La biométrie — reconnaissance faciale, d'empreintes, d'iris, de voix, d'émotions — est l'un des domaines les plus sensibles de l'AI Act. Le règlement n'interdit pas la biométrie en bloc, mais il distingue très précisément ce qui est absolument interdit, ce qui nécessite une conformité stricte, et ce qui reste permis. Cette cartographie est essentielle pour toute organisation qui utilise des données biométriques.
Les trois régimes biométriques de l'AI Act
L'AI Act distingue trois régimes pour la biométrie IA : 1) Pratiques interdites (reconnaissance faciale temps réel dans espaces publics à fins répressives, scraping facial, catégorisation sur données sensibles), 2) Risque élevé (identification biométrique, catégorisation physique, reconnaissance d'émotions), 3) Risque limité (reconnaissance d'émotions non professionnelle avec obligation d'information).
L'AI Act traite la biométrie selon trois régimes distincts selon le contexte d'usage :
Régime 1 — Pratiques interdites : certains usages biométriques sont bannis sans exception depuis le 2 février 2025.
Régime 2 — Systèmes à risque élevé : de nombreux usages biométriques sont classés à risque élevé et soumis à des obligations strictes, mais restent légaux sous conditions.
Régime 3 — Risque limité : certains systèmes biométriques doivent simplement informer les utilisateurs.
Ce qui est absolument interdit : les 3 pratiques biométriques prohibées
Interdiction 1 — Identification biométrique en temps réel dans l'espace public : les forces de l'ordre ne peuvent pas utiliser des systèmes de reconnaissance faciale en temps réel dans des espaces publics, sauf dans trois cas très précis (recherche de personnes disparues, prévention d'attentats imminents, arrestation de suspects de crimes graves), et avec autorisation judiciaire préalable.
Interdiction 2 — Constitution de bases de données faciales par scraping : il est interdit de construire ou d'étendre des bases de données de reconnaissance faciale en aspirant massivement des images faciales d'internet ou de flux de vidéosurveillance. Clearview AI, qui avait scanné des milliards de visages depuis les réseaux sociaux, aurait été illégal sous ce règlement.
Interdiction 3 — Catégorisation biométrique sur données sensibles : les systèmes qui déduisent la race, l'origine ethnique, la religion, l'orientation sexuelle ou les opinions politiques à partir de données biométriques sont interdits.
Ces trois interdictions s'appliquent également aux entités privées pour les interdictions 2 et 3. Pour l'interdiction 1, elle cible spécifiquement les autorités répressives — mais les entreprises privées utilisant la reconnaissance faciale dans des espaces publics font face à d'autres restrictions (RGPD).
Systèmes biométriques à risque élevé : légaux mais très encadrés
L'Annexe III de l'AI Act classe plusieurs types de systèmes biométriques à risque élevé :
Identification biométrique à distance : systèmes qui identifient des personnes à distance sans interaction directe. Applicable dans les contextes de contrôle d'accès, de surveillance, etc. Ces systèmes doivent être documentés, testés, enregistrés dans la base de données européenne, et supervisés par des humains.
Catégorisation biométrique : systèmes qui attribuent des personnes à des catégories spécifiques (âge, genre, expression faciale) sans être dans les catégories interdites. Autorisés sous conditions strictes.
Reconnaissance des émotions dans les contextes professionnels et éducatifs : les systèmes qui détectent les émotions dans ces contextes sont dans la catégorie interdite. En dehors de ces contextes (médical par exemple), ils sont à risque élevé.
| Système biométrique | Contexte | Régime |
|---|---|---|
| Reconnaissance faciale temps réel | Espace public - forces de l'ordre | INTERDIT (sauf exceptions) |
| Reconnaissance faciale temps réel | Entreprise privée - contrôle accès | Risque élevé + RGPD consentement |
| Scraping facial massif internet | Tous contextes | INTERDIT |
| Reconnaissance d'émotions | Lieu de travail ou école | INTERDIT |
| Reconnaissance d'émotions | Médical (diagnostic) | Risque élevé |
| Identification biométrique à distance | Aéroports, frontières | Risque élevé |
| Empreintes digitales | Contrôle d'accès entreprise | Risque limité à élevé selon contexte |
| Reconnaissance vocale | Assistant IA personnel | Risque minimal à limité |
La reconnaissance faciale dans les entreprises : que faire ?
De nombreuses entreprises utilisent ou envisagent d'utiliser la reconnaissance faciale pour le contrôle d'accès à leurs locaux. Sous l'AI Act, cela est possible mais nécessite une mise en conformité.
