Article 10 IA Act : Données et gouvernance des données
Table des matières
Explication de l’article
L’article 10 du Règlement européen sur l’intelligence artificielle (IA Act) fixe les exigences relatives à la gouvernance des données et à la qualité des jeux de données utilisés pour développer les systèmes d’IA à haut risque.
L’objectif est de garantir que les données utilisées sont suffisamment fiables, représentatives et adaptées à la finalité du système. Des données de mauvaise qualité peuvent entraîner des erreurs, des résultats injustes ou des discriminations, avec des conséquences sur la santé, la sécurité et les droits fondamentaux des personnes.
L’article concerne principalement les jeux de données d’entraînement, de validation et de test. Il impose aux fournisseurs de mettre en place des pratiques de gestion des données adaptées à l’utilisation prévue du système.
1. Organiser la gouvernance des données
Le paragraphe 2 impose des pratiques appropriées de gouvernance et de gestion des données. Elles doivent notamment porter sur :
- Les choix de conception : comprendre comment les choix techniques influencent les données utilisées et les résultats produits.
- La collecte et l’origine des données : identifier les sources des données et, lorsqu’il s’agit de données personnelles, tenir compte de la finalité initiale de leur collecte.
- La préparation des données : documenter les opérations d’annotation, d’étiquetage, de nettoyage, de mise à jour, d’enrichissement et d’agrégation.
- Les hypothèses retenues : vérifier que les informations contenues dans les données correspondent bien à ce que le système est censé mesurer ou représenter.
- La disponibilité et l’adéquation des données : déterminer si les jeux de données nécessaires sont suffisamment nombreux et adaptés à l’usage prévu.
- La détection des biais : examiner les risques de biais susceptibles de porter atteinte à la santé ou à la sécurité, de nuire aux droits fondamentaux ou d’entraîner une discrimination interdite par le droit de l’Union.
- La prévention et la réduction des biais : mettre en œuvre des mesures appropriées pour détecter, prévenir et atténuer les biais identifiés.
- Les lacunes des données : repérer les insuffisances susceptibles d’empêcher le respect des exigences de l’IA Act et déterminer comment y remédier.
Ces obligations ne se limitent donc pas à vérifier que les données sont techniquement exploitables. Il faut également examiner leur origine, leur pertinence et les effets possibles de leur utilisation.
2. Garantir la qualité et la représentativité des données
Le paragraphe 3 exige que les jeux de données d’entraînement, de validation et de test soient pertinents, suffisamment représentatifs et, dans toute la mesure possible, exempts d’erreurs et complets au regard de la finalité du système.
Ils doivent également présenter des propriétés statistiques adaptées, notamment en ce qui concerne les personnes ou les groupes de personnes auxquels le système est destiné.
Par exemple, un outil d’IA utilisé pour évaluer des candidatures ne devrait pas être développé et testé uniquement à partir de profils qui ne reflètent qu’une partie de la population concernée. Une telle limitation pourrait conduire à des résultats moins fiables pour d’autres catégories de candidats.
Le règlement précise que les critères de qualité peuvent être satisfaits par chaque jeu de données pris individuellement ou par une combinaison de plusieurs jeux de données.
3. Tenir compte du contexte d’utilisation
Le paragraphe 4 prévoit que les données doivent prendre en compte, dans la mesure requise par la finalité du système, les particularités du contexte dans lequel l’IA sera utilisée.
Ces particularités peuvent être :
- géographiques, par exemple les différences entre les régions ou les pays ;
- contextuelles, selon l’environnement dans lequel le système fonctionne ;
- comportementales, en fonction des comportements que le système doit analyser ;
- fonctionnelles, selon la tâche que le système doit accomplir.
Un système développé dans un contexte donné ne sera donc pas nécessairement fiable dans un environnement différent. Le fournisseur doit vérifier que les données correspondent aux conditions réelles d’utilisation prévues.
4. Prévenir les biais et protéger les données sensibles
La version modifiée de l’IA Act doit être lue conjointement avec le nouvel article 4 bis.
L’article 10, paragraphe 2, points f) et g), impose d’examiner les biais susceptibles d’avoir des conséquences négatives et de prendre des mesures pour les détecter, les prévenir et les atténuer.
