Article 4 bis - Traitement de données particulières à des fins de détection et de correction des biais

Explication de l’article

L’article 4 bis du RIA, introduit par le règlement (UE) 2026/1744 du 8 juillet 2026, encadre le traitement exceptionnel de certaines catégories de données personnelles sensibles afin de détecter et de corriger les biais des systèmes d’intelligence artificielle.

L’objectif est de permettre aux acteurs de l’IA d’identifier les situations dans lesquelles un système pourrait traiter différemment certaines personnes ou certains groupes, et de corriger les biais susceptibles de porter atteinte à leurs droits fondamentaux, à leur santé ou à leur sécurité.

Par exemple, un système d’IA utilisé pour sélectionner des candidats à un emploi pourrait produire des résultats défavorables à certains groupes de personnes en raison de biais présents dans les données utilisées pour son développement ou son fonctionnement.

Pour détecter et corriger ces biais, il peut parfois être nécessaire de traiter des données révélant notamment l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou les données concernant la santé. Ces informations appartiennent aux catégories particulières de données à caractère personnel protégées par l’article 9 du RGPD.

L’article 4 bis autorise ce traitement dans des circonstances exceptionnelles, mais ne constitue pas une autorisation générale de collecter des données sensibles pour entraîner ou améliorer un système d’IA.

Il distingue deux situations.

1. Le traitement par les fournisseurs de systèmes d’IA à haut risque

Le paragraphe 1 permet aux fournisseurs de systèmes d’IA à haut risque de traiter exceptionnellement des catégories particulières de données personnelles lorsque ce traitement est strictement nécessaire à la détection et à la correction des biais, conformément à l’article 10, paragraphe 2, points f) et g), de l’IA Act.

Cette possibilité est soumise à plusieurs conditions cumulatives :

Nécessité du traitement : les biais ne peuvent pas être détectés et corrigés efficacement à l’aide d’autres données, y compris des données synthétiques ou anonymisées.
Protection technique : des limitations doivent empêcher la réutilisation injustifiée des données, avec des mesures avancées de sécurité et de protection de la vie privée, notamment la pseudonymisation.
Contrôle des accès : seules les personnes autorisées peuvent accéder aux données. Les accès doivent être strictement contrôlés et documentés, et des obligations de confidentialité doivent être prévues.
Absence de transmission à des tiers : les données ne peuvent pas être transmises, transférées ou rendues accessibles à d’autres parties.
Suppression des données : elles doivent être supprimées dès que le biais a été corrigé ou que la durée de conservation applicable a expiré, selon l’échéance qui survient en premier.
Traçabilité : les registres des activités de traitement doivent expliquer pourquoi ces données étaient strictement nécessaires et pourquoi l’objectif ne pouvait pas être atteint avec d’autres données.

Ces conditions doivent être respectées en complément des règles applicables en matière de protection des données personnelles.

2. Le traitement par les autres fournisseurs et déployeurs de systèmes d’IA

Le paragraphe 2 étend cette possibilité, sous les mêmes garanties, à d’autres acteurs :

les fournisseurs d’autres systèmes d’IA ;
les déployeurs d’autres systèmes d’IA ;
les fournisseurs et déployeurs de modèles d’IA ;
les déployeurs de systèmes d’IA à haut risque.

Le traitement doit être strictement nécessaire pour détecter et corriger des biais susceptibles:

de porter atteinte à la santé ou à la sécurité des personnes ;
d’avoir une incidence négative sur les droits fondamentaux ;
d’entraîner une discrimination interdite par le droit de l’Union.

Le texte souligne notamment les situations dans lesquelles les résultats produits par un système d’IA influencent les données utilisées lors d’opérations ultérieures.

Ce paragraphe ne crée aucune obligation générale de procéder à la détection et à la correction des biais. Il encadre les conditions dans lesquelles un traitement exceptionnel de données sensibles peut avoir lieu lorsqu’une telle démarche est entreprise.

