Le 12 novembre 2026, le Réseau ibéro-américain de protection des données (RIPD) a adopté à l'unanimité les Normes ibéro-américaines sur l'utilisation des données personnelles dans les systèmes d'IA, annoncées le jour même par l'Agence espagnole de protection des données (AEPD). Le document couvre plus de 600 millions de personnes en Amérique latine, en Espagne et au Portugal, et constitue le premier instrument international à encadrer systématiquement la protection des données personnelles dans le contexte de l'IA. Il ne crée pas de nouvelle loi, mais il met par écrit la position commune des autorités de protection des données de la région sur l'IA, sous une forme vérifiable point par point.
Les données publiques ne sont pas un matériau d'entraînement gratuit
La règle la plus directe est la suivante : des données personnelles publiées en ligne ne peuvent pas pour autant être utilisées par défaut pour entraîner une IA. Pour les utiliser, il faut une base juridique adéquate et tenir compte de ce que la personne pouvait raisonnablement attendre au moment de la publication. Les publications, CV et photos visibles sur le web ne deviennent pas automatiquement des données d'entraînement. Les données déduites par l'IA sont elles aussi des données personnelles : quand un système déduit un état de santé, des opinions politiques ou une orientation sexuelle à partir d'informations apparemment neutres, il doit bénéficier de la protection renforcée des données sensibles ; une inférence comporte une incertitude et ne doit pas être traitée comme une conclusion établie.
Utiliser les données clients pour entraîner des modèles ? Vérifiez d'abord l'autorisation
Les normes découpent la chaîne de responsabilité avec précision : un fournisseur qui utilise les données de ses clients pour entraîner ou améliorer ses propres modèles doit d'abord disposer d'une habilitation juridique suffisante ; une entreprise qui utilise un système d'IA tiers ne peut pas rejeter la responsabilité sur le fournisseur — celui qui détermine les finalités et les moyens essentiels en assume la responsabilité. La transparence est également renforcée : une seule phrase dans un coin de page, « Nous utilisons l'IA », ne satisfait pas l'obligation d'information ; les entreprises doivent expliquer dans un langage compréhensible par tous à quoi sert le système et quelles en sont les conséquences, et le secret des affaires n'est pas une raison de se taire. Pour les modèles déjà entraînés, les personnes ont le droit de savoir si leurs données ont été utilisées, de contester les décisions automatisées et d'exiger une véritable intervention humaine — un contrôle qui se contente de valider la suggestion de l'IA n'est pas une intervention effective. Quand des données personnelles ne peuvent pas être entièrement supprimées, l'entreprise doit en expliquer la raison, en informer la personne concernée et exclure ces données des entraînements futurs.
Faire des affaires d'IA en Amérique latine ? Vérifiez d'abord ces quatre points
Premièrement, faire l'inventaire des sources de données d'entraînement : lesquelles proviennent du web public, y a-t-il une base juridique, que pouvait raisonnablement attendre la personne au moment de la publication ? Deuxièmement, relire les contrats avec les fournisseurs pour confirmer si les données clients peuvent servir à entraîner les propres modèles du fournisseur ; sans autorisation claire, suspendre d'abord l'usage, puis renégocier. Troisièmement, vérifier les processus de décision automatisée : dans le crédit, le recrutement ou le tri du service client, le contrôle humain peut-il réellement renverser la conclusion de l'IA, ou n'est-ce qu'une formalité ? Quatrièmement, mettre à jour la politique de confidentialité et les notices produit pour y écrire, là où les utilisateurs peuvent le comprendre, « à quoi sert l'IA et quelles en sont les conséquences ».
Les normes elles-mêmes ne sont pas directement contraignantes et ne créent pas d'obligations parallèles aux lois nationales ; elles expriment l'interprétation commune des autorités de contrôle de la région. C'est précisément là que se situe le risque : lorsque les autorités de protection des données d'Amérique latine appliqueront la loi et légiféreront, elles prendront ces normes comme référence — la « recommandation » d'aujourd'hui pourra être demain le fondement d'une sanction. Le champ d'application est aussi limité : il ne couvre que les États membres ibéro-américains et ne peut pas être transposé à l'UE ou aux États-Unis, où le RGPD et l'AI Act restent applicables. L'application de la loi en Europe a déjà pris de l'avance : Scale AI a été signalée par noyb pour une violation présumée du RGPD. Les entreprises qui déploient des produits d'IA en Amérique latine feraient mieux de prendre ces normes comme base de conformité, plutôt que d'attendre l'arrivée des législations nationