Article 78 – Confidentialité
Table des matières
Explication de l’article
L’article 78 de l’IA Act établit des règles de confidentialité pour les personnes et les autorités qui participent à l’application du règlement. Son objectif est de garantir que les informations obtenues lors des contrôles, enquêtes, inspections, audits ou autres activités prévues par l’IA Act ne soient pas utilisées ou divulguées de manière abusive.
Cette obligation est particulièrement importante parce que les autorités chargées de contrôler les systèmes d’IA peuvent avoir accès à des informations très sensibles, telles quelles :
- des données techniques ;
- des informations commerciales ;
- des secrets d’affaires ;
- du code source ;
- des informations relatives à la sécurité ;
- des informations concernant des procédures administratives ou pénales ;
- des informations classifiées.
L’article 78 cherche donc à trouver un équilibre entre deux objectifs :
a) Permettre un contrôle efficace des systèmes d’IA: Les autorités doivent avoir accès aux informations nécessaires pour vérifier la conformité des systèmes d’IA.
b) Protéger les informations sensibles: Les informations obtenues dans le cadre de ces contrôles doivent rester confidentielles lorsqu’elles sont protégées par le droit de l’Union ou le droit national.
L’article 78 précise notamment que les autorités doivent protéger les droits de propriété intellectuelle, les informations commerciales confidentielles et les secrets d’affaires, y compris le code source, sauf dans les situations prévues par le droit applicable.
La confidentialité concerne également les informations dont la divulgation pourrait compromettre :
- l’application effective de l’IA Act ;
- la sécurité nationale ou publique ;
- une procédure pénale ou administrative ;
- des informations classifiées.
L’article 78 impose également aux autorités de ne demander que les données strictement nécessaires à l’évaluation des risques et à l’exercice de leurs pouvoirs. Elles doivent mettre en place des mesures de cybersécurité adaptées et supprimer les données collectées lorsqu’elles ne sont plus nécessaires, conformément au droit applicable. Ainsi, l’article 78 repose sur un principe important que contrôler efficacement l’IA ne signifie pas que toutes les informations obtenues par les autorités peuvent être librement divulguées.
Les principales obligations prévues par l’article 78
1. Protéger les informations confidentielles: Les autorités et les autres personnes participant à l’application de l’IA Act doivent préserver la confidentialité des informations obtenues dans le cadre de leurs missions. Cela concerne notamment les informations commerciales confidentielles et les secrets d’affaires.
2. Protéger la propriété intellectuelle: L’article protège également les droits de propriété intellectuelle. Cela est particulièrement important pour les entreprises qui développent des technologies d’IA innovantes. Le code source, par exemple, peut constituer une information extrêmement sensible pour une entreprise.
3. Ne demander que les données nécessaires: Les autorités ne doivent pas collecter plus de données que nécessaire. Elles doivent demander uniquement les informations strictement nécessaires à l’évaluation du risque ou à l’exercice de leurs pouvoirs. Cela permet d’éviter une collecte excessive d’informations.
4. Assurer la cybersécurité des informations: Les autorités doivent mettre en place des mesures de cybersécurité adéquates et efficaces pour protéger les informations et les données qu’elles obtiennent. La confidentialité ne concerne donc pas seulement l’interdiction de divulguer une information. Elle implique également de prendre des mesures techniques et organisationnelles pour empêcher qu’une information soit volée, perdue ou consultée par une personne non autorisée.
5. Supprimer les données lorsqu’elles ne sont plus nécessaires: Lorsque les informations collectées ne sont plus nécessaires pour l’objectif pour lequel elles ont été obtenues, elles doivent être supprimées conformément au droit applicable. Cette règle rappelle le principe de limitation de la conservation que l’on retrouve également dans le RGPD.
Notions clés à comprendre
Confidentialité : obligation de protéger une information contre une divulgation ou un accès non autorisé.
Secret d’affaires : information commerciale ou technique confidentielle qui possède une valeur économique parce qu’elle n’est pas connue ou facilement accessible.
Propriété intellectuelle : ensemble des droits protégeant notamment les créations, inventions, logiciels et autres productions intellectuelles.
Code source : ensemble des instructions informatiques permettant de faire fonctionner un logiciel ou un système informatique.
Cybersécurité : ensemble des mesures destinées à protéger les systèmes, réseaux et informations contre les accès non autorisés, les attaques, les pertes ou les destructions.
Limitation de la conservation : principe selon lequel les données ne doivent pas être conservées plus longtemps que nécessaire.
Organisme notifié : organisme désigné par un État membre pour réaliser certaines évaluations de conformité prévues par la réglementation.
Exemple pratique
Une entreprise européenne développe un modèle d’IA destiné à être utilisé dans plusieurs systèmes médicaux. Le système est soumis à un contrôle par l’autorité de surveillance du marché afin de vérifier sa conformité avec les exigences de l’IA Act. Pour réaliser ce contrôle, l’autorité demande à l’entreprise plusieurs documents, notamment :
- la documentation technique ;
- les résultats des tests de sécurité ;
- les informations concernant la gestion des risques ;
- certains éléments concernant les données utilisées ;
- des informations sur l’architecture du système ;
- certains éléments du code source.
Parmi ces informations se trouvent des éléments qui constituent des secrets d’affaires.
Par l’application de l’article 78, l’autorité peut obtenir les informations nécessaires à son contrôle. Cependant, elle doit respecter les obligations de confidentialité prévues par l’article 78. Elle ne peut donc pas librement publier les informations commerciales confidentielles ou le code source de l’entreprise.