Le nouvel article 4 bis encadre, quant à lui, le traitement exceptionnel de catégories particulières de données à caractère personnel lorsqu’il est strictement nécessaire pour détecter et corriger certains biais. Ce traitement est soumis à des conditions strictes, notamment l’absence d’alternative efficace moins intrusive, des mesures renforcées de sécurité et de pseudonymisation, un accès limité, une durée de conservation encadrée et une documentation spécifique.
Attention : l’article 4 bis n’autorise pas librement l’utilisation de données sensibles. Les exigences du RGPD et les autres règles applicables doivent toujours être respectées.
5. Appliquer les exigences selon les techniques utilisées
Le paragraphe 1 vise les systèmes d’IA à haut risque qui utilisent des techniques impliquant l’entraînement de modèles avec des données. Lorsque ces jeux de données sont utilisés, ils doivent respecter les critères de qualité prévus aux paragraphes 2, 3 et 4, ainsi qu’à l’article 4 bis, paragraphe 1.
Le paragraphe 6 prévoit une règle particulière pour les systèmes d’IA à haut risque qui ne reposent pas sur des techniques impliquant l’entraînement de modèles : les exigences des paragraphes 2, 3 et 4 ainsi que celles de l’article 4 bis, paragraphe 1, s’appliquent uniquement aux jeux de données de test.
L’objectif est d’adapter les exigences relatives aux données aux techniques effectivement utilisées pour développer le système.
Notions clés à comprendre
Gouvernance des données : Ensemble des pratiques et des procédures qui encadrent la collecte, la préparation, la gestion, la qualité et l’utilisation des données. Elle permet de mieux maîtriser leur origine, leur fiabilité et les risques liés à leur exploitation.
Jeu de données d’entraînement : Ensemble de données utilisé pour permettre au modèle d’IA d’apprendre des relations ou des caractéristiques à partir d’exemples.
Jeu de données de validation : Ensemble de données utilisé pendant le développement pour évaluer les performances du modèle et guider certains choix de conception.
Jeu de données de test : Ensemble de données utilisé pour évaluer le fonctionnement du système et vérifier ses performances. Il permet notamment d’identifier des erreurs ou des limites avant son utilisation.
Biais algorithmique : Biais susceptible d’entraîner des résultats systématiquement défavorables ou moins fiables pour certaines personnes ou certains groupes. Il peut notamment provenir de données insuffisamment représentatives, d’erreurs de collecte ou d’hypothèses inadaptées.
Représentativité des données : Adéquation entre les données utilisées et les personnes, situations ou environnements auxquels le système est destiné. Elle doit être appréciée au regard de la finalité du système, et non selon un critère uniforme applicable à tous les projets.
Catégories particulières de données à caractère personnel : Données sensibles visées notamment à l’article 9 du RGPD, comme celles qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses, les données génétiques, certaines données biométriques, les données de santé ou celles concernant la vie sexuelle. Leur traitement est soumis à des conditions spécifiques.
Qualité des données : Caractéristiques des données (précision, complétude, représentativité, cohérence, conformité) qui déterminent si elles sont appropriées pour leur utilisation prévue.
Détection de biais : Processus visant à identifier déviations dans les données ou dans les résultats du système d’IA.
Mesures correctives : Actions pour corriger ou limiter l’impact des biais identifiés et améliorer la fiabilité et l’équité du système.
Évaluation continue des données : Réévaluation régulière des jeux de données, notamment lors de mises à jour ou intégration de nouvelles données, pour maintenir la performance, la fiabilité et l’équité du système.
Exemple pratique
Une entreprise développe un système d’IA à haut risque destiné à aider les services de ressources humaines à présélectionner des candidatures.
Pour entraîner son modèle, elle utilise des données issues de recrutements antérieurs. Or, les recrutements passés ont principalement concerné des candidats issus de certaines écoles et présentant des parcours professionnels similaires.
Si le système apprend à privilégier ces profils, il risque de défavoriser des candidats pourtant qualifiés dont les parcours sont différents. Il pourrait ainsi reproduire des biais présents dans les données historiques.
Pour respecter l’article 10, le fournisseur doit notamment :
- Examiner l’origine des données et vérifier comment elles ont été collectées.
