Conformité IA et RGPD : obligations légales

Vous utilisez un outil IA pour évaluer les candidats, estimer les loyers ou gérer votre portefeuille immobilier. Mais saviez-vous que depuis 2024, cette pratique vous expose à des obligations légales strictes en France ? L'AI Act et le RGPD imposent désormais des règles claires pour les systèmes IA à risque. Ignorer ces exigences peut vous coûter jusqu'à 10 millions d'euros en amendes.

Cet article vous explique les obligations légales concrètes pour votre activité de gestion locative, comment auditer vos systèmes IA et mettre en place la conformité avant 2027.

AI Act 2024 : obligations légales pour systèmes IA

L'AI Act européen, entré en application en phases depuis août 2024, catégorise les systèmes IA en quatre niveaux de risque. En immobilier, vous êtes concerné si vous utilisez une IA pour :

• Évaluer la solvabilité ou la fiabilité d'un candidat locataire (scoring)
• Fixer automatiquement un prix de loyer
• Analyser des données personnelles pour la sélection

Ces cas relèvent du risque élevé (article 6, annexe III de l'AI Act). Cela signifie audit de conformité préalable, documentation complète, traçabilité des décisions et obligation d'informer les personnes affectées.

Les autorités nationales (ANSSI en France, bientôt renforcée par l'AI Office) auront le pouvoir de suspendre ou interdire un système jugé non conforme. Une agence qui utilise un scoring immobilier sans documentation d'audit encourt une interdiction de facto.

Source légale : Règlement (UE) 2024/1689, entré en vigueur le 2 août 2024.

RGPD et IA : consentement, transparence, droit à oubli

Le RGPD, en vigueur depuis 2018, s'applique complètement aux traitements IA. Les trois obligations majeures :

Consentement explicite

Vous devez obtenir le consentement clair d'une personne avant d'utiliser ses données (CV, avis de situation, relevés bancaires) dans une IA. Un formulaire d'inscription opaque avec une case pré-cochée n'est pas conforme. Le consentement doit être :

• Spécifique (pour quelle utilité IA ?)
• Éclairé (ce qui se passe avec ses données)
• Revocable (elle peut le retirer à tout moment)

Transparence (article 13-14 RGPD)

Avant tout traitement, vous devez informer le candidat ou le locataire :

• Qu'une IA est utilisée dans la décision
• Comment elle fonctionne (en termes compréhensibles)
• Quel est son impact sur lui

Dire « nous utilisons une technologie moderne » n'est pas suffisant. Dire « notre système évalue automatiquement votre candidature selon vos revenus, antécédents paiement et stabilité professionnelle » l'est.

Droit à oubli (article 17 RGPD)

Une personne peut exiger l'effacement de ses données à tout moment, sauf si vous avez une obligation légale de les conserver (par exemple, les contrats de bail pendant 6 ans). Une IA doit pouvoir fonctionner sans ses données après cette demande.

Risque de non-conformité : amende jusqu'à 4 % du chiffre d'affaires annuel (20 millions d'euros maximum) prononcée par la CNIL.

Registre des traitements : documentation obligatoire

Chaque système IA qui utilise des données personnelles doit être documenté dans un registre des traitements. C'est une obligation RGPD depuis 2018, mais elle devient critique avec l'AI Act.

Ce registre doit contenir :

1. Description du traitement : nom, objectif, données utilisées
2. Acteurs : responsable du traitement (l'agence), sous-traitants (éditeur du logiciel), DPO si présent
3. Bases légales : consentement, intérêt légitime, obligation contractuelle
4. Durée de conservation : combien de temps gardez-vous les CV, dossiers ?
5. Évaluation d'impact (DPIA) : analyse des risques pour la vie privée
6. Mesures de sécurité : chiffrement, authentification, sauvegarde

Si vous êtes sous-traitant (vous gérez les données pour un propriétaire ou une agence), vous devez aussi un contrat de sous-traitance signé avec le responsable du traitement. Ce contrat doit dire exactement ce que vous faites avec les données.

Conseil pratique : la CNIL a publié un modèle de registre gratuit (https://www.cnil.fr/guides). Remplissez-le dès aujourd'hui si vous ne l'avez pas encore fait. Un audit CNIL demande systématiquement ce registre.

DPO (délégué données) : quand l'exercer pour agences

Un Délégué à la Protection des Données (DPO) est requis pour :

• Les organismes publics (mairies, offices HLM)
• Les organisations dont l'activité principale exige un suivi régulier et systématique des personnes à grande échelle
• Les organisations qui traitent à grande échelle des catégories particulières de données

Pour une agence immobilière de taille moyenne (20–100 salariés), le DPO n'est pas toujours obligatoire. Mais l'AI Act encourage fortement sa désignation dès qu'une IA à risque élevé est déployée.

Si vous n'avez pas de DPO :

• Désignez une personne en interne (un agent immobilier, un gestionnaire administratif)
• Elle doit recevoir une formation RGPD + AI Act
• Elle pilotera l'audit de conformité IA

Si vous avez un DPO, remettez-lui la gouvernance IA avant tout déploiement d'un nouveau système.

