RGPD et règlement IA au Luxembourg : obligations des entreprises

Publié 2026-08-08· 7 min de lectureRGPD et IA

Vous êtes responsable conformité dans une société de gestion, une banque privée ou un assureur luxembourgeois, et un client institutionnel vous envoie un questionnaire fournisseur : votre outil de scoring KYC ou de surveillance AML utilise-t-il de l'intelligence artificielle, et si oui, est-il conforme au RGPD et au règlement sur l'IA ? Vous avez un registre des traitements RGPD à jour, peut-être une analyse d'impact relative à la protection des données (AIPD) pour l'outil en question. Mais le questionnaire pose des questions que votre AIPD ne couvre pas explicitement — classification du risque, supervision humaine, documentation technique. La question n'est pas de repartir de zéro : c'est de comprendre où le travail RGPD déjà réalisé sert de socle au règlement IA, et où il faut ajouter quelque chose de distinct.

RGPD et règlement IA : deux textes qui s'appliquent au même outil

Dès qu'un système d'intelligence artificielle traite des données à caractère personnel — ce qui est le cas de la quasi-totalité des outils de scoring, de notation de crédit ou de surveillance des transactions utilisés par les acteurs financiers luxembourgeois — le RGPD s'applique, sous le contrôle de la CNPD (Commission nationale pour la protection des données). Le règlement sur l'IA s'ajoute à cette base sans la remplacer : il encadre le système en tant que tel dès qu'il entre dans une catégorie de risque définie par le texte, indépendamment du fait qu'il traite ou non des données personnelles. Notre article sur le règlement IA pour les PME luxembourgeoises détaille les niveaux de risque ; ici, l'angle est différent : où les deux textes se recoupent, où ils divergent, et ce que cela change pour une AIPD déjà en place.

Article 22 du RGPD et annexe III du règlement IA : deux tests, pas un seul

C'est le point de confusion le plus fréquent, en particulier pour le KYC et le credit scoring. L'article 22 du RGPD encadre les décisions individuelles automatisées, y compris le profilage, qui produisent des effets juridiques ou affectent une personne de façon significative — refus de crédit automatique, blocage de compte décidé par algorithme. Ce test porte sur l'effet produit sur la personne. L'annexe III du règlement IA dresse une liste de domaines à haut risque — évaluation de solvabilité, accès à des services financiers essentiels, entre autres — indépendamment du degré d'automatisation de la décision finale. Un outil de scoring KYC qui se contente de classer un client pour qu'un analyste humain tranche ensuite peut échapper à l'article 22, la décision restant humaine, tout en relevant de l'annexe III du règlement IA parce que l'évaluation de solvabilité y figure explicitement. Un système AML entièrement automatisé, qui bloque une transaction sans revue humaine immédiate, peut au contraire déclencher les deux régimes à la fois. Les deux vérifications doivent donc être faites séparément, pour chaque outil.

AIPD (article 35) et analyse d'impact sur les droits fondamentaux (article 27) : compléter, pas refaire

Si votre outil d'IA traite des données personnelles à risque élevé pour les personnes concernées, l'article 35 du RGPD impose une AIPD, sous le contrôle de la CNPD. Le règlement IA introduit, à son article 27, une analyse d'impact sur les droits fondamentaux — mais son champ est plus étroit : il vise principalement les organismes publics, certains acteurs privés fournissant un service public, ainsi que les banques et assureurs qui déploient des systèmes à haut risque au sens de l'annexe III. Pour une banque ou un assureur luxembourgeois utilisant un scoring de crédit ou d'assurance automatisé, cette analyse d'impact spécifique s'applique vraisemblablement ; pour une société de gestion hors de ces catégories, elle ne s'impose pas nécessairement, même si l'outil reste par ailleurs à haut risque. Quand les deux obligations coexistent, l'article 27§4 du règlement IA permet de s'appuyer sur une AIPD déjà réalisée pour remplir une partie de l'analyse d'impact sur les droits fondamentaux, plutôt que de repartir de zéro. L'enjeu pratique est donc de vérifier ce que votre AIPD couvre déjà — supervision humaine, documentation technique, mesures de correction en cas de dérive — et de compléter uniquement les points manquants.

Base légale du RGPD : un point que le règlement IA ne règle pas

Autre recoupement, moins visible mais tout aussi concret : la base légale RGPD (article 6) pour entraîner ou faire fonctionner un système d'IA sur des données de clients n'est pas acquise du seul fait que le système est par ailleurs conforme au règlement IA. Un outil de scoring entraîné sur l'historique de transactions de vos clients doit reposer sur une base légale identifiée — exécution du contrat, obligation légale de vigilance AML, ou intérêt légitime documenté — indépendamment de sa classification de risque au titre du règlement IA. Ce dernier impose, pour les systèmes à haut risque, des obligations de gouvernance des données (article 10) sur la qualité des jeux de données, mais il ne remplace pas l'analyse de licéité que le RGPD exige déjà. Les deux textes posent donc des questions complémentaires sur les mêmes données : l'un sur le droit de les traiter, l'autre sur la qualité de ce qui alimente le système.

Ce qu'il faut vérifier, outil par outil

Le système traite-t-il des données personnelles ? Si oui, le RGPD s'applique déjà, sous le contrôle de la CNPD.
La décision produite affecte-t-elle un client de façon juridique ou significative sans intervention humaine réelle ? Si oui, l'article 22 du RGPD s'applique.
L'usage figure-t-il à l'annexe III du règlement IA (évaluation de solvabilité, accès à des services financiers essentiels, entre autres) ? Si oui, le système est probablement à haut risque au sens du règlement IA, que la décision soit automatisée ou non.
Une AIPD (article 35) existe-t-elle déjà pour ce traitement ? Si oui, elle peut servir de base à l'analyse d'impact sur les droits fondamentaux de l'article 27, via l'article 27§4.
Votre organisme est-il une banque, un assureur, ou relève-t-il du champ étroit de l'article 27 ? Si oui, cette analyse d'impact s'applique probablement.
La base légale RGPD pour l'entraînement ou l'usage des données est-elle documentée séparément de la classification de risque au titre du règlement IA ?

Information générale, pas un conseil juridique

Ce qui précède est une information générale destinée à orienter votre réflexion sur l'articulation entre RGPD et règlement IA ; ce n'est pas un conseil juridique adapté à votre situation, qui dépend de vos traitements, de votre secteur et de la version la plus récente des textes et des lignes directrices de la CNPD. À ce jour, nous n'avons pas connaissance d'une législation nationale luxembourgeoise de mise en œuvre du règlement IA distincte des textes européens ; si un tel texte existe ou est en préparation, vérifiez son état auprès de la CNPD. Quand Komplya publie ce type de contenu, nous distinguons ce qui a été revu juridiquement de ce qui reste un document de travail, et nous invitons à faire vérifier tout point sensible par un professionnel avant de figer une décision. Pour le détail de qui contrôle quoi entre la CNPD et la CSSF, notre article sur les autorités compétentes au Luxembourg approfondit ce point sans le dupliquer.

Le moyen le plus rapide de savoir où vous en êtes, outil par outil, est de passer en revue votre situation actuelle plutôt que de deviner. Répondez à un court questionnaire sur vos systèmes d'IA et vos traitements de données : vous obtiendrez une vue claire de ce qui relève déjà de votre AIPD, de ce qui reste à compléter pour le règlement IA, et des points à surveiller côté CNPD.