Protection des données dans l’analyse vidéo par IA : qu’est-ce qui est important ?
Le but, la référence personnelle et le contexte opérationnel déterminent les exigences. Le RGPD et la loi suisse sur la protection des données réglementent le traitement des données. La loi de l’UE sur l’IA complète ces exigences par des obligations et des interdictions liées aux risques. Une analyse purement en direct peut déjà traiter des données personnelles ; Toutefois, l’identification personnelle n’est pas automatiquement une identification biométrique.
- Protection des donnéesVérifier la finalité, la proportionnalité et le flux des données
- Loi sur l’IAClasser la fonction, le rôle et le domaine d’application
- ArchitecturePlanifier dès le départ les mesures de protection
L’analyse vidéo par IA peut compter les personnes, classer les véhicules ou signaler la fumée visible, les chutes et les équipements de protection manquants. Techniquement, beaucoup de choses sont possibles. Toutefois, pour l’appréciation juridique, ce qui compte, c’est À quoi sert le système, quelles données il traite et quelles conséquences ses résultats ont-ils sur les personnes.
Cet article classe les exigences les plus importantes pour les entreprises et les autorités de l’UE et de la Suisse. Ce faisant, il tient compte de la modification de la loi sur l’IA entrée en vigueur en juillet 2026. Cependant, pour votre projet, vous devez appliquer les règles au cas d’usage spécifique et aux réglementations nationales.
Par Anne-Katrin Michelmann · Synaedge AG. Statut de recherche et éditorial : 10 septembre 2026.
1. Reconnaître n’est pas la même chose qu’identifier
Par exemple, une analyse peut déterminer qu’une personne se trouve dans une zone réglementée sans déterminer qui elle est. Même la détection d’une chute, d’un objet ou d’une arme ne nécessite pas nécessairement une comparaison d’identité biométrique. Les données personnelles peuvent toujours être traitées : une personne peut rester identifiable par l’image ou via des informations complémentaires.
Selon l’art. 4 n° 14 du RGPD, les données biométriques sont créées grâce à un traitement technique spécifique de caractéristiques physiques, physiologiques ou comportementales qui permettent ou confirment une identification claire. S’ils sont traités à cette fin, l’interdiction conformément à l’article 9 du RGPD s’applique généralement, sauf exceptions. Une photo normale d’un visage n’entre pas dans cette catégorie spéciale pour cette seule raison.
Quelles fonctions déclenchent quels risques
| Fonction d’analyse | Protection des données | Règlement européen sur l’IA |
|---|---|---|
| Reconnaître les objets, compter les personnes | Des références personnelles peuvent apparaître au cours de l’évaluation, même si seuls des chiffres sont sortis à la fin. | La fonction à elle seule ne justifie pas une classification à haut risque. |
| Détecter les chutes, la fumée, le feu ou les armes visibles | Le contenu et le but de l’image déterminent la référence personnelle ; En fonction de l’évaluation, les données de santé peuvent également être affectées. | Le contexte de sécurité, de produit ou d’emploi peut déclencher des exigences supplémentaires. |
| Faire correspondre le visage avec une base de données | En cas d’identification claire, l’art. 6 et une exception supplémentaire selon l’art. 9 al. 2 RGPD doit être vérifié. | L’identification biométrique à distance peut être une IA à haut risque ou interdite dans certaines constellations. |
| Confirmer l’identité dans un rapport de 1:1 | L’authentification biométrique reste particulièrement protégée par la loi sur la protection des données. | La vérification pure est exclue de la catégorie correspondante de l’annexe III n° 1 lettre a ; d’autres motifs de classement restent possibles. |
| Déduire des émotions ou des caractéristiques sensibles | Traitements particulièrement invasifs ; catégories de données spéciales en fonction du contenu. | Partiellement interdit, sinon des obligations de risque et de transparence élevées peuvent s’appliquer. |
Même le suivi multi-caméras avec un identifiant technique n’est pas automatiquement anonyme. Si les mouvements peuvent être attribués à une personne ou liés à d’autres données, il peut toujours y avoir un lien personnel.
Bases : RGPD, articles 4 et 9; Lignes directrices de l’EDPB sur les appareils vidéo, section 5; Loi sur l’IA, article 6 et annexe III.
2. L’analyse en direct est aussi un traitement de données
« Nous ne stockons pas de vidéos » ne signifie pas qu’aucune donnée personnelle n’est traitée. Parce que la collecte, l’utilisation et l’évaluation sont déjà considérées comme un traitement au sens de l’art. 4 n° 2 du RGPD. Cela s’applique également aux images analysées brièvement en mémoire.