- Évaluer leur pertinence et leur représentativité au regard des postes et des candidats concernés.
- Identifier les biais potentiels, notamment ceux susceptibles de conduire à une discrimination.
- Mettre en place des mesures correctives, par exemple en améliorant la qualité des données ou en ajustant les méthodes d’évaluation.
- Tester le système afin de vérifier ses performances et de repérer d’éventuelles différences de résultats entre les groupes concernés.
Si la détection et la correction d’un biais nécessitent exceptionnellement le recours à des données sensibles, le fournisseur doit examiner les conditions strictes de l’article 4 bis et les exigences du RGPD. Il ne peut pas simplement collecter des données sensibles au motif qu’elles permettraient d’améliorer le modèle.
Cet exemple montre que la conformité ne dépend pas uniquement des performances techniques d’un système d’IA. Elle suppose également de comprendre les données utilisées, de vérifier leur qualité et de prévenir les risques de discrimination.
Texte original de l’IA Act
Article 10 – Données et gouvernance des données
1. Les systèmes d’IA à haut risque faisant appel à des techniques qui impliquent l’entraînement de modèles d’IA au moyen de données sont développés sur la base de jeux de données d’entraînement, de validation et de test qui satisfont aux critères de qualité visés aux paragraphes 2, 3 et 4, du présent article et à l’article 4 bis, paragraphe 1, chaque fois que ces jeux de données sont utilisés.»
2. Les jeux de données d’entraînement, de validation et de test sont soumis à des pratiques en matière de gouvernance et de gestion des données appropriées à la destination du systèmes d’IA à haut risque. Ces pratiques concernent en particulier
a) les choix de conception pertinents;
b) les processus de collecte de données et l’origine des données, ainsi que, dans le cas des données à caractère personnel, la finalité initiale de la collecte de données;
c) les opérations de traitement pertinentes pour la préparation des données, telles que l’annotation, l’étiquetage, le nettoyage, la mise à jour, l’enrichissement et l’agrégation;
d) la formulation d’hypothèses, notamment en ce qui concerne les informations que les données sont censées mesurer et représenter;
e) une évaluation de la disponibilité, de la quantité et de l’adéquation des jeux de données nécessaires;
f) un examen permettant de repérer d’éventuels biais qui sont susceptibles de porter atteinte à la santé et à la sécurité des personnes, d’avoir une incidence négative sur les droits fondamentaux ou de se traduire par une discrimination interdite par le droit de l’Union, en particulier lorsque les données de sortie influencent les entrées pour les opérations futures;
g) les mesures appropriées visant à détecter, prévenir et atténuer les éventuels biais repérés conformément au point f);
h) la détection de lacunes ou déficiences pertinentes dans les données qui empêchent l’application du présent règlement, et la manière dont ces lacunes ou déficiences peuvent être comblées.
3. Les jeux de données d’entraînement, de validation et de test sont pertinents, suffisamment représentatifs et, dans toute la mesure possible, exempts d’erreurs et complets au regard de la destination. Ils possèdent les propriétés statistiques appropriées, y compris, le cas échéant, en ce qui concerne les personnes ou groupes de personnes à l’égard desquels le système d’IA à haut risque est destiné à être utilisé. Ces caractéristiques des jeux de données peuvent être remplies au niveau des jeux de données pris individuellement ou d’une combinaison de ceux-ci.
4. Les jeux de données tiennent compte, dans la mesure requise par la destination, des caractéristiques ou éléments propres au cadre géographique, contextuel, comportemental ou fonctionnel spécifique dans lequel le système d’IA à haut risque est destiné à être utilisé.
5. Supprimé
6. En ce qui concerne le développement de systèmes d’IA à haut risque qui ne font pas appel à des techniques qui impliquent l’entraînement de modèles d’IA, les paragraphes 2, 3 et 4 du présent article et l’article 4 bis, paragraphe 1, s’appliquent uniquement aux jeux de données de test.
Vous pouvez consulter le texte officiel consolidé sur EUR-Lex – Règlement (UE) 2024/1689, version consolidée du 27 juillet 2026.
Perspectives avec d’autres textes
Perspectives européennes
Le RGPD
Le règlement général sur la protection des données (RGPD) complète l’article 10 de l’IA Act lorsque les jeux de données contiennent des données à caractère personnel.