Ce qui est requis : 1. Évaluation du niveau de risque (généralement risque élevé) 2. Si risque élevé : documentation technique, tests de robustesse, enregistrement dans la base européenne 3. Consentement explicite selon le RGPD (les données biométriques sont des données sensibles au sens du RGPD, art. 9) 4. Supervision humaine des décisions d'accès/refus 5. Information des personnes concernées (affichage visible)
Ce qui est recommandé : - Évaluer si la reconnaissance faciale est vraiment nécessaire ou si des alternatives moins intrusives (badge, code PIN) suffisent - Documenter la base légale (consentement, intérêt légitime sous RGPD) - Nommer un DPO si vous traitez des données biométriques à grande échelle
→ RGPD et intelligence artificielle
Biométrie et RGPD : la double contrainte
La biométrie IA est soumise à la fois à l'AI Act et au RGPD. Cette double contrainte est importante car les deux réglementations se renforcent mutuellement.
Sous le RGPD : les données biométriques sont des données sensibles (article 9 RGPD). Leur traitement nécessite une base légale spécifique, généralement le consentement explicite ou des exceptions listées à l'article 9.2. Une analyse d'impact (DPIA) est obligatoire.
Sous l'AI Act : le système biométrique doit respecter les obligations liées à son niveau de risque (documentation, transparence, supervision humaine).
La combinaison : pour un système de reconnaissance faciale en entreprise, vous devez : - Obtenir le consentement biométrique selon le RGPD - Réaliser une DPIA - ET respecter les obligations AI Act (documentation technique, supervision humaine, etc.)
Ces deux réglementations sont complémentaires mais ne se substituent pas l'une à l'autre.
La CNIL française a publié plusieurs délibérations sur la reconnaissance faciale. Les pratiques non conformes au RGPD sont sanctionnées indépendamment de l'AI Act. Les deux corpus s'appliquent simultanément.
La reconnaissance d'émotions : cas particulier
La reconnaissance d'émotions (ou 'emotion recognition') est l'un des domaines les plus controversés de l'AI Act. Ces systèmes analysent les micro-expressions faciales, le ton de la voix, la posture pour inférer des états émotionnels.
Ce qui est interdit : les systèmes de reconnaissance d'émotions utilisés dans des contextes professionnels ou éducatifs. Un employeur ne peut pas utiliser un tel système pour surveiller l'engagement de ses salariés, même avec leur consentement. Ce n'est pas une question de consentement, c'est une interdiction catégorique.
Ce qui est autorisé sous conditions : - Dans le domaine médical (diagnostic de troubles neurologiques ou psychiatriques) - Pour la sécurité (détection de conducteurs somnolents dans les véhicules) - Dans des contextes de recherche académique avec des protections appropriées
La fiabilité scientifique en question : plusieurs études remettent en question la validité scientifique des systèmes de reconnaissance d'émotions, qui se basent souvent sur des modèles culturellement biaisés.
- Reconnaissance d'émotions au travail → INTERDIT (AI Act art. 5)
- Reconnaissance d'émotions à l'école → INTERDIT
- Reconnaissance d'émotions en médecine → Autorisé (risque élevé)
- Détection fatigue conducteur → Autorisé (risque élevé)
- Reconnaissance d'émotions dans un jeu vidéo → Risque limité (avec information)
FAQ : biométrie et IA
Conclusion
La biométrie IA est l'un des domaines où l'AI Act est le plus prescriptif. Les interdictions sont claires et immédiates (depuis février 2025), les obligations pour les systèmes à risque élevé sont substantielles. Pour toute organisation qui utilise des données biométriques, une revue complète de la conformité au regard de l'AI Act ET du RGPD est indispensable.
Questions fréquentes
C'est très encadré. Un commerçant peut utiliser la reconnaissance faciale uniquement avec le consentement explicite des personnes (RGPD art. 9), pour une finalité légitime et proportionnée (contrôle d'accès, pas surveillance comportementale). L'identification biométrique en temps réel à des fins répressives dans l'espace public reste réservée aux forces de l'ordre avec les exceptions strictes de l'AI Act.
Non. Les appareils à usage personnel exclusivement ne sont pas dans le champ de l'AI Act. La reconnaissance faciale sur votre smartphone pour le déverrouillage personnel est un usage privé non réglementé par ce texte.
Non. Le modèle de Clearview AI — aspirer massivement des images faciales d'internet pour construire une base de données biométrique — est explicitement interdit par l'AI Act (article 5). Plusieurs DPA européennes avaient déjà sanctionné Clearview au titre du RGPD avant même l'AI Act.
Pas entièrement. L'AI Act interdit la reconnaissance faciale en temps réel dans les espaces publics à des fins répressives (sauf exceptions strictes), ainsi que le scraping facial massif. La reconnaissance faciale pour le contrôle d'accès en entreprise reste possible sous conditions (RGPD + obligations risque élevé AI Act).