Article 59 IA Act : Données personnelles dans les bacs à sable

Explication de l’article

L’article 59 de l’AI Act concerne une situation particulièrement sensible : Peut-on utiliser, dans un bac à sable réglementaire, des données personnelles qui avaient été collectées initialement pour une autre finalité afin de développer, entraîner ou tester un système d’IA ?

La réponse de l’IA Act est oui, mais uniquement dans certaines situations et sous des conditions très strictes.

L’article 59 constitue donc un mécanisme particulier permettant, dans certaines circonstances, de réutiliser des données personnelles déjà collectées légalement. Mais il ne faut surtout pas comprendre cet article comme une autorisation générale de réutiliser n’importe quelles données personnelles pour entraîner une IA. Au contraire, l’article impose plusieurs garanties concernant:

la finalité du projet ;
la nécessité des données ;
les risques pour les personnes ;
la sécurité ;
l’isolement des données ;
la conservation ;
la documentation ;
la non-utilisation des résultats pour prendre des décisions concernant les personnes.

Normalement, le fait qu’une donnée personnelle ait été collectée légalement pour une première finalité ne signifie pas automatiquement qu’elle peut être utilisée pour une nouvelle finalité. C’est précisément la question du traitement ultérieur. L’article 59 crée donc un cadre spécifique pour certaines expérimentations réalisées dans les bacs à sable réglementaires.

1. Première condition : le projet doit poursuivre un intérêt public important

Le système d’IA doit être développé pour préserver un intérêt public important. L’article 59 vise notamment les domaines suivants :

A. Sécurité et santé publiques: détection de maladies, diagnostic, prévention, contrôle et traitement des maladies et amélioration des systèmes de soins de santé.

B. Environnement: protection de la biodiversité, lutte contre la pollution, transition écologique, adaptation au changement climatique et réduction des effets du changement climatique.

C. Durabilité énergétique: un système d’IA destiné à améliorer la gestion ou l’efficacité énergétique.

D. Transport et infrastructures: sécurité des transports, résilience des systèmes de transport, mobilité, infrastructures critiques et réseaux de transport.

E. Administration publique: Un système destiné à améliorer l’efficacité de l’administration et la qualité des services publics.

Le projet doit donc avoir une finalité d’intérêt public importante. Il ne suffit pas qu’une entreprise souhaite utiliser des données personnelles pour améliorer un produit commercial.

Qui peut développer le système ?

L’article 59 prévoit que le système peut être développé par une autorité publique, une personne physique ou une personne morale. C’est ainsi qu’une entreprise privée peut également être concernée, à condition que le projet réponde aux conditions de l’article et poursuive un intérêt public important.

2. Deuxième condition : les données personnelles doivent être nécessaires

C’est probablement l’une des garanties les plus importantes. L’article 59 prévoit que les données personnelles doivent être nécessaires pour satisfaire à certaines exigences applicables aux systèmes d’IA. Mais si les mêmes objectifs peuvent être atteints avec des données anonymisées, synthétiques ou d’autres données non personnelles, les données personnelles ne doivent pas être utilisées. Cette règle traduit une logique proche du principe de minimisation des données du RGPD.

3. Troisième condition : surveiller les risques pour les personnes

L’article 59 exige la mise en place de mécanismes efficaces de surveillance. L’objectif est de détecter si l’expérimentation risque de créer des risques élevés pour les droits et libertés des personnes concernées. Il faut notamment pouvoir :

identifier rapidement les risques ;
suivre leur évolution ;
mettre en place des mesures correctives ;
arrêter le traitement si nécessaire.

Cette obligation est directement liée à l’analyse d’impact relative à la protection des données (AIPD) prévue par l’article 35 du RGPD.

4. Quatrième condition : les données doivent être isolées

Les données personnelles utilisées dans le bac à sable doivent être placées dans un environnement séparé, isolé et protégé sous le contrôle du fournisseur potentiel. Seules les personnes autorisées doivent pouvoir y accéder. Cela signifie qu’il ne suffit pas de créer un dossier intitulé « Bac à sable IA ». En plus, il faut mettre en place de véritables mesures techniques et organisationnelles permettant de limiter les accès, tel que le contrôle des habilitations, authentification, chiffrement, journalisation et etc.

