Comparer le RGPD, le Privacy Act australien et le PDPA de Singapour sous l'angle de la gouvernance de l'IA révèle trois approches réglementaires fondamentalement différentes d'un même défi : comment protéger les personnes lorsque des systèmes d'IA traitent leurs données personnelles et prennent des décisions qui les affectent. Le RGPD (en vigueur depuis mai 2018) prévoit des droits explicites en matière de prise de décision automatisée. Le Privacy Act australien (avec des réformes sur la décision automatisée applicables à compter de décembre 2026) ajoute des obligations de transparence. Le PDPA de Singapour adopte une approche fondée sur le consentement, complétée par des exigences sectorielles de la MAS (Monetary Authority of Singapore, l'autorité monétaire de Singapour). Pour les organisations opérant dans ces juridictions, ce qui inclut la plupart des entreprises multinationales, des sociétés de services financiers et des entreprises technologiques, le défi pratique consiste à bâtir un cadre de gouvernance qui satisfait simultanément aux trois régimes.

Droits en matière de prise de décision automatisée

L'article 22 du RGPD confère aux personnes le droit de ne pas faire l'objet de décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou des effets significatifs similaires. Les personnes peuvent demander une intervention humaine, exprimer leur point de vue et contester la décision. Ce droit s'applique automatiquement, les organisations devant informer les personnes concernées de manière proactive. Le règlement européen sur l'IA (AI Act) crée des obligations supplémentaires pour les systèmes d'IA à haut risque, notamment des évaluations de conformité et des exigences de contrôle humain, qui s'appliquent parallèlement au RGPD.

Le Privacy Act australien introduit des obligations de transparence en matière de décision automatisée applicables à compter du 10 décembre 2026. Les organisations qui prennent des décisions substantiellement fondées sur un traitement automatisé doivent informer les personnes qu'un traitement automatisé est intervenu. Ce dispositif est plus étroit que le RGPD (transparence plutôt que droit à un réexamen humain), mais plus large à certains égards : il s'applique aux décisions « substantiellement fondées » sur un traitement automatisé, et non aux seules décisions « exclusivement » automatisées comme dans l'article 22 du RGPD.

Le PDPA de Singapour ne comporte pas de droit spécifique en matière de prise de décision automatisée équivalent à l'article 22 du RGPD. Le Model AI Governance Framework de la PDPC recommande un contrôle humain pour les décisions d'IA à fort impact, mais il s'agit de lignes directrices et non de droit contraignant. Toutefois, la MAS impose des exigences spécifiques de gouvernance de l'IA aux institutions financières via les principes FEAT et les futures AI Risk Management Guidelines (lignes directrices sur la gestion des risques liés à l'IA), créant des obligations sectorielles qui vont au-delà du cadre général du PDPA.

Consentement et base juridique des traitements liés à l'IA

Le RGPD prévoit six bases juridiques pour le traitement des données personnelles (consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public, intérêts légitimes). Pour les systèmes d'IA traitant des catégories particulières de données (données biométriques, de santé, origine raciale ou ethnique), un consentement explicite ou une autre base prévue à l'article 9 est requis. Le Privacy Act australien s'appuie sur les Australian Privacy Principles (APP), qui exigent le consentement pour la collecte d'informations sensibles et imposent en règle générale la notification des finalités de la collecte. Le PDPA de Singapour repose principalement sur le consentement : les organisations doivent obtenir le consentement avant de collecter, d'utiliser ou de divulguer des données personnelles, sous réserve d'exceptions limitées.

Transferts transfrontaliers de données

C'est sur ce point que les trois cadres divergent le plus en matière de gouvernance de l'IA. Le RGPD exige un mécanisme de transfert spécifique pour les données personnelles quittant l'EEE : décisions d'adéquation, clauses contractuelles types (CCT), règles d'entreprise contraignantes ou codes de conduite approuvés. Le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) fournit un mécanisme pour les transferts vers les États-Unis, mais reste politiquement contesté. Le Privacy Act australien exige des « mesures raisonnables » pour garantir que les destinataires à l'étranger traitent les informations personnelles conformément aux APP, une norme plus souple mais moins prescriptive. Le PDPA de Singapour impose aux organisations de s'assurer que les destinataires à l'étranger offrent un niveau de protection comparable, avec des mécanismes de transfert incluant des obligations contractuelles et des règles d'entreprise contraignantes.

Sanctions et contrôle d'application

RGPD : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, appliqué par les autorités nationales de protection des données. Privacy Act australien : jusqu'à 50 millions de dollars australiens, 30 % du chiffre d'affaires ajusté ou trois fois l'avantage obtenu, appliqué par l'OAIC (Office of the Australian Information Commissioner). PDPA de Singapour : jusqu'à 1 million de dollars singapouriens ou 10 % du chiffre d'affaires annuel (le montant le plus élevé étant retenu), appliqué par la PDPC. Le RGPD affiche l'historique d'application le plus actif, avec plus de 4 milliards d'euros d'amendes cumulées. L'OAIC intensifie son activité répressive. La PDPC a prononcé des amendes significatives, dont la sanction liée à la violation de données de SingHealth.

Approche pratique de gouvernance pour les organisations multi-juridictions

Construisez votre dispositif sur la norme commune la plus élevée des trois juridictions. En pratique, cela signifie mettre en œuvre une transparence de la prise de décision automatisée au niveau du RGPD comme socle (ce qui satisfait aux trois régimes), utiliser les CCT du RGPD comme fondement des transferts transfrontaliers avec des dispositions supplémentaires pour les exigences australiennes et singapouriennes, réaliser des analyses d'impact relatives à la protection des données (AIPD) pour tous les systèmes d'IA traitant des données personnelles (exigées par le RGPD, bonne pratique au regard du droit australien et singapourien), et tenir une documentation satisfaisant aux exigences de divulgation les plus strictes des trois cadres.

Sources principales : Commission européenne, protection des données | OAIC, orientations sur la protection de la vie privée | PDPC, Model AI Governance Framework

Lectures associées