L'approche de la Nouvelle-Zélande : les lignes directrices plutôt que la législation

La Nouvelle-Zélande ne dispose pas d'une loi autonome sur l'IA. Contrairement à l'Union européenne, qui a adopté une réglementation complète fondée sur le risque, la Nouvelle-Zélande a choisi une approche axée sur l'adoption et fondée sur des principes, qui s'appuie sur la législation existante, principalement le Privacy Act 2020, complétée par des cadres volontaires et des lignes directrices gouvernementales. Il s'agit d'un choix politique délibéré, et non d'une lacune à combler : la position du gouvernement, exposée dans la Stratégie nationale sur l'IA publiée par le Ministry of Business, Innovation and Employment (MBIE) en juillet 2025, consiste à favoriser l'adoption de l'IA responsable plutôt qu'à imposer des exigences prescriptives susceptibles de freiner l'innovation.

Pour les organisations opérant en Nouvelle-Zélande, cela signifie que les obligations de conformité en matière d'IA découlent des cadres juridiques existants qui s'appliquent déjà à votre secteur et à vos activités, et non d'une nouvelle loi spécifique à l'IA. Les principaux cadres sont les suivants : le Privacy Act 2020 (pour toute IA traitant des informations personnelles) ; le Fair Trading Act 1986 (pour le contenu ou les allégations générés par l'IA susceptibles d'induire les consommateurs en erreur) ; le Companies Act 1993 et les obligations des administrateurs (pour les conseils d'administration chargés de la gouvernance du risque lié à l'IA) ; ainsi que des cadres sectoriels, notamment les exigences de gestion des risques de la Reserve Bank pour les services financiers et le Health Information Privacy Code pour l'IA dans le secteur de la santé. Le Biometric Processing Privacy Code 2025 du Privacy Commissioner (en vigueur depuis le 3 novembre 2025, avec une échéance de mise en conformité au 3 août 2026 pour les systèmes existants) constitue un autre instrument contraignant directement pertinent pour la reconnaissance faciale pilotée par l'IA et les systèmes biométriques similaires.

Le Privacy Act 2020, la principale obligation juridique applicable à l'IA

Le Privacy Act 2020 néo-zélandais est, en pratique, le cadre juridique le plus directement pertinent pour la gouvernance de l'IA. Les Information Privacy Principles (IPP) de la loi, treize principes d'origine auxquels s'ajoute le nouvel IPP 3A introduit en 2026, s'appliquent à tout « organisme » (agency), une notion qui recouvre pratiquement toutes les entreprises et tous les organismes publics, qui collecte, utilise ou divulgue des informations personnelles. Les systèmes d'IA qui s'entraînent sur des informations personnelles, qui traitent des informations personnelles lors de l'inférence, ou qui prennent des décisions concernant des personnes à partir d'informations personnelles, sont soumis aux IPP.

Les principes les plus pertinents pour l'IA sont les suivants : l'IPP 1 (ne collecter des informations personnelles que dans un but licite) ; l'IPP 3 (collecter les informations directement auprès de la personne concernée, sauf exception applicable) ; l'IPP 8 (vérifier l'exactitude et l'actualité des informations avant de les utiliser) ; l'IPP 10 (n'utiliser les informations personnelles qu'aux fins pour lesquelles elles ont été collectées) ; et l'IPP 11 (ne pas divulguer d'informations personnelles à des destinataires situés à l'étranger sans protections adéquates). Pour les fournisseurs d'IA traitant des informations personnelles en dehors de la Nouvelle-Zélande, l'IPP 12 (divulgation avant l'envoi à l'étranger) et l'adéquation des protections à l'étranger revêtent une importance particulière.

Un changement important est entré en vigueur le 1er mai 2026 en vertu du Privacy Amendment Act 2025 (sanction royale le 24 septembre 2025) : le nouvel IPP 3A impose aux organismes de notifier les personnes concernées lorsque des informations personnelles sont collectées indirectement, c'est-à-dire auprès de sources autres que la personne elle-même. Pour les systèmes d'IA qui agrègent des informations personnelles provenant de sources multiples (réseaux sociaux, courtiers en données tiers, analyse comportementale), cette obligation de notification est désormais en vigueur et impose de revoir les pratiques de collecte de données.

L'Office of the Privacy Commissioner (OPC) a le pouvoir d'enquêter sur les plaintes relatives à la protection de la vie privée et de formuler des recommandations. Les violations graves du Privacy Act peuvent conduire le Privacy Commissioner à saisir le Human Rights Review Tribunal, qui peut accorder des dommages et intérêts. L'OPC a publié des lignes directrices spécifiques sur l'IA et les IPP, confirmant que les systèmes d'IA doivent être conçus selon les principes de protection de la vie privée dès la conception (privacy by design) et que les décisions automatisées affectant des personnes doivent être transparentes et contestables.