5. Cinquième condition : les données ne peuvent pas être librement partagées

Les données initialement collectées peuvent continuer à être partagées uniquement dans le respect du droit de l’Union relatif à la protection des données. Mais l’article 59 prévoit une règle supplémentaire que les données personnelles créées dans le cadre du bac à sable ne peuvent pas être partagées en dehors du bac à sable.

Cette règle permet de limiter le risque que l’expérimentation devienne progressivement un nouveau traitement général de données personnelles.

6. Sixième condition : aucune décision concernant les personnes

Les traitements réalisés dans le cadre du bac à sable ne doivent pas conduire à prendre des mesures ou à prendre des décisions concernant les personnes, ni porter atteinte à l’exercice de leurs droits en matière de protection des données. Le bac à sable doit donc rester un environnement d’expérimentation.

Par exemple, une administration ne pourrait pas utiliser directement les résultats des expérimentations pour décider qu’une personne doit recevoir ou perdre une prestation, être surveillée, sanctionnée ou exclue d’un service.

L’objectif est donc de séparer l’expérimentation du système de prise de décisions produisant des effets sur les personnes.

7. Septième condition : protéger et supprimer les données

Les données personnelles doivent être protégées par des mesures techniques et organisationnelles appropriées. Une fois la participation au bac à sable terminée ou la durée de conservation atteinte, les données doivent être supprimées. Cette obligation rappelle directement le principe de limitation de la conservation du RGPD.

Le responsable du projet doit donc déterminer à l’avance :

combien de temps les données sont nécessaires ;
pourquoi cette durée est nécessaire ;
comment elles seront supprimées ;
comment cette suppression sera vérifiée.

8. Huitième condition : conserver les journaux de traitement

Les journaux des traitements réalisés dans le cadre du bac à sable doivent être conservés pendant la durée de participation au bac à sable, sauf disposition contraire du droit national ou de l’Union. Ces journaux permettent notamment de savoir quelles données et quand ont été utilisées, dans quel contexte, par qui et pour quelle opération. Ils permettent donc de renforcer la traçabilité du projet.

9. Neuvième condition : documenter le développement et les tests

L’article 59 impose une documentation particulièrement importante. Il faut conserver une description complète et détaillée :

du processus d’entraînement ;
de la justification de l’entraînement ;
des tests ;
de la validation ;
des résultats des tests.

Cette documentation doit être intégrée à la documentation technique prévue à l’annexe IV de l’IA Act. Cela signifie que les questions relatives aux données à caractère personnel ne doivent pas être documentées séparément de la conformité globale du système. Elles doivent au contraire faire partie du dossier technique du système d’IA.

10. Dixième condition : publier un résumé du projet

Les autorités compétentes doivent publier sur leur site internet un résumé du projet comprenant notamment une présentation du projet, ses objectifs et les résultats attendus. Cette obligation vise à assurer un minimum de transparence sur les projets réalisés dans les bacs à sable.

Notions clés à comprendre

Traitement ultérieur: Il s’agit de l’utilisation de données à caractère personnel pour une nouvelle finalité après leur collecte initiale. Par exemple: Finalité initiale : utiliser les données pour assurer la prise en charge et le suivi des soins d’un patient. → Nouvelle finalité : utiliser certaines de ces données pour développer et tester un système d’IA.

Données anonymisées: Ce sont des données qui ne permettent plus d’identifier une personne, directement ou indirectement, selon les moyens raisonnablement susceptibles d’être utilisés.

Données synthétiques: Ce sont des données générées artificiellement qui reproduisent certaines caractéristiques statistiques ou structurelles de données réelles, sans nécessairement correspondre directement à des personnes réelles. Elles peuvent être utiles pour limiter l’utilisation de données personnelles.

AIPD: L’analyse d’impact relative à la protection des données, prévue par l’article 35 du RGPD, permet d’identifier et de réduire les risques qu’un traitement peut présenter pour les droits et libertés des personnes.

Exemple pratique

Imaginons qu’un CHU souhaite développer un système d’IA permettant d’améliorer la détection précoce d’une maladie. Le CHU possède déjà des données médicales collectées dans le cadre des soins des patients. Il souhaite utiliser certaines de ces données pour entraîner et tester le système dans un bac à sable réglementaire.

