Comment l'AI Act traite-t-il la biométrie ?
Le règlement adopte une approche graduée : certaines pratiques biométriques sont jugées inacceptables et interdites, d'autres sont autorisées mais classées à haut risque et donc fortement encadrées. La frontière entre les deux est décisive — et parfois ténue. Une même technologie peut basculer d'un régime à l'autre selon sa finalité et son contexte.
Quelles pratiques biométriques sont interdites ?
L'article 5 prohibe quatre usages biométriques :
- le moissonnage non ciblé d'images faciales issues d'Internet ou de la vidéosurveillance pour créer ou étendre des bases de reconnaissance faciale (art. 5 § 1, e) ;
- la catégorisation biométrique classant les personnes pour en déduire des attributs sensibles : origine, opinions, religion, orientation sexuelle… (art. 5 § 1, g) ;
- la [reconnaissance des émotions](/ressources/ai-act-reconnaissance-emotions-travail-education) sur le lieu de travail et dans les établissements d'enseignement, sauf raisons médicales ou de sécurité (art. 5 § 1, f) ;
- l'identification biométrique à distance en temps réel dans les espaces accessibles au public à des fins répressives, sauf exceptions strictes et sous autorisation (art. 5 § 1, h).
Quelles sont les exceptions à l'identification en temps réel ?
L'identification biométrique à distance « en temps réel » dans l'espace public à des fins répressives n'est autorisée que dans des cas limitativement énumérés : recherche ciblée de victimes (enlèvement, traite, exploitation), prévention d'une menace grave et imminente (attentat), ou localisation d'une personne soupçonnée d'une infraction grave. Ces usages sont soumis à une autorisation préalable d'une autorité judiciaire ou administrative et à des garanties strictes. Ils sont réservés aux autorités répressives, pas aux acteurs privés.
| Usage biométrique | Régime | Référence |
|---|---|---|
| Moissonnage d'images faciales | Interdit | Art. 5 § 1, e |
| Catégorisation d'attributs sensibles | Interdit | Art. 5 § 1, g |
| Émotions au travail / à l'école | Interdit (sauf médical/sécurité) | Art. 5 § 1, f |
| Identification temps réel espace public (répressif) | Interdit sauf exceptions | Art. 5 § 1, h |
| Identification biométrique à distance (autres cas) | Haut risque | Annexe III, pt 1 |
| Vérification / authentification (déverrouillage) | Généralement hors haut risque | Considérants |
Qu'est-ce qui relève du haut risque ?
En dehors des cas interdits, l'annexe III (point 1) classe à haut risque : les systèmes d'identification biométrique à distance, les systèmes de catégorisation biométrique selon des attributs sensibles, et les systèmes de reconnaissance des émotions. Ces usages sont soumis aux obligations des articles 8 à 27, avec un renforcement du contrôle humain (principe des « quatre yeux » pour l'identification à distance).
Comment articuler avec le RGPD ?
Les données biométriques permettant d'identifier une personne sont des données sensibles au sens du RGPD (article 9), dont le traitement est en principe interdit sauf exceptions. Tout usage biométrique doit donc satisfaire à la fois le RGPD (base légale, analyse d'impact, minimisation) et l'AI Act. Les deux régimes se cumulent et se renforcent.
Questions fréquentes
La reconnaissance faciale est-elle interdite par l'AI Act ?
Pas totalement. Certains usages sont interdits (moissonnage d'images, identification temps réel à des fins répressives sauf exceptions), d'autres sont autorisés mais à haut risque (identification à distance dans d'autres contextes). La vérification biométrique simple (déverrouillage) échappe en principe au régime le plus strict.
Une entreprise peut-elle utiliser la reconnaissance des émotions ?
Pas sur le lieu de travail ni dans l'enseignement : c'est interdit par l'article 5, sauf raisons médicales ou de sécurité. Dans d'autres contextes, elle peut être à haut risque et donc fortement encadrée. La prudence s'impose sur ce type de technologie.
L'identification biométrique en temps réel est-elle accessible aux entreprises ?
Les exceptions à l'interdiction visent exclusivement les autorités répressives, sous autorisation. Une entreprise privée ne peut pas déployer d'identification biométrique à distance en temps réel dans l'espace public à des fins répressives.
Le contrôle d'accès biométrique de mes locaux est-il concerné ?
S'il repose sur une vérification « un à un » (l'employé s'authentifie), il relève surtout du RGPD. S'il identifie des personnes « un à plusieurs » dans une base, il peut basculer en haut risque. Dans tous les cas, le RGPD s'applique aux données biométriques.