AI Act et vidéosurveillance : que vérifier avant d’activer une fonction intelligente ?

Ce qui a changé, et les dates à ne pas confondre

Selon la Commission européenne, les premières interdictions et l’obligation de maîtrise de l’IA s’appliquent depuis le 2 février 2025. Le règlement est devenu applicable le 2 août 2026, avec des exceptions et des échéances distinctes [1]. Il serait donc inexact de présenter cette date comme une autorisation générale des caméras intelligentes ou comme l’entrée en application simultanée de toutes les obligations.

La CNIL a actualisé sa FAQ le 17 août 2026 pour tenir compte des évolutions du texte. Elle rappelle que le RGPD continue de s’appliquer aux traitements de données personnelles réalisés avec l’IA [2]. Pour un projet concret, vérifiez la version du cadre applicable à la fonction considérée, plutôt que de vous fier à une ancienne infographie du calendrier.

Détecter une personne n’est pas reconnaître son identité

La CNIL distingue l’analyse d’objets ou de silhouettes de la reconnaissance biométrique visant à identifier ou authentifier une personne de manière unique. La biométrie implique des données sensibles et relève d’un encadrement spécifique [3]. Une même gamme peut proposer des fonctions très différentes : il faut examiner celles effectivement activées.

Dans votre cahier des charges, remplacez « caméra IA performante » par une description claire : repérer un franchissement dans une zone déterminée, retrouver une séquence ou réaliser un autre traitement précisément décrit. Demandez aussi ce que la solution ne fait pas. Cette formulation facilite le choix du matériel et évite de payer pour des options inutiles au projet.

Des fonctions à écarter ou à faire examiner spécialement

L’article 5 interdit notamment certains systèmes évaluant le risque qu’une personne commette une infraction sur la seule base de son profil ou de traits personnels, la constitution non ciblée de bases de reconnaissance faciale à partir d’images vidéo, ainsi que certaines catégorisations biométriques sensibles. Il interdit aussi l’inférence d’émotions au travail et dans l’enseignement, avec les exceptions médicales ou de sécurité prévues par le texte [4].

Ces exceptions ne sont pas un raccourci permettant de qualifier toute surveillance d’outil de sécurité. Une option qui prétend reconnaître un « client suspect », noter l’attitude d’un salarié ou analyser son humeur nécessite une qualification précise. Notre recommandation : laisser la fonction inactive tant que sa finalité et son cadre n’ont pas été validés.

Commerce ouvert au public et réserve privée : raisonner par zone

La CNIL précise que son analyse des caméras augmentées dans l’espace public vise les traitements en temps réel dans les lieux ouverts au public et ne traite pas les espaces privés [3]. Les obligations ne doivent donc pas être transposées mécaniquement d’une réserve fermée à une surface de vente ou à une rue.

La fiche CNIL sur la vidéoprotection classique distingue cette dernière des technologies algorithmiques innovantes [5]. Une autorisation concernant un dispositif classique ne doit pas être interprétée comme un blanc-seing pour toutes ses extensions. Faites analyser l’ajout d’une fonction nouvelle, même si aucune caméra physique n’est déplacée.

• Cartographier séparément les zones ouvertes au public, les espaces réservés et les abords.
• Décrire la finalité de chaque analyse, pas seulement celle de l’installation globale.
• Vérifier les règles applicables aux salariés, résidents, visiteurs et passants concernés.
• Documenter les fonctions désactivées et les personnes habilitées à modifier la configuration.

Les documents à demander avant de signer

Voici notre liste de préparation, destinée à rendre le dialogue entre exploitant, installateur et conseil juridique plus concret. Elle ne remplace pas les documents légalement exigés pour votre cas. L’objectif est d’éviter qu’un devis très détaillé sur les caméras reste silencieux sur le traitement des images.

Demandez notamment où les images et métadonnées sont traitées, qui peut les consulter et ce qui est conservé. Si un service distant intervient, faites préciser ses responsabilités et les conditions contractuelles. L’absence d’enregistrement vidéo permanent ne suffit pas à conclure qu’aucune donnée personnelle n’est traitée.

• Référence exacte, version logicielle et liste des analyses prévues.
• Description du besoin et justification du périmètre retenu.
• Schéma des flux locaux et distants, avec les prestataires concernés.
• Règles d’accès, de conservation et de suppression propres au projet.
• Information des personnes, traitement des demandes et analyse d’impact lorsque requise.
• Limites connues, intervention humaine et procédure de modification des fonctions.

Ne pas transformer une alerte en accusation

Nous recommandons que la procédure d’exploitation impose une vérification du contexte avant toute action envers une personne. Un franchissement, une posture ou un objet détecté ne démontre pas à lui seul une infraction. Les messages affichés aux opérateurs doivent rester descriptifs, sans conclusions que le système ne peut pas établir.

Pour la formation, préparez quelques situations fictives : livraison autorisée, circulation normale, événement mal classé et défaut du système. Demandez à l’utilisateur de montrer comment il vérifie, classe et clôture une alerte. Cette prise en main aide à garder une place claire à la décision humaine.

Notre approche : partir de l’objectif, puis choisir la technologie

Le premier échange doit permettre de distinguer un besoin de dissuasion, d’enregistrement, d’alerte ou de recherche après incident. L’IA n’a pas à être activée partout pour rendre une installation moderne. Une règle ciblée et comprise peut être préférable à un ensemble d’options que personne ne sait administrer.

Protectas Systèmes peut préparer les éléments techniques d’une étude : implantation, fonctions proposées, limites et modalités de réception. Le responsable du traitement reste accompagné, selon le projet, par son DPO ou son conseil pour la qualification juridique. L’installation n’est pas présentée comme automatiquement conforme au seul motif qu’un matériel possède un marquage ou une fonction intelligente.