3. Le lien avec le RGPD

L’article 4 bis doit être lu conjointement avec le RGPD, notamment son article 9, qui encadre le traitement des catégories particulières de données personnelles.

Le RGPD interdit en principe le traitement de ces données, sauf si une exception prévue par son article 9, paragraphe 2, s’applique.

L’article 4 bis de l’IA Act établit un cadre spécifique pour la détection et la correction des biais. Il prévoit des garanties destinées à assurer la compatibilité de ces traitements avec les règles européennes de protection des données.

Il ne dispense donc pas les organisations de respecter les autres obligations applicables, notamment celles relatives à la licéité du traitement, à la sécurité des données, à la limitation de la conservation et à la documentation.

L’article 4 bis renvoie également au règlement (UE) 2018/1725, applicable aux institutions, organes et organismes de l’Union européenne, ainsi qu’à la directive (UE) 2016/680 pour les traitements relevant de son champ d’application.

En conclusion, l’article 4 bis de l’IA Act encadre le traitement exceptionnel de catégories particulières de données personnelles afin de détecter et de corriger les biais de systèmes et de modèles d’intelligence artificielle.

Il repose sur trois principes essentiels :

Nécessité : le traitement de données sensibles ne peut être utilisé que lorsque l’objectif ne peut pas être atteint efficacement avec d’autres données.
Garanties renforcées : la sécurité, la pseudonymisation, le contrôle des accès, la traçabilité et la suppression des données sont indispensables.
Respect du droit des données personnelles : l’article 4 bis doit être appliqué conjointement avec le RGPD et les autres règles pertinentes.

Cette disposition vise ainsi à prévenir les effets discriminatoires de l’IA sans autoriser une utilisation générale ou systématique des données sensibles.

Notions clés à comprendre

Catégories particulières de données à caractère personnel: Il s’agit de données particulièrement protégées par le RGPD, notamment celles qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que les données génétiques, biométriques utilisées aux fins d’identifier une personne de manière unique, les données concernant la santé et certaines données relatives à la vie sexuelle ou à l’orientation sexuelle.

Leur traitement est soumis à un régime renforcé en raison des risques qu’il peut présenter pour les droits et libertés des personnes.

Biais algorithmique: Un biais algorithmique est une tendance systématique d’un système d’IA à produire des résultats déséquilibrés ou défavorables pour certaines personnes ou certains groupes.

Ces biais peuvent notamment provenir des données utilisées, de la conception du système ou de la manière dont il est déployé.

Ils peuvent conduire à des résultats discriminatoires ou à un accès inégal à certaines possibilités ou certains services.

Détection et correction des biais: La détection consiste à identifier les résultats ou les mécanismes susceptibles de produire des effets injustifiés sur certaines personnes ou certains groupes.

La correction consiste à prendre des mesures pour réduire ou éliminer les biais identifiés. Ces opérations doivent être adaptées au système concerné et aux risques qu’il présente.

Données synthétiques: Les données synthétiques sont générées artificiellement afin de reproduire certaines caractéristiques de données réelles.

Données anonymisées: Les données anonymisées sont des données qui ne permettent plus d’identifier une personne, directement ou indirectement, par des moyens raisonnablement susceptibles d’être utilisés.

Pseudonymisation: La pseudonymisation consiste à remplacer les éléments permettant d’identifier directement une personne par des informations distinctes, conservées séparément ou protégées.

Elle réduit certains risques, mais ne rend pas les données anonymes : des données pseudonymisées restent des données personnelles lorsqu’une réidentification demeure possible.

Nécessité et proportionnalité: Le traitement doit être limité à ce qui est strictement nécessaire pour détecter et corriger les biais concernés. Une organisation ne peut donc pas utiliser cette disposition comme justification pour collecter des données sensibles de manière systématique, sans objectif précis ni démonstration de leur nécessité.

Exemple pratique

Une entreprise développe un système d’IA à haut risque destiné à aider les établissements de santé à identifier les patients qui doivent bénéficier d’un suivi prioritaire.