L'Algorithm Charter for Aotearoa New Zealand

L'Algorithm Charter for Aotearoa New Zealand est un engagement volontaire que les organismes publics peuvent signer pour s'engager à développer et à utiliser des algorithmes (y compris l'IA) de manière équitable, éthique et transparente. Les signataires s'engagent à respecter six principes : maintenir une supervision humaine des décisions algorithmiques ; intégrer le Traité de Waitangi et les perspectives māories dans la conception des algorithmes ; garantir la transparence sur le fonctionnement des algorithmes ; évaluer les incidences sur les personnes et les communautés ; publier des informations sur les algorithmes importants ; et mettre en place des processus clairs permettant aux personnes de faire part de leurs préoccupations concernant les décisions algorithmiques qui les concernent.

L'Algorithm Charter n'a pas de force contraignante, et les organisations du secteur privé ne peuvent pas la signer en l'état. Elle n'en représente pas moins les attentes du gouvernement en matière d'utilisation responsable des algorithmes et fournit un cadre de gouvernance pratique que les organisations du secteur privé peuvent adopter par référence. Pour toute organisation traitant des données concernant des communautés māories ou utilisant l'IA dans des contextes touchant des personnes māories, les considérations relatives au Traité de Waitangi intégrées dans la Charte sont particulièrement pertinentes : les principes de souveraineté māorie sur les données (Māori data sovereignty) mettent l'accent sur les droits collectifs sur les données et exigent que les systèmes d'IA utilisant des données provenant des communautés māories, ou les concernant, respectent la gouvernance exercée par les iwi et les hapū sur ces données.

La Stratégie nationale sur l'IA 2025 : ce qu'elle signifie pour les entreprises

Le MBIE a publié la première Stratégie sur l'IA nationale de la Nouvelle-Zélande en juillet 2025, accompagnée de lignes directrices sur l'IA responsable à l'intention des entreprises. La stratégie est explicitement axée sur l'adoption : elle vise à réduire les freins à l'investissement dans l'IA, à clarifier la manière dont les lois existantes s'appliquent à l'IA, et à coordonner le renforcement des capacités gouvernementales. Elle n'introduit aucune nouvelle obligation contraignante.

Les lignes directrices sur l'IA responsable à l'intention des entreprises, incluses dans la stratégie, recommandent aux organisations de : tenir un inventaire de l'IA ; procéder à des examens de confidentialité et d'éthique avant tout déploiement de l'IA ; tester les biais et la robustesse avant la mise en service ; maintenir une supervision humaine des décisions importantes assistées par l'IA ; mettre en place une surveillance continue ; et documenter les processus de gouvernance. Il s'agit de recommandations volontaires, mais elles correspondent à ce qui est légalement exigé par le Privacy Act et à ce que les régulateurs sectoriels attendent de plus en plus. Pour les secteurs réglementés, la stratégie confirme explicitement que les obligations propres à chaque secteur, émanant notamment de la Reserve Bank, de la Financial Markets Authority et du Health and Disability Commissioner, priment et s'appliquent pleinement.

Le gouvernement a également annoncé en juillet 2025 la création du New Zealand Institute for Advanced Technology, une initiative de 231 millions de dollars (2025-2029) incubée au sein du MBIE pour accélérer l'adoption de l'IA dans les secteurs commercialement importants. Bien que centrée sur l'innovation, cette initiative traduit un investissement public considérable dans l'infrastructure de l'IA et indique l'orientation de l'évolution réglementaire : favoriser l'adoption avec des garanties appropriées plutôt qu'une réglementation ex ante restrictive.

Ce que les organisations néo-zélandaises devraient faire dès maintenant

Pour toute organisation néo-zélandaise utilisant une IA qui traite des informations personnelles, les exigences de conformité immédiates sont les suivantes : examiner les systèmes d'IA au regard des IPP du Privacy Act 2020 ; mettre en œuvre l'exigence de notification de collecte indirecte de l'IPP 3A pour tout système d'IA qui agrège des données provenant de sources autres que les personnes elles-mêmes (en vigueur depuis le 1er mai 2026) ; examiner les contrats conclus avec les fournisseurs d'IA afin de garantir le respect des obligations de divulgation à l'étranger prévues par les IPP 11 et 12 ; et documenter la manière dont les décisions importantes assistées par l'IA peuvent être expliquées et contestées par les personnes concernées.

Pour les organisations opérant dans des secteurs réglementés, services financiers, santé, infrastructures critiques, les obligations propres à chaque secteur émanant de la Financial Markets Authority, de la Reserve Bank et du Health and Disability Commissioner s'appliquent en plus du Privacy Act. Pour les organismes publics et leurs prestataires, l'Algorithm Charter fournit un cadre de gouvernance pratique et indique le niveau attendu par les régulateurs.

L'évolution à court terme la plus probable à surveiller : les lignes directrices du Privacy Commissioner sur l'IA et les IPP, ainsi que toute évolution vers un cadre plus prescriptif si les approches volontaires s'avèrent insuffisantes. La décision d'adéquation dont bénéficie la Nouvelle-Zélande de la part de la Commission européenne (qui permet les transferts de données de l'UE vers la Nouvelle-Zélande sans garanties supplémentaires) crée une incitation permanente à maintenir des normes de protection de la vie privée largement alignées sur le RGPD, y compris les protections relatives à la prise de décision automatisée que l'UE maintient au titre de l'article 22 du RGPD.

Pour aller plus loin : OECD AI Policy Observatory

À lire également

Pour aller plus loin : OECD AI Policy Observatory