Le traitement des contours locaux, les tampons courts, les zones d’analyse limitées et les clips d’événements peuvent réduire la taille des données. Toutefois, les statistiques pures en sortie ne rendent pas rétroactivement anonyme le traitement en amont des personnes identifiables.
Dans le cas de la pixellisation, il est crucial quand et où cela a lieu et qui peut accéder aux images originales. Le masquage uniquement dans l’interface utilisateur ne protège pas automatiquement le flux d’origine. Si les originaux, les identifiants ou d’autres options d’attribution restent disponibles, une anonymisation complète ne peut pas être revendiquée à tous les niveaux.
3. Clarifiez d’abord l’objectif et la base juridique
Décrivez d’abord un objectif précis : par exemple, protéger une entrée spécifique ou identifier une personne dans une zone dangereuse. Vérifiez ensuite si l’éclairage, le contrôle d’accès, la sécurité structurelle ou d’autres capteurs atteignent le même objectif avec moins d’intervention. Cette vérification doit être effectuée avant la sélection du système.
Dans l’UE, le traitement nécessite une base juridique conformément à l’article 6 du RGPD. Dans le cas de demandes de sécurité privée, un intérêt légitime au sens de l’article 6, paragraphe 1, lettre f, peut être pris en considération. Cependant, l’intérêt réel, la nécessité et la mise en balance avec les droits des personnes concernées doivent être documentés.
Toutefois, les autorités ne peuvent pas compter sur cette mise en balance des intérêts pour remplir leurs missions publiques. Il convient en particulier d’examiner ici les compétences juridiques pertinentes. Si le traitement est effectué par les autorités compétentes à des fins répressives, la mise en œuvre nationale de la directive (UE) 2016/680 s’applique généralement. L’objectif spécifique est donc crucial, et pas seulement le nom de l’organisation.
Un intérêt légitime seul ne suffit pas à l’identification biométrique. En outre, il doit y avoir une exception pertinente conformément à l’article 9 al. 2 RGPD. Le consentement exprès peut constituer une telle exception, mais il doit en réalité être volontaire et révocable. Ceci est particulièrement critique dans la relation de travail en raison de la relation de dépendance.
4. Un signe ne remplace pas une base juridique
Les personnes concernées doivent comprendre clairement que leurs données sont traitées et dans quel but. Cela comprend un avis clairement visible avant d’entrer dans la zone surveillée et des informations supplémentaires conformément à l’art. 13 RGPD. Avec l’analyse de l’IA, des objectifs supplémentaires et des évaluations pertinentes doivent également être compréhensibles.
Entrer dans une zone désignée ne constitue généralement pas un consentement actif suffisant. Un signe ne légitime donc pas une surveillance autrement inadmissible.
Vous devez également planifier le traitement pratique des informations, la suppression et, si nécessaire, l’opposition. Lors de la fourniture d’informations sur l’image, les droits des autres personnes représentées doivent également être protégés. Il n’existe pas de durée de conservation standard à l’échelle européenne pour les enregistrements : la finalité spécifique détermine la durée requise. Par conséquent, mettez en œuvre techniquement des règles de suppression, des exceptions documentées pour les incidents et les droits d’accès.
5. Analyse d’impact et responsabilités
Une analyse d’impact sur la protection des données (AIPD) est requise conformément à l’article 35 du RGPD si le traitement est susceptible d’entraîner un risque élevé pour les droits et libertés des personnes physiques. Surveillance systématique et approfondie des zones accessibles au public est expressément mentionné. La biométrie, la combinaison de sources de données ou des évaluations complètes peuvent également être pertinentes ; Les listes nationales d’obligations des autorités de surveillance doivent également être vérifiées.
Une DPIA décrit le traitement, évalue la nécessité et la proportionnalité et définit les mesures de protection. Si un risque élevé persiste malgré ces mesures, l’autorité de contrôle doit être consultée avant de commencer conformément à l’article 36. Vérifiez également si un délégué à la protection des données doit être nommé et quelles sont les exigences en matière de documentation.
Celui qui décide des finalités et des moyens nécessaires est responsable en vertu de la loi sur la protection des données. En revanche, les prestataires de services qui traitent les données sur la base d’instructions ont besoin d’un accord de traitement des commandes approprié. La responsabilité conjointe doit être évaluée séparément. Incluez également la maintenance à distance, les sous-traitants et l’utilisation d’images pour la formation des modèles dans ce test.
Pour certains opérateurs d’IA à haut risque, il y en aura un selon le calendrier pertinent de la loi sur l’IA. Analyse d’impact sur les droits fondamentaux conformément à l’article 27 ajoutés, par exemple aux organismes publics couverts ou aux prestataires privés de services publics. Ce n’est pas la même chose que la DPIA ; Les résultats DPIA existants peuvent être intégrés. Cette obligation ne s’applique pas indistinctement à chaque entreprise et à chaque analyse vidéo.
RGPD, articles 26, 28, 30 et 35-37 · Loi sur l’IA, article 27
6. Quelles règles de l’IA Act s’appliquent en 2026 ?
La loi sur l’IA ne remplace pas la loi sur la protection des données. Un système peut répondre aux exigences de la loi sur l’IA tout en étant inadmissible à un traitement de données spécifique. À l’inverse, une base juridique relative à la protection des données ne prévaut pas sur une interdiction prévue par la loi sur l’IA.
| Date | Signification |
|---|---|
| 2 février 2025 | Les interdictions initiales de l’article 5 et du règlement sur la compétence en matière d’IA s’appliquent déjà. |
| 2 août 2025 | Entre autres choses, les règles de gouvernance et les obligations pour les nouveaux modèles d’IA à usage général s’appliqueront ; Les transitions doivent être vérifiées séparément. |
| 2 août 2026 | Date d’application générale de nombreux autres règlements, dont l’article 50 avec certaines obligations de transparence. |
| 2 décembre 2027 | Les sections 1 à 3 du chapitre III s’appliquent généralement aux systèmes à haut risque conformément à l’article 6, paragraphe 2, et à l’annexe III. |
| 2 août 2028 | Règles à haut risque correspondantes pour les produits ou composants de sécurité couverts, conformément à l’article 6, paragraphe 1, et à l’annexe I. |
Les délais prolongés à haut risque sont basés sur le changement par rapport à juillet 2026. Ils ne reportent pas toutes les obligations à tous les niveaux. Des dispositions transitoires supplémentaires s’appliquent aux systèmes déjà prévus et à certaines règles particulières. Par exemple, les interdictions de certaines représentations intimes ou abusives créées ou manipulées artificiellement, qui ont été ajoutées en juillet 2026, ne s’appliqueront que le 2 décembre 2026.
Loi consolidée sur l’IA, en particulier les articles 111 et 113 · Calendrier de la Commission européenne
7. Attacher des risques élevés et des interdictions à l’utilisation
La détection d’objets ou de fumée n’est pas un système à haut risque simplement en raison de l’utilisation de l’IA. Toutefois, l’identification biométrique à distance, certains composants de sécurité des infrastructures critiques ou encore les systèmes de suivi et d’évaluation des salariés sont pertinents. L’intégration dans des produits réglementés peut également être cruciale.
Par conséquent, une même fonction technique de base peut être légalement classée différemment selon la finalité. Pour certains cas, l’article 6, paragraphe 3, prévoit une exception limitée à la classification à haut risque. Il doit être vérifié par rapport aux exigences légales et, si nécessaire, documenté ; une étiquette comme « système d’assistance » ne suffit pas.
Les interdictions suivantes, déjà applicables, doivent être respectées en particulier pour l’analyse vidéo :
- Collection non ciblée d’images faciales depuis Internet ou à partir de vidéos de surveillance pour créer ou étendre des bases de données de reconnaissance faciale.
- Catégorisations biométriques spécifiques pour en déduire des opinions politiques, des croyances religieuses ou une orientation sexuelle. Le champ d’application exact et les limites juridiques sont fixés à l’article 5.
- Reconnaissance des émotions sur le lieu de travail et dans les établissements d’enseignement, à l’exception d’un examen attentif pour des raisons médicales ou de sécurité. La simple détection des chutes ne constitue pas une reconnaissance des émotions.
- Identification biométrique à distance en temps réel dans les espaces publics à des fins policières, à l’exception d’exceptions légales très limitées avec des exigences supplémentaires.
Cette dernière interdiction n’est pas une interdiction générale de l’UE sur toute reconnaissance faciale privée. Toutefois, leur recevabilité doit encore être évaluée notamment au regard des articles 6 et 9 du RGPD et du droit national. La classification comme système à haut risque ne crée pas non plus d’autorisation pour une utilisation interdite.
8. Rôle de l’opérateur, compétence en IA et examen humain
L’entreprise qui utilise un système sous sa propre responsabilité est souvent un opérateur au sens de la loi IA. Toute personne qui développe ou fait développer un système d’IA et le met à disposition sous son propre nom peut être fournisseur. Des changements importants ou une nouvelle finalité peuvent entraîner des obligations supplémentaires du fournisseur conformément à l’article 25. Ces rôles doivent être distingués de ceux de « responsable du traitement » et de « sous-traitant » en vertu de la loi sur la protection des données.