Elle doit également limiter la collecte aux informations nécessaires, protéger les documents contre les accès non autorisés, mettre en place des mesures de cybersécurité adaptées et supprimer les informations lorsqu’elles ne sont plus nécessaires, conformément au droit applicable.
Sans cette garantie, une entreprise pourrait hésiter à fournir aux autorités les informations techniques nécessaires à un contrôle, par crainte que ses secrets commerciaux ou son code source soient divulgués. L’article 78 permet donc de maintenir un équilibre entre contrôle réglementaire et protection des informations sensibles.
Texte original de l’IA Act
Article 78 – Confidentialité
1. La Commission, les autorités de surveillance du marché et les organismes notifiés, ainsi que toute autre personne physique ou morale associée à l’application du présent règlement respectent, conformément au droit de l’Union ou au droit national, la confidentialité des informations et des données obtenues dans l’exécution de leurs tâches et activités de manière à protéger, en particulier:
Lorsque les autorités répressives, les services de l’immigration ou les autorités compétentes en matière d’asile sont fournisseurs de systèmes d’IA à haut risque visés à l’annexe III, point 1, 6 ou 7, la documentation technique visée à l’annexe IV reste dans les locaux de ces autorités. Ces autorités veillent à ce que les autorités de surveillance du marché visées à l’article 74, paragraphes 8 et 9, selon le cas, puissent, sur demande, avoir immédiatement accès à la documentation ou en obtenir une copie. Seuls les membres du personnel de l’autorité de surveillance du marché disposant d’une habilitation de sécurité au niveau approprié sont autorisés à avoir accès à cette documentation ou à une copie de celle-ci.
Vous pouvez consulter le texte officiel consolidé sur EUR-Lex – Règlement (UE) 2024/1689, version consolidée du 27 juillet 2026.
Perspectives avec d’autres textes
RGPD
L’article 78 présente un lien important avec le RGPD, notamment avec les principes de minimisation des données, de sécurité et de limitation de la conservation. L’article 78 reprend une logique similaire dans le contexte de la surveillance de l’IA : les autorités ne doivent demander que les données strictement nécessaires et doivent supprimer les données lorsqu’elles ne sont plus nécessaires aux fins pour lesquelles elles ont été obtenues, conformément au droit applicable.
Il faut toutefois préciser que l’article 78 ne remplace pas le RGPD. Les règles européennes relatives à la protection des données personnelles continuent de s’appliquer parallèlement à l’IA Act. Le règlement précise lui-même que le droit de l’Union relatif à la protection des données personnelles et de la vie privée continue de s’appliquer aux traitements effectués dans le cadre de l’IA Act.
La directive (UE) 2016/943 sur les secrets d’affaires
L’article 78 est également directement lié à la directive (UE) 2016/943 sur la protection des savoir-faire et des informations commerciales non divulgués (secrets d’affaires). Cette directive établit un cadre européen de protection des secrets d’affaires contre leur acquisition, leur utilisation et leur divulgation illicites.
L’article 78 protège expressément les informations commerciales confidentielles et les secrets d’affaires, y compris le code source, tout en prévoyant une exception pour les situations visées à l’article 5 de la directive 2016/943.
Cette articulation est particulièrement importante pour les entreprises qui développent des modèles d’IA et dont la technologie repose sur des informations techniques ou commerciales confidentielles.
La directive NIS 2
La directive NIS 2 impose aux entités relevant de son champ d’application de mettre en place des mesures de gestion des risques de cybersécurité et des mécanismes de prévention, de gestion et de déclaration des incidents. Elle couvre notamment la sécurité de la chaîne d’approvisionnement, la gestion des vulnérabilités, la continuité des activités, le contrôle des accès et la cryptographie.
Le lien entre la directive NIS 2 et l’article 78 est surtout complémentarité. NIS 2 protège principalement les réseaux et systèmes d’information de l’organisation, tandis que l’article 78 protège la confidentialité des informations obtenues dans le cadre du contrôle de l’AI Act.
Cyber Resilience Act
L’article 78 peut également être mis en perspective avec le Cyber Resilience Act (règlement (UE) 2024/2847). Le CRA impose aux fabricants de produits comportant des éléments numériques des exigences de cybersécurité dès la conception et pendant toute la durée de vie du produit, notamment en matière de gestion des vulnérabilités. Le lien avec l’article 78 est ici complémentaire : le CRA vise principalement la sécurité des produits matériels et logiciels, tandis que l’article 78 vise la protection des informations confidentielles auxquelles les autorités peuvent avoir accès lors de leurs activités de contrôle.
Le règlement (UE) 2019/1020
L’article 78 doit également être rapproché du règlement (UE) 2019/1020 relatif à la surveillance du marché et à la conformité des produits. L’IA Act prévoit que les autorités de surveillance du marché exercent leurs missions dans le respect des obligations de confidentialité de l’article 78. Le règlement prévoit également que les informations ou documents obtenus par ces autorités sont traités conformément à ces obligations.
Droit de la propriété intellectuelle
L’article 78 protège également les droits de propriété intellectuelle. Cette protection est importante dans le domaine de l’IA car les entreprises peuvent investir des ressources considérables dans le développement de modèles, des logiciels, des bases de données, des architectures techniques, des algorithmes et des méthodes d’entraînement.
L’autorité doit pouvoir contrôler ces technologies sans que le contrôle réglementaire entraîne automatiquement une perte de protection des droits de propriété intellectuelle.
L’IA ACT peut sembler complexe. L’équipe de DPO externe de Mon Expert RGPD vous accompagne pour auditer votre système d’IA selon les réglementations en vigueur.
Menu IA Act
Besoin d’aide pour cet article ?
Comprendre les obligations liées à cet article et éviter les erreurs.
🔓 Échange confidentiel – Sans engagement