Point de contact : si un candidat ou la CNIL vous contacte sur une question de données personnelles, le DPO est votre premier interlocuteur.

Audit de conformité IA : cartographie et risques

Avant janvier 2027, tout système IA à risque élevé doit avoir un audit de conformité. Cet audit se décompose en trois phases :

Phase 1 : Cartographie

Listez tous les systèmes IA que vous utilisez ou envisagez :

• Quel est le nom du logiciel ou du service ?
• Quel est son cas d'usage (scoring, pricing, matching) ?
• Quelles données utilise-t-il ? (revenus, age, coordonnées, relevés bancaires, etc.)
• Qui l'a développé ? (votre agence, un éditeur, une startup)

Phase 2 : Analyse de risques

Pour chaque système, posez-vous :

• Risque légal : est-ce un système IA au sens de l'AI Act ? Risque haut ?
• Risque discriminatoire : peut-il refuser arbitrairement des candidats ? (races, origines, sexe, handicap, opinions, syndicat, etc.)
• Risque de sécurité : les données sont-elles protégées contre le piratage ?
• Risque de conformité : existe-t-il une documentation, une traçabilité des décisions ?

Phase 3 : Plan d'action

Pour chaque risque identifié :

• Mesures à court terme (< 3 mois) : documentation, consentement, registre
• Mesures à moyen terme (3–12 mois) : audit technique, tests de biais
• Mesures à long terme : changement de système ou formation

Ressource gratuite : la CNIL a publié une grille d'auto-évaluation IA (https://www.cnil.fr/connaître-vos-obligations/conformité). L'ANSSI propose aussi des guides sectoriels.

Scoring et discrimination : tests de biais réguliers

L'AI Act impose des tests réguliers de biais pour les systèmes de scoring. En immobilier, un biais courant est un système qui refuse systématiquement les candidats d'une certaine origine, d'un certain âge ou d'un certain sexe, même involontairement.

Comment tester votre IA :

1. Collectez des cas tests : créez 100–200 profils fictifs (revenus identiques, seul le sexe ou l'origin change)
2. Exécutez le scoring : faites tourner votre IA sur ces profils
3. Comparez les résultats : le taux d'acceptation est-il différent selon le profil ?
4. Documentez : conservez les résultats des tests et les conclusions

Si des biais sont détectés :

• Alertez l'éditeur du logiciel
• Modifiez les paramètres du scoring
• Supervisez les décisions manuellement (ne faites pas confiance à l'IA)

Exemple concret : une IA d'évaluation locative qui refuse systématiquement les demandeurs d'allocations logement est discriminatoire, même si ce n'était pas voulu. C'est illégal sous le RGPD (article 21) et l'AI Act.

Ressource : la CNIL a publié un guide sur la discrimination algorithmique (https://www.cnil.fr/connaître-vos-obligations/intelligence-artificielle).

Sanctions : CNIL et obligations 2026-2027

Les amendes, c'est du concret. Voici ce que vous risquez :

Calendrier serré : la CNIL renforce ses inspections depuis 2025. Les audits « IA + immobilier » ont commencé. Les premières amendes pour non-conformité AI Act sont attendues fin 2026 ou 2027. Attendre n'est pas une stratégie.

Questions fréquentes sur la conformité IA et RGPD

Toute IA en immobilier doit-elle être conforme AI Act ?

Oui, si elle relève du risque haut (article 6, annexe III). C'est le cas si elle :

• Évalue la solvabilité ou la fiabilité d'un candidat
• Détermine le prix d'un loyer de manière automatisée
• Filtre les candidatures selon des critères sensibles

Une simple base de données ou un moteur de recherche sur les annonces n'est pas soumis à ces exigences. Consultez la classification officielle : https://digital-strategy.ec.europa.eu/en/library/proposal-regulation-artificial-intelligence.

Quel est le risque légal de non-conformité ?

Plusieurs niveaux :

• CNIL : amende administrative de 4 % du chiffre d'affaires (article 83 RGPD) ou jusqu'à 20 millions d'euros
• AI Act : amende jusqu'à 10 millions d'euros ou 3 % du chiffre d'affaires (article 84)
• Interdiction du système : votre IA peut être suspendue ou interdite
• Responsabilité civile : candidats discriminés peuvent demander des dommages

Concrètement, une agence de 2 millions d'euros de CA qui ignore l'AI Act s'expose à une amende de 80 000 euros minimum.

Par où commencer si je n'ai rien fait ?

1. Dès maintenant : listez tous vos systèmes IA (logiciels, outils, services)
2. Mois 1 : créez votre registre des traitements (modèle CNIL)
3. Mois 2 : demandez les certifications et audits à vos éditeurs de logiciels
4. Mois 3 : identifiez un DPO interne ou externe
5. Avant janvier 2027 : finalisez votre audit de conformité

Chez Jimmi, nous avons audité notre système de matching avant tout déploiement et restons conformes à chaque mise à jour. Ce processus prend quelques semaines, pas des mois.

Cet article est informatif et ne constitue pas un conseil juridique. Pour une analyse spécifique de votre situation, consultez un avocat spécialisé en droit de l'immobilier ou protection des données.