Comparatif · RGPD article 22
Décision automatisée ou profilage simple ?
Tous les systèmes qui calculent quelque chose sur des personnes ne relèvent pas de l’article 22. Le profilage évalue ; la décision automatisée tranche. La bascule tient en une question : le résultat produit-il un effet, sans jugement humain réel ?
Deux régimes, ligne par ligne
| Dimension | Profilage seul | Décision automatisée (art. 22) |
|---|---|---|
| Fondement | Article 4§4 du RGPD (définition) | Article 22 du RGPD (régime) |
| Nature | Évaluation d’aspects personnels | Décision produisant un effet |
| Effet requis | Aucun | Juridique, ou significatif de façon similaire |
| Intervention humaine | Indifférente | Déterminante — elle doit être réelle |
| Base légale spécifique | Non | Oui — contrat, autorisation légale ou consentement explicite |
| Droits spécifiques | Non | Oui — intervention humaine, point de vue, contestation |
| AIPD | Selon les critères habituels | Presque toujours (art. 35§3 a) |
| Information renforcée | Non | Oui — logique sous-jacente, importance, conséquences |
| Sanction maximale | 20 M€ ou 4 % du CA mondial | 20 M€ ou 4 % du CA mondial |
La bascule. Le profilage devient décision automatisée dès qu’il débouche sur un effet sans jugement humain réel. Et l’article 22 vise le traitement automatisé, pas l’IA : une ancienne règle métier y entre aussi.
Votre système relève-t-il de l’article 22 ?
Faire le testÀ lire aussi : Guide — décision automatisée et article 22 · Profilage ou décision automatisée ? · Décision automatisée
Explorer les autres piliers
Registre des usages IA
L’inventaire opposable de tous vos systèmes d’IA.
Gouvernance de l’IA
Rôles, comité IA, méthode — le cadre de contrôle.
Shadow AI
Détecter les usages d’IA non déclarés.
AIPD & IA
Analyse d’impact RGPD (art. 35) des systèmes d’IA.
Sécurité des IA génératives
OWASP, ANSSI : protéger copilotes et agents.