L’article 4 a été précisé en juillet 2026 : Les fournisseurs et les opérateurs doivent prendre des mesures pour soutenir le développement des compétences en IA de leur personnel et des autres personnes travaillant pour eux. Ils ne sont toutefois pas tenus de garantir un niveau de compétence individuel spécifique. La formation doit être adaptée au système, à la tâche et aux groupes de personnes concernés ; un certificat global n’est pas requis.
Les centres de contrôle doivent être capables de voir ce qu’un modèle évalue, quelles sont ses limites et comment les fausses alarmes sont gérées. Une détection porté sur un « objet semblable à une arme » ne constitue ni une découverte certaine d’une arme ni une preuve d’un crime. Pour les systèmes à haut risque, les exigences pertinentes en matière de surveillance humaine, d’instructions d’exploitation et de surveillance doivent être mises en œuvre en fonction de leur point d’application.
Une décision purement automatisée ayant des effets juridiques ou d’importance similaire peut également tomber sous le coup de l’art. 22 RGPD. Cependant, une personne qui ne fait que confirmer formellement les résultats ne remplace pas les tests réels. Les personnes responsables ont donc besoin d’informations compréhensibles, d’autorité et de la possibilité de corriger un résultat ou d’arrêter un processus.
9. Transparence supplémentaire selon l’article 50
Depuis le 2 août 2026, les opérateurs de reconnaissance d’émotions ou de catégorisation biométrique doivent généralement informer les personnes concernées de leur opération. Les exceptions légales doivent être examinées de près en fonction des faits de l’affaire. Les informations doivent être fournies clairement et au plus tard lors de la première rencontre avec le système.
L’article 50 contient également des exigences relatives à l’interaction directe de l’IA et à certains contenus générés artificiellement. Cela n’entraîne pas une exigence d’étiquetage supplémentaire identique pour chaque détection d’objet pur. Indépendamment de cela, les informations sur la protection des données et le contrôle de la légalité restent nécessaires.
10. Qu’est-ce qui s’applique en Suisse ?
En septembre 2026, la Suisse ne dispose pas encore d’une législation complète en matière d’IA sur le modèle de la loi sur l’IA. Le gouvernement fédéral travaille à la mise en œuvre de la Convention sur l’IA du Conseil de l’Europe ; une proposition de consultation est prévue d’ici fin 2026. Il s’agit d’une proposition législative et non d’une loi globale sur l’IA déjà en vigueur.
En revanche, la LPD suisse s’applique déjà de manière technologiquement neutre au traitement des données basé sur l’IA. Si le risque est susceptible d’être élevé, une AIPD doit être examinée conformément à l’art. 22 DSG. Le régime juridique des particuliers n’est pas identique à l’article 6 du RGPD : outre les principes de traitement, les atteintes à la personnalité et leur justification doivent être évaluées conformément aux articles 30 et 31 du RGPD.
La vidéosurveillance privée doit généralement être limitée à votre propre zone. L’enregistrement permanent des rues publiques, des propriétés d’autrui ou des trottoirs n’est généralement pas autorisé ; des exceptions étroitement limitées nécessitent un examen spécifique. Pour les organismes publics cantonaux ou communaux, la loi cantonale respective sur la protection des données s’applique également.
Sur le lieu de travail, l’art. 328b OR et art. 26 ArGV 3 s’appliquent en particulier. Les systèmes visant à surveiller le comportement des employés sont interdits. Toutefois, toute surveillance requise pour d’autres raisons doit être proportionnée et protéger la santé et la liberté de mouvement. Ici aussi, la pixellisation ne remplace pas un motif de justification.
Chancellerie fédérale : réglementation de l’IA · EDÖB : IA et protection des données · LPD suisse · Espace public · Lieu de travail
Coop : Bilan d’une mise en œuvre concrète
Le 2 octobre 2025, le PFPDT a achevé son enquête préliminaire sur les caméras intelligentes des caisses libre-service Coop et a renoncé à toute enquête formelle. Il a jugé que le traitement des données spécifiquement testé était conforme à la DSG. Après les fonctions clarifiées, aucune reconnaissance faciale n’a eu lieu ; le comportement d’achat n’a pas pu être analysé.
Il ne s’agit ni d’un label de qualité général pour les caméras IA, ni d’une approbation pour d’autres systèmes de caisse enregistreuse. L’exemple illustre pourquoi la fonctionnalité réelle, l’utilisation des données et les informations client sont cruciales.