Le projet pourrait relever de l’article 59 parce qu’il concerne la santé publique et l’amélioration des systèmes de soins. Mais le CHU doit d’abord vérifier si des données anonymisées, synthétiques ou non personnelles pourraient permettre d’atteindre le même objectif. Si ce n’est pas possible et que les données personnelles sont réellement nécessaires, le projet doit respecter les conditions de l’article 59. Le CHU doit notamment :

définir précisément la finalité du projet ;
démontrer la nécessité d’utiliser des données personnelles ;
analyser les risques pour les personnes ;
mettre en place les mesures de sécurité nécessaires ;
isoler les données dans un environnement protégé ;
limiter les accès ;
empêcher l’utilisation des résultats pour prendre des décisions concernant les patients ;
conserver les journaux de traitement ;
documenter l’entraînement et les tests ;
supprimer les données lorsque leur conservation n’est plus nécessaire ;
publier le résumé du projet dans les conditions prévues par l’article 59.

Le DPO peut alors intervenir sur plusieurs aspects du projet, notamment l’analyse de la base juridique, la minimisation, l’AIPD, les mesures de sécurité et la durée de conservation.

Utilisez des données personnelles en toute sécurité dans vos tests IA?

L'article 59 indique que les données personnelles ne peuvent être utilisées dans les bacs à sable que pour des projets d’intérêt public, dans un environnement sécurisé avec des garanties strictes et une suppression après usage.

Besoin d’aide pour sécuriser mon projet d’IA?

Texte original de l’IA Act

Article 59 – Traitement ultérieur de données à caractère personnel en vue du développement de certains systèmes d’IA dans l’intérêt public dans le cadre du bac à sable réglementaire de l’IA

1. Dans le bac à sable réglementaire de l’IA, les données à caractère personnel collectées légalement à d’autres fins peuvent être traitées uniquement aux fins du développement, de l’entraînement et de la mise à l’essai de certains systèmes d’IA dans le bac à sable, lorsque l’ensemble des conditions suivantes sont remplies:

a) les systèmes d’IA sont développés pour préserver des intérêts publics importants par une autorité publique ou une autre personne physique ou morale et dans un ou plusieurs des domaines suivants:

i) la sécurité publique et la santé publique, y compris la détection, le diagnostic, la prévention, le contrôle et le traitement des maladies ainsi que l’amélioration des systèmes de soins de santé;

ii) un niveau élevé de protection et d’amélioration de la qualité de l’environnement, la protection de la biodiversité, la protection contre la pollution, les mesures de transition écologique et les mesures d’atténuation du changement climatique et d’adaptation à celui-ci;

iii) la durabilité énergétique;

iv) la sécurité et la résilience des systèmes de transport et de la mobilité, des infrastructures critiques et des réseaux de transport;

v) l’efficacité et la qualité de l’administration publique et des services publics;

b) les données traitées sont nécessaires pour satisfaire à une ou plusieurs des exigences visées au chapitre III, section 2, lorsque ces exigences ne peuvent être satisfaites de manière efficace en traitant des données anonymisées, synthétiques ou autres à caractère non personnel;

c) il existe des mécanismes de suivi efficaces pour déterminer si des risques élevés pour les droits et les libertés des personnes concernées, visés à l’article 35 du règlement (UE) 2016/679 et à l’article 39 du règlement (UE) 2018/1725, sont susceptibles de survenir lors de l’expérimentation menée dans le cadre du bac à sable, ainsi que des mécanismes de réponse permettant d’atténuer rapidement ces risques et, au besoin, de faire cesser le traitement des données;

d) les données à caractère personnel à traiter dans le cadre du bac à sable se trouvent dans un environnement de traitement des données séparé, isolé et protégé sur le plan fonctionnel, placé sous le contrôle du fournisseur potentiel, et seules les personnes autorisées ont accès à ces données;

e) les fournisseurs ne peuvent en outre partager les données initialement collectées que conformément au droit de l’Union en matière de protection des données; aucune donnée à caractère personnel créée dans le bac à sable ne peut être partagée en dehors du bac à sable;

f) aucun traitement de données à caractère personnel effectué dans le cadre du bac à sable ne débouche sur des mesures ou des décisions affectant les personnes concernées ni n’a d’incidence sur l’application des droits que leur confère le droit de l’Union en matière de protection des données à caractère personnel;

