Même caméra, quatre régimes — Cas pratiques

Le scénario

Une startup développe un système de prévention des pertes pour les commerces : des caméras dans chaque magasin, un modèle d'IA qui analyse les images, et des alertes envoyées au personnel quand quelque chose semble anormal.

Les fondateurs voient un seul produit. Avant de signer leur première chaîne de magasins, ils posent une question simple : est-ce légal dans l'UE ?

La réponse honnête est une autre question : que regarde exactement la caméra ?

Rôles et classification

La startup est le fournisseur art. 3(3) : elle développe le système et le met sur le marché sous son nom.
Chaque commerçant est un déployeur art. 3(4) : il utilise le système sous son autorité dans ses magasins. Si un commerçant change la finalité du système, par exemple en activant une reconnaissance faciale non prévue par la startup, il peut devenir lui-même fournisseur art. 25.
Côté données, le commerçant est normalement responsable du traitement et la startup sous-traitant RGPD art. 24, 28, sauf si la startup réutilise les images pour ses propres fins, par exemple pour entraîner son modèle.
La classification dépend de la finalité prévue de chaque fonction, pas du matériel.

Les variantes

Le même produit, décrit de quatre façons. La réponse change selon ce que le système fait réellement.

Variante	Ce que fait le système	AI Act	RGPD	Depuis
1	Détecte des gestes, comme un article glissé dans un sac, sans identifier personne	Risque minimal. Hors annexe III.	Vidéosurveillance : base légale, information, durée de conservation ; une AIPD est probable, s'agissant d'une surveillance systématique d'un lieu accessible au public art. 35(3)(c)	Maintenant
2	Compare les visages à une liste de voleurs connus	Haut risque, identification biométrique à distance annexe III, 1(a). Pas interdit : l'interdiction de l'art. 5 sur l'identification en temps réel vise les autorités répressives.	Les données biométriques servant à identifier sont une catégorie particulière art. 9 ; le commerce dispose rarement d'une exception valable. L'AEPD espagnole a infligé 2,52 millions d'euros à une chaîne de supermarchés en 2021 pour cela.	AI Act : 2 déc. 2027 · RGPD : maintenant
3	Note les clients selon leur probabilité de voler, d'après leur profil ou leur apparence	Proche d'une pratique interdite : évaluation du risque d'infraction fondée uniquement sur le profilage art. 5(1)(d). La limite pour les acteurs privés demande une analyse juridique.	Profilage ; droit d'opposition et garanties sur les décisions automatisées art. 21, 22	2 févr. 2025
4	Analyse les émotions du personnel en caisse	Interdit. Reconnaissance des émotions sur le lieu de travail art. 5(1)(f)	Règles sur la surveillance des salariés en plus	2 févr. 2025

Analyser les émotions des clients plutôt que du personnel n'est pas interdit, mais c'est à haut risque annexe III, 1(c) et les personnes exposées doivent être informées art. 50(3).

Ce qu'a fait l'entreprise

La startup a choisi la première variante : gestes uniquement, ni visages ni scores. Puis elle a installé autant de caméras que possible.

Chaque magasin est devenu un client, un jeu de données et un test de l'approche, et le chiffre d'affaires a commencé tout de suite. Si les règles s'assouplissent, comme l'Omnibus numérique l'a montré, le matériel est déjà au mur. Sinon, les mêmes caméras peuvent trouver d'autres usages : files d'attente, stock en rayon, fréquentation.

Une stratégie raisonnable, avec une conséquence : dès ce jour, la classe de risque de chaque magasin dépend d'une mise à jour logicielle. Activer la reconnaissance faciale, ou agréger les gestes en un score de suspicion par personne, fait passer le produit à une autre ligne du tableau sans toucher au matériel.

Leçons pour les équipes

Classer chaque fonction, pas le produit. Une seule option activée peut faire passer un système du risque minimal au haut risque.
Réévaluer à chaque version. Les équipes des dispositifs médicaux connaissent cela comme la maîtrise des modifications selon l'IEC 62304 : la question se pose avant chaque livraison, pas une seule fois au lancement.
Écrire ce que le système ne fait pas, et pourquoi. Un périmètre documenté permet au fournisseur de montrer qu'il est dans la variante 1.
Fixer les limites dans le contrat avec les commerçants. Si un déployeur change la finalité, les obligations suivent le changement.
Faire le travail RGPD maintenant. Les dates de l'AI Act bougent ; les règles de protection des données s'appliquent déjà.

Questions ouvertes

Où s'arrête exactement l'art. 5(1)(d) pour un commerçant privé qui signale des personnes comme voleurs probables ?
À partir de quand une suite d'alertes sur la même personne devient-elle du profilage ?
Pour une startup suisse qui ne vend qu'en Suisse, l'AI Act ne s'applique pas, mais les données biométriques sont des données sensibles au sens de la nouvelle loi fédérale sur la protection des données. Qu'est-ce qui change à la signature du premier client européen ?

Pour aller plus loin

Questions

Un cas proche du vôtre ?

Si votre produit se situe près de l'une de ces lignes, la première question est ce qu'il fait exactement. Écrivez-moi si vous voulez en parler.

Entamer la conversation

Les cas pratiques sont un support d'étude, pas un conseil juridique. Les cas sont composites ou anonymisés ; toute ressemblance avec une entreprise précise n'est pas intentionnelle.