Son article 5 impose notamment des principes de licéité, de loyauté, de transparence, de minimisation, d’exactitude et de limitation de la conservation. Son article 6 encadre les bases juridiques du traitement, tandis que l’article 9 prévoit des conditions particulières pour les catégories sensibles de données.
L’article 10 de l’IA Act ne remplace donc pas ces exigences : un jeu de données peut être techniquement pertinent pour entraîner un modèle sans que son utilisation soit pour autant licite au regard du RGPD.
La Charte des droits fondamentaux de l’Union européenne
Les articles 7 et 8 de la Charte protègent respectivement la vie privée et les données à caractère personnel. L’article 21 interdit certaines discriminations.
Ces dispositions éclairent l’objectif de l’article 10 : les données utilisées par les systèmes d’IA à haut risque doivent être gérées de manière à limiter les risques pour les personnes et à prévenir les résultats discriminatoires.
La directive européenne sur l’égalité de traitement
Les directives européennes en matière d’égalité de traitement, notamment la directive 2000/78/CE dans le domaine de l’emploi et du travail, interdisent certaines discriminations fondées sur des caractéristiques protégées.
Un système de recrutement ou d’évaluation des salariés peut donc devoir respecter à la fois les exigences de qualité et de gouvernance des données de l’IA Act et les règles européennes de non-discrimination. Une bonne qualité statistique ne suffit pas, à elle seule, à démontrer l’absence de discrimination.
Directive Open Data (UE) 2019/1024 —
La directive (UE) 2019/1024 facilite la réutilisation des informations détenues par les organismes du secteur public, notamment grâce aux jeux de données de forte valeur prévus aux articles 13 et 14, qui peuvent contribuer au développement de systèmes d’IA. Elle complète indirectement l’article 10 de l’IA Act, car l’accès à des données pertinentes peut favoriser la constitution de jeux de données de qualité.
Guidelines on Data Quality and Governance (Commission européenne, 2025)
Méthodologies pour évaluer la représentativité, détecter les biais, documenter les données et choisir entre données open source ou propriétaires.
EDPB – Recommendations on Data Governance for AI
Clarifications sur la conformité RGPD, notamment :
- Consentement pour les données d’entraînement
- Droit à l’oubli
- Gestion des données sensibles
Data Quality Assessment Tool – AI Office
Outil pratique pour évaluer la qualité des données selon les exigences de l’article 10.
Perspectives françaises
La loi Informatique et Libertés et la CNIL
En France, la loi Informatique et Libertés du 6 janvier 1978 complète le RGPD. Lorsqu’un système d’IA utilise des données personnelles, l’organisme doit vérifier la licéité du traitement, respecter les principes de protection des données et mettre en place des mesures de sécurité adaptées.
La CNIL peut accompagner les organismes dans leur démarche de conformité et contrôler le respect des règles relevant de sa compétence.
Pour un projet d’IA à haut risque, il est donc nécessaire de mener une analyse conjointe des exigences de l’IA Act et des obligations relatives aux données personnelles, plutôt que de considérer la qualité des données comme une question exclusivement technique.
Le Code du travail
Dans le domaine du recrutement et de la gestion des salariés, le Code du travail interdit les discriminations dans les conditions qu’il prévoit, notamment à l’article L. 1132-1.
Lorsqu’un outil d’IA contribue à sélectionner des candidats ou à évaluer des salariés, l’entreprise doit donc examiner les risques de résultats discriminatoires et les conséquences de son utilisation. Les mesures prévues par l’article 10, telles que l’analyse des biais et l’amélioration des données, peuvent contribuer à cette démarche sans suffire, à elles seules, à garantir le respect du droit du travail.
Avis et recommandations complémentaires
CNIL – Standards de qualité des données
Recommandations sur ce qui constitue une bonne qualité de données pour les systèmes d’IA à haut risque.
Des données mal gouvernées peuvent rendre votre IA non conforme. L’équipe de DPO externe de Mon Expert RGPD vous accompagne.
Menu IA Act
Besoin d’aide pour cet article ?
Comprendre les obligations liées à cet article et éviter les erreurs.
🔓 Échange confidentiel – Sans engagement