g) les données à caractère personnel traitées dans le cadre du bac à sable sont protégées par des mesures techniques et organisationnelles appropriées et supprimées une fois que la participation au bac à sable a cessé ou que la période de conservation de ces données à caractère personnel a expiré;

h) les registres du traitement des données à caractère personnel dans le cadre du bac à sable sont conservés pendant la durée de la participation au bac à sable, sauf disposition contraire du droit de l’Union ou du droit national;

i) une description complète et détaillée du processus et de la justification de l’entraînement, de la mise à l’essai et de la validation du système d’IA est conservée avec les résultats des essais, et fait partie de la documentation technique visée à l’annexe IV;

j) un résumé succinct du projet d’IA développé dans le cadre du bac à sable, de ses objectifs et des résultats escomptés est publié sur le site web des autorités compétentes; cette obligation ne couvre pas les données opérationnelles sensibles relatives aux activités des autorités répressives, des autorités chargées des contrôles aux frontières, des services de l’immigration ou des autorités compétentes en matière d’asile.

2. Aux fins de la prévention et de la détection d’infractions pénales, ainsi que des enquêtes et des poursuites en la matière ou de l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, sous le contrôle et la responsabilité des autorités répressives, le traitement des données à caractère personnel dans les bacs à sable réglementaires de l’IA est fondé sur une disposition spécifique du droit de l’Union ou du droit national et soumis aux mêmes conditions cumulatives que celles visées au paragraphe 1.

3. Le paragraphe 1 est sans préjudice du droit de l’Union ou du droit national excluant le traitement des données à caractère personnel à des fins autres que celles expressément mentionnées dans ce droit, ainsi que sans préjudice du droit de l’Union ou du droit national établissant le fondement du traitement des données à caractère personnel qui est nécessaire aux fins du développement, de la mise à l’essai et de l’entraînement de systèmes d’IA innovants, ou de toute autre base juridique, dans le respect du droit de l’Union relatif à la protection des données à caractère personnel.

Vous pouvez consulter le texte officiel consolidé sur EUR-Lex – Règlement (UE) 2024/1689, version consolidée du 27 juillet 2026.

L’IA ACT peut sembler complexe. L’équipe de DPO externe de Mon Expert RGPD vous accompagne pour encadrer ces traitements et protéger les droits des personnes concernées.

Perspectives avec d’autres textes

Perspectives européennes

RGPD

Le RGPD est le texte le plus important à mettre en perspective avec l’article 59, qui fait directement référence à plusieurs dispositions du RGPD, notamment :

article 6, paragraphe 4 : traitement ultérieur et compatibilité des finalités ;
article 9, paragraphe 2, point g) : certaines situations concernant les catégories particulières de données ;
article 35 : AIPD, avant ou pendant l’expérimentation lorsqu’un traitement est susceptible d’engendrer un risque élevé.
Article 22: prise de décision automatisée: concernant certaines décisions fondées exclusivement sur un traitement automatisé.

Règlement (UE) 2018/1725

Lorsque les données sont traitées par une institution, un organe, un bureau ou une agence de l’Union européenne, il faut également regarder le règlement (UE) 2018/1725. Ce règlement constitue le cadre européen de protection des données personnelles applicable aux institutions et organes de l’Union.

L’article 59 fait expressément référence à l’article 5, 6, 10, et 39 du règlement (UE) 2018/1725. Le raisonnement est donc comparable à celui du RGPD, mais dans le contexte institutionnel européen.

Directive (UE) 2016/680 : domaine répressif

Pour les autorités répressives, le régime est différent. La directive (UE) 2016/680 concerne le traitement des données personnelles par les autorités compétentes à des fins de prévention, de détection, d’enquête et de poursuite des infractions pénales.

L’article 59 prévoit précisément que les traitements réalisés dans ce contexte doivent être fondés sur une disposition spécifique du droit de l’Union ou du droit national et respecter les conditions cumulatives prévues par l’article.

Menu IA Act

Besoin d’aide pour cet article ?

Comprendre les obligations liées à cet article et éviter les erreurs.

🔓 Échange confidentiel – Sans engagement