11. Les obligations européennes peuvent couvrir les prestataires suisses
Selon l’art. 2 de la loi sur l’IA, un fournisseur situé en dehors de l’UE peut également être couvert s’il met des systèmes à disposition sur le marché de l’UE ou s’il les y met en service. Le champ d’application peut également affecter les fournisseurs et les opérateurs de pays tiers si les résultats du système sont utilisés dans l’UE.
Le RGPD a ses propres règles concernant le champ d’application géographique : par exemple, dans une succursale de l’UE ou lors de la présentation d’offres ciblées à des personnes dans l’UE ou de l’observation de leur comportement dans ce pays. Le simple fait que les données d’un ressortissant de l’UE existent quelque part ne suffit pas comme explication générale.
Même un serveur en Europe ne répond pas à toutes les questions relatives à la protection des données. Vérifiez l’accès depuis des pays tiers, l’assistance, le traitement des commandes et les conditions requises pour les transferts de données internationaux. À l’inverse, des opérations purement locales ne permettent pas une analyse disproportionnée.
12. Traduire la protection des données en architecture
La confidentialité dès la conception et le traitement sécurisé combinent examen juridique et mise en œuvre technique. Les articles 25 et 32 du RGPD exigent des mesures techniques et organisationnelles appropriées. Par conséquent, considérez ensemble l’objectif, le flux de données et le processus opérationnel.
- Tâche et limites : Documentez l’événement, le domaine d’application, les personnes concernées et les fonctions exclues.
- Zone d’enregistrement : Limiter les angles de caméra et les zones d’analyse ; Évitez les enregistrements audio inutiles et les surfaces superflues.
- Flux de données : Flux, tampon, clip d’événement, métadonnées, masquage et exportation, y compris tous les fournisseurs de services.
- Révision juridique : Clarifier la protection des données, la biométrie éventuelle, la DPIA, la catégorie de la loi sur l’IA et les exigences nationales.
- Stockage et accès : Fixez des délais raisonnables, la suppression automatique, les rôles, la journalisation et les droits pour les vues originales.
- Fonctionnement sûr : Planifiez le chiffrement, la segmentation du réseau, la maintenance à distance sécurisée, les mises à jour et la récupération.
- Qualité et personnes : tests représentatifs, faux positifs, événements manqués, escalades et définition de l’autorité de l’équipe.
- Après avoir démarré : Vérifier les changements de modèles, d’objectifs et de caméras ; Maintenir à jour la documentation, la formation et les mesures de protection.
Une telle planification permet d’éviter un traitement inutile des données et rend la solution utilisable sur le long terme. En même temps, il fournit la base technique pour l’évaluation juridique du projet spécifique.
Protection des données dans l’analyse vidéo par IA : questions fréquemment posées
La reconnaissance de personne est-elle une reconnaissance faciale automatique ?
Non. Déterminer qu’une personne est sur l’image est différent de faire correspondre des caractéristiques biométriques à des fins d’identification. Des données personnelles peuvent apparaître dans les deux processus.
L’analyse en direct sans stockage des données est-elle sans protection ?
Non. Si des personnes identifiables sont enregistrées et évaluées, le traitement des données a déjà eu lieu. Des tampons courts et un traitement local peuvent réduire l’intervention.
L’IA à haut risque s’applique-t-elle sans restrictions depuis août 2026 ?
Non. Suite au changement intervenu en juillet 2026, les règles correspondantes pour les systèmes selon l’annexe III s’appliqueront généralement à partir du 2 décembre 2027 et pour les systèmes de produits couverts selon l’annexe I à partir du 2 août 2028. D’autres obligations et interdictions peuvent déjà s’appliquer.
La pixellisation et un serveur en Europe suffisent-ils ?
Ils peuvent constituer des mesures de protection utiles. La nécessité, la légalité, les flux réels de données, les durées de conservation et les droits d’accès doivent encore être vérifiés.
Sources et connaissances complémentaires
Les liens contenus dans l’article mènent à des textes juridiques officiels et à des informations émanant des institutions responsables. Statut de recherche et éditorial : 10 septembre 2026.
- EUR-Lex : Loi IA, version consolidée du 27 juillet 2026
- Commission européenne : Loi sur l’IA et calendrier actuel
- EUR-Lex : Règlement général sur la protection des données
- EDPB : Lignes directrices 3/2019 sur les appareils vidéo
- Fedlex : loi suisse sur la protection des données
- PDPIC : Vidéosurveillance par des particuliers
- Domaine de connaissances Synaedge : autorités, lois et conseils pratiques
Cet article offre des orientations générales et ne remplace pas un examen juridique de chaque cas individuel. Selon le pays, le secteur, la mission publique et le contexte d’emploi, des réglementations supplémentaires s’appliquent.