Lors des tests, l’entreprise constate que le système produit des résultats moins fiables pour certains groupes de patients. Elle cherche à comprendre l’origine de cette différence et à corriger le biais identifié.

Pour vérifier si le système présente des écarts entre différents groupes, elle envisage d’utiliser certaines données relatives à la santé. L’article 4 bis peut permettre ce traitement exceptionnel, à condition que toutes les exigences applicables soient respectées.

L’entreprise doit notamment :

démontrer que les données sensibles sont strictement nécessaires et qu’il n’est pas possible d’atteindre efficacement le même objectif avec d’autres données, y compris des données synthétiques ou anonymisées ;
limiter les accès aux seules personnes autorisées ;
mettre en place des mesures de sécurité et de pseudonymisation adaptées ;
empêcher la transmission des données à d’autres parties ;
documenter les raisons justifiant le traitement dans ses registres ;
supprimer les données dès que le biais est corrigé ou que la durée de conservation applicable expire, selon la première échéance.

Elle doit également respecter les autres exigences du RGPD et de l’IA Act qui lui sont applicables.

Ainsi, l’article 4 bis peut faciliter la détection et la correction de biais susceptibles d’affecter la qualité des décisions assistées par l’IA, mais uniquement dans un cadre strictement encadré. Il ne permet pas de traiter librement des données sensibles au nom de l’innovation.

Le traitement de données sensibles est-il nécessaire pour détecter et corriger les biais de votre système d’IA à haut risque?

L’article 4 bis autorise exceptionnellement ce traitement lorsqu’il est strictement nécessaire et que les garanties prévues pour protéger les droits et libertés des personnes sont respectées.

Besoin d’aide pour sécuriser mon traitement de données sensibles?

Texte original de l’IA Act

Article 4 bis – Traitement de catégories particulières de données à caractère personnel à des fins de détection et de correction des biais

1. Dans la mesure strictement nécessaire à la détection et à la correction des biais en ce qui concerne les systèmes d’IA à haut risque, conformément à l’article 10, paragraphe 2, points f) et g), du présent règlement, les fournisseurs de ces systèmes peuvent exceptionnellement traiter des catégories particulières de données à caractère personnel, sous réserve de garanties appropriées pour les droits et libertés fondamentaux des personnes physiques. Outre les dispositions prévues dans les règlements (UE) 2016/679 et (UE) 2018/1725 et dans la directive (UE) 2016/680, selon le cas, toutes les conditions suivantes doivent être réunies pour que ce traitement puisse avoir lieu:

a) la détection et la correction des biais ne peuvent être satisfaites de manière efficace en traitant d’autres données, y compris des données synthétiques ou anonymisées;

b) les catégories particulières de données à caractère personnel sont soumises à des limitations techniques relatives à la réutilisation des données à caractère personnel, ainsi qu’aux mesures les plus avancées en matière de sécurité et de protection de la vie privée, y compris la pseudonymisation;

c) les catégories particulières de données à caractère personnel font l’objet de mesures visant à garantir que les données à caractère personnel traitées sont sécurisées, protégées et soumises à des garanties appropriées, y compris des contrôles stricts et une documentation de l’accès, afin d’éviter toute mauvaise utilisation et de veiller à ce que seules les personnes autorisées aient accès à ces données à caractère personnel, avec des obligations de confidentialité appropriées;

d) les catégories particulières de données à caractère personnel ne sont pas transmises, transférées ou consultées d’une autre manière par d’autres parties;

e) les catégories particulières de données à caractère personnel sont supprimées une fois que le biais a été corrigé ou que la période de conservation des données à caractère personnel a expiré, selon celle de ces deux échéances qui arrive en premier; et

f) les registres des activités de traitement en vertu des règlements (UE) 2016/679 et (UE) 2018/1725 et de la directive (UE) 2016/680 comprennent les raisons pour lesquelles le traitement des catégories particulières de données à caractère personnel était strictement nécessaire pour détecter et corriger les biais, ainsi que la raison pour laquelle cet objectif n’a pas pu être atteint par le traitement d’autres données.

