification.
- Votre rôle : êtes-vous sous-traitant (vous traitez pour le compte du client) ou responsable de traitement conjoint ? Cette qualification détermine vos obligations et votre exposition. Un contrat de sous-traitance RGPD conforme est indispensable.
- La sécurité du dataset : un jeu d'images de visages non chiffré, stocké sur un poste mal protégé ou un cloud mal configuré, est une violation de données qui ne demande qu'à arriver.
La fuite d'un dataset d'images personnelles déclenche une obligation de notification, expose votre client à une sanction et vous expose à une mise en cause. C'est l'un des scénarios où une assurance cyber prend tout son sens : prise en charge de la gestion de crise, des frais de notification et des conséquences de la violation.
Le biais discriminatoire : un défaut technique devenu risque juridique
Un modèle de reconnaissance faciale moins performant sur certaines couleurs de peau, certains genres ou certaines tranches d'âge n'est plus seulement un problème de qualité : c'est un risque de discrimination. Si votre modèle, déployé chez le client, conduit à refuser systématiquement l'accès, à mal identifier ou à sur-signaler une population, le contentieux qui en découle peut remonter jusqu'au concepteur.
L'AI Act impose pour les systèmes à haut risque une exigence de qualité et de représentativité des données précisément pour limiter ces biais. Si vous livrez un modèle sans avoir mesuré ni documenté ses performances différenciées par sous-population, vous vous exposez à deux titres : non-conformité réglementaire et faute professionnelle.
La parade est méthodologique : mesurez vos métriques de performance par sous-groupe, documentez les écarts, alertez le client sur les limites, et conservez la preuve de cette diligence. C'est exactement ce type de documentation qui, en cas de litige, fait la différence entre une faute et une erreur défendable couverte par votre RC Pro.
Comment se couvrir : RC Pro et Cyber, deux protections complémentaires
Face à cette double pression AI Act / RGPD, deux couvertures se complètent.
La RC Pro intervient sur la faute de conception : un modèle non conforme livré au client, un défaut de conseil sur la qualification AI Act de l'usage, un biais non détecté qui cause un préjudice. Elle prend en charge les dommages immatériels et, point crucial, la défense quand votre responsabilité est recherchée dans un dossier de discrimination ou de non-conformité.
L'option Cyber intervient sur la donnée elle-même : violation, fuite ou compromission de votre dataset d'images sensibles. Elle couvre la gestion de l'incident, les frais d'expertise forensique, l'accompagnement à la notification et les conséquences financières de la violation.
| Scénario | Couverture mobilisée |
|---|---|
| Modèle facial biaisé causant une discrimination | RC Pro (faute + défense) |
| Mauvaise qualification AI Act de l'usage | RC Pro (devoir de conseil) |
| Fuite du dataset d'images personnelles | Cyber (violation de données) |
| Cloud d'entraînement compromis | Cyber (gestion de crise) |
Ces deux briques ne se substituent pas : elles couvrent des moments différents de la chaîne de risque. Pour un expert vision travaillant sur des données de personnes, les deux sont aujourd'hui une nécessité plus qu'une option.
Un dernier réflexe à adopter : la déclaration précise de votre activité auprès de votre assureur. Mentionner « expert IA » de façon vague ne suffit pas. Préciser que vous concevez des modèles de reconnaissance ou de catégorisation faciale, que vous manipulez des données biométriques et que certaines missions relèvent du haut risque AI Act permet à l'assureur d'adapter la couverture et, surtout, d'éviter une exclusion ou une réduction d'indemnité en cas de sinistre pour fausse déclaration. La transparence à la souscription est la condition de l'efficacité de la garantie le jour où vous en avez besoin.
Questions fréquentes
Vous n'êtes pas le seul responsable, mais vous ne pouvez pas l'ignorer. Au titre de votre devoir de conseil, vous devez interroger la base légale des données et alerter par écrit si elle est douteuse. Utiliser sciemment un dataset collecté sans consentement engage votre responsabilité, même si le client vous l'a transmis.
Non. L'AI Act interdit certains usages précis, notamment l'identification biométrique à distance en temps réel dans l'espace public, mais classe la plupart des autres en haut risque avec des obligations strictes. La licéité dépend finement du cas d'usage. C'est pourquoi chaque mission doit être qualifiée avant acceptation, et déclarée à votre assureur.
Oui, dès lors qu'il s'agit d'une erreur de conception non intentionnelle ayant causé un préjudice. Si vous avez documenté vos mesures de performance par sous-population et alerté le client sur les limites, votre dossier est défendable et la garantie joue, y compris pour les frais de défense.
Parce qu'elles couvrent des risques différents. La RC Pro couvre la faute de conception et ses conséquences sur le client. L'option Cyber couvre la violation de vos propres données : la fuite d'un dataset d'images de visages, un cloud compromis, la gestion de crise et la notification. Sur des images sensibles, les deux sont complémentaires.
Par la documentation. Conservez la qualification de l'usage au regard de l'AI Act, la base légale des données, vos mesures de performance par sous-population, vos alertes écrites au client et votre contrat de sous-traitance RGPD. Cette traçabilité est à la fois votre conformité et votre meilleure défense en cas de litige.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Expert computer vision — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Expert computer vision →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.