Privacy by Design pour les robots émotionnels

Imaginez un robot de soins qui adapte ses réponses à l’aide d’une caméra et d’un microphone. Avant de rédiger sa notice de confidentialité, demandez ce qu’il mesure réellement, si le traitement est nécessaire et si l’usage prévu est permis. Il s’agit d’un scénario de conception, pas d’une affirmation sur un hôpital ou un produit précis.

L’inférence émotionnelle est une mesure incertaine

Une expression ne donne pas un accès direct à l’état intérieur d’une personne. La revue de Barrett et de ses collègues de 2019 décrit une forte variation entre personnes et contextes et met en garde contre l’inférence d’une émotion précise à partir des seuls mouvements du visage. Son corrigendum rectifie l’attribution et la présentation d’une figure. Une étiquette telle que « confus » ou « heureux » doit donc être validée dans le contexte prévu, plutôt que traitée comme un fait établi sur un patient.

La confidentialité dépasse aussi la question de l’identification. Les travaux de McStay de 2020, associant entretiens, enquête britannique et atelier, examinent les préoccupations liées à une IA émotionnelle sans identification individuelle. Ils ne démontrent ni que tout robot sympathique suscite davantage de confidences, ni qu’une notice particulière résout le problème.

Une voix chaleureuse ou une forme familière peut influencer l’interaction. Testez cette possibilité avec les utilisateurs prévus. Ne supposez pas que toutes les personnes âgées, tous les enfants ou toutes les personnes isolées réagissent de la même façon, et ne déduisez pas leur capacité à consentir d’un score émotionnel.

Classer les données avant de choisir la base juridique

Selon le RGPD, il faut déterminer si les informations sont personnelles et quel traitement est envisagé. Les images et enregistrements ne sont pas automatiquement des données biométriques au sens de l’article 4, point 14. La catégorie biométrique de l’article 9 vise le traitement aux fins d’identifier une personne de manière unique. Des données de santé peuvent relever de l’article 9 indépendamment de cette finalité.

Lorsque le RGPD s’applique, une base juridique de l’article 6 est nécessaire. Un traitement relevant de l’article 9 exige aussi une condition applicable de son paragraphe 2. Le consentement est une voie possible, pas la base universelle de chaque interaction avec un robot. Lorsqu’il est retenu, examinez son caractère libre, spécifique, éclairé et univoque (article 4, point 11) ; pour les données visées à l’article 9, son paragraphe 2, point a), exige un consentement explicite, et le droit de l’Union ou d’un État membre peut prévoir que le consentement ne peut pas lever l’interdiction. Une relation de soins peut rendre le refus difficile en pratique. Une possibilité purement théorique ne suffit pas.

Cartographiez finalités, destinataires, conservation et accès avant de choisir les garanties. L’article 25 impose la protection des données dès la conception et par défaut : des mesures appropriées dès la détermination des moyens du traitement et des paramètres par défaut qui ne traitent que les données nécessaires à chaque finalité. Évaluez la nécessité d’une analyse d’impact selon l’article 35. Le traitement local peut réduire certaines divulgations, sans supprimer la nécessité de justifier la collecte ni de sécuriser l’appareil.

Examiner l’interdiction avant les obligations de haut risque

Le règlement européen consolidé sur l’IA interdit certains usages d’inférence émotionnelle au travail et dans l’enseignement à l’article 5, paragraphe 1, point f), avec une exception pour raisons médicales ou de sécurité. Cette exception ne constitue pas une autorisation générale au regard des autres lois.

Les systèmes de reconnaissance des émotions figurent à l’annexe III, point 1 c), dans la mesure où leur usage est permis. La qualification de haut risque se lit avec l’article 6, ses conditions et ses exceptions limitées. Une intervention humaine ne rend pas automatiquement un usage permis peu risqué.

L’article 50, paragraphe 1, concerne l’information sur l’interaction directe avec une IA, avec une exception lorsque cela est évident et d’autres limites précises. Le paragraphe 3 impose séparément aux déployeurs d’informer les personnes exposées à un système de reconnaissance des émotions, sous réserve de son exception. L’information doit respecter le paragraphe 5, notamment le moment et l’accessibilité. Une notice ne légalise pas une pratique interdite.

L’interdiction concernée de l’article 5 s’applique depuis le 2 février 2025 et l’article 50, en règle générale, depuis le 2 août 2026. Selon le règlement modificatif (UE) 2026/1744, les obligations pertinentes de haut risque de l’annexe III s’appliquent dès le 2 décembre 2027, sous réserve des transitions applicables. Ces dates et obligations sont distinctes.

Le même règlement a ajouté à l’article 5, paragraphe 1, premier alinéa, les points b bis) et b ter), qui s’appliquent à partir du 2 décembre 2026 selon l’article 113, troisième alinéa, point a). Ils visent les systèmes d’IA qui génèrent ou manipulent des images, vidéos, contenus audio ou tout autre matériel similaire réalistes représentant les parties intimes d’une personne identifiable, ou une personne identifiable se livrant à des activités sexuellement explicites, sans son consentement libre, spécifique, éclairé, univoque et explicite, ainsi que les systèmes qui génèrent ou manipulent du matériel ou des spectacles pédopornographiques au sens de l’article 2, points c) et e), de la directive 2011/93/UE, sauf lorsqu’une défense « sans droit » s’applique en vertu du droit national. Selon l’article 5, paragraphe 1 bis, la mise sur le marché ou la mise en service ne sont interdites que si ce résultat est la destination du système, ou une issue raisonnablement prévisible et reproductible sans modification technique importante et en l’absence de garanties adéquates ; le déployeur est visé lorsqu’il utilise le système dans ce but. Pour le point b bis), le paragraphe 1 ter exclut la manipulation qui n’accroît pas la visibilité des parties intimes représentées et ne modifie pas la nature de l’activité sexuellement explicite représentée. Ces interdictions concernent des contenus générés et non l’inférence émotionnelle, mais un robot doté de caméras et de fonctions génératives appelle le même examen. Aucun étiquetage ni aucune notice ne rend licite un usage interdit.

Concevoir des explications et des contrôles utilisables

Les points suivants sont des propositions à tester, pas cinq solutions validées empiriquement :

1. Expliquer le traitement réel. Décrire concrètement les capteurs, la finalité, les destinataires et la conservation. Distinguer une catégorie inférée d’une observation confirmée.
2. Proposer des canaux adaptés. Fournir du texte, de l’audio ou des visuels accessibles selon les personnes et le contexte, et choisir les canaux selon ce contexte : les utiliser tous simultanément n’est pas une obligation générale.
3. Rendre les choix praticables. Permettre, lorsque cela s’applique, de refuser ou retirer un consentement, suspendre un capteur ou demander une aide humaine. Expliquer honnêtement les conséquences.
4. Assurer la cohérence. Le résumé oral et les détails écrits ne doivent pas se contredire. N’inventez pas une égalité juridique universelle entre tous les canaux.
5. Privilégier les préférences explicites. Laisser choisir la langue, la taille du texte ou une autre explication. Inférer la confusion pour adapter la notice peut introduire un traitement supplémentaire incertain et intrusif.

L’article 12 du RGPD exige une information claire et accessible, sans imposer une interface universelle. Testez la compréhension et l’exercice des choix avec des utilisateurs représentatifs. Un ton sympathique ne prouve pas la compréhension ; un clic ne prouve pas un consentement valable.

Évaluer séparément les obligations suisses

La LPD suisse a ses propres règles, notamment la protection dès la conception et par défaut à l’article 7 et l’analyse d’impact en cas de risque élevé à l’article 22. Selon l’article 5, lettre c, les données sur la santé et les données biométriques identifiant une personne de manière univoque sont des données personnelles sensibles, et l’article 22 cite leur traitement à grande échelle comme un cas de risque élevé. Contrairement au RGPD, la LPD n’exige pas de base juridique pour chaque traitement effectué par une personne privée. Un motif justificatif, tel que le consentement, un intérêt prépondérant ou la loi, est nécessaire lorsque le traitement porte atteinte à la personnalité (articles 30 et 31), et lorsque le consentement est requis, il doit être exprès pour les données sensibles (article 6, alinéa 7). Il faut aussi examiner la confidentialité des soins, les règles sectorielles et, si pertinent, le droit cantonal.

État de la réglementation suisse (vérifié le 26 septembre 2026). La Suisse ne dispose pas encore de législation propre à l’IA ; le PFPDT rappelle que la LPD actuelle est directement applicable aux traitements de données basés sur l’IA. Le 12 février 2025, le Conseil fédéral a décidé de ratifier la Convention du Conseil de l’Europe sur l’IA, dont le champ d’application concerne en premier lieu des acteurs étatiques. Le DFJP doit élaborer d’ici fin 2026 un avant-projet destiné à la consultation, notamment sur la transparence, la protection des données, la non-discrimination et la surveillance. La Suisse a signé la Convention le 27 mars 2025. Lors de la vérification, l’Office fédéral de la justice ne mentionnait pas encore d’avant-projet publié.

Pour une organisation suisse, l’application du règlement européen sur l’IA exige une analyse des rattachements réels de l’article 2, dont certains résultats utilisés dans l’Union. Dire simplement qu’un robot « affecte des personnes dans l’UE » ne suffit pas.