2. Les fournisseurs et les déployeurs d’autres systèmes et modèles d’IA et les déployeurs de systèmes d’IA à haut risque peuvent exceptionnellement traiter des catégories particulières de données à caractère personnel dans la mesure où:

a) un tel traitement est strictement nécessaire pour assurer la détection et la correction d’éventuels biais susceptibles de porter atteinte à la santé et à la sécurité des personnes, d’avoir une incidence négative sur les droits fondamentaux ou de conduire à une discrimination interdite en vertu du droit de l’Union, en particulier lorsque les données de sortie influencent les entrées pour les opérations futures; et

b) toutes les conditions et garanties énoncées au paragraphe 1 sont remplies.

Le présent paragraphe ne crée aucune obligation de procéder à cette détection et à cette correction des biais.

Vous pouvez consulter le texte officiel consolidé sur EUR-Lex – Règlement (UE) 2024/1689, version consolidée du 27 juillet 2026.

Perspectives avec d’autres textes

Perspectives européennes

Règlement (UE) 2016/679 — RGPD

L’article 4 bis de l’IA Act complète le RGPD en autorisant, à titre exceptionnel et sous des garanties strictes, le traitement de catégories particulières de données personnelles pour détecter et corriger certains biais des systèmes d’IA. Ce traitement doit notamment respecter les articles 5 (principes du traitement), 6 (licéité) et 9 (catégories particulières de données) du RGPD.

Règlement (UE) 2018/1725 — Protection des données par les institutions de l’Union européenne

Ce règlement encadre le traitement des données personnelles par les institutions, organes et organismes de l’Union européenne. L’article 4 bis le mentionne expressément : il s’applique lorsque le traitement des données sensibles est effectué dans le champ de ce règlement, notamment pour détecter et corriger les biais des systèmes d’IA.

Directive (UE) 2016/680 — Protection des données à des fins répressives

Cette directive encadre les traitements de données personnelles effectués par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites. L’article 4 bis prévoit expressément son application lorsqu’elle est pertinente, en complément des garanties spécifiques à la détection et à la correction des biais.

Règlement (UE) 2026/1744 — Digital Omnibus on AI

Le règlement (UE) 2026/1744 a introduit l’article 4 bis dans l’IA Act. Cette nouvelle disposition autorise, sous conditions strictes, le traitement de catégories particulières de données personnelles pour détecter et corriger certains biais, tout en imposant des garanties de sécurité, de limitation des accès, de suppression et de documentation.

Perspectives françaises

Loi n° 78-17 du 6 janvier 1978 — Informatique et Libertés

L’article 6 de la loi Informatique et Libertés encadre le traitement des catégories particulières de données personnelles et renvoie aux exceptions prévues par l’article 9, paragraphe 2, du RGPD. Il complète ainsi l’article 4 bis de l’IA Act, qui autorise sous conditions strictes certains traitements de données sensibles destinés à détecter et à corriger les biais des systèmes d’IA.

Code de la recherche — Article L. 112-1

L’article L. 112-1 du Code de la recherche définit les objectifs de la recherche publique. Il peut être pertinent lorsqu’un traitement destiné à détecter ou à corriger des biais s’inscrit dans un projet de recherche, mais il ne constitue pas, à lui seul, une autorisation de traiter des données sensibles : les conditions du RGPD et de la loi Informatique et Libertés restent applicables.

Code pénal — Article 226-19

L’article 226-19 du Code pénal sanctionne, sous les conditions qu’il prévoit, certains traitements de données sensibles effectués en violation des règles légales applicables. Il rappelle que l’utilisation de données sensibles pour détecter ou corriger des biais dans un système d’IA doit respecter les conditions de licéité prévues par le RGPD, la loi Informatique et Libertés et l’article 4 bis de l’IA Act.

L’IA ACT peut sembler complexe. L’équipe de DPO externe de Mon Expert RGPD vous accompagne.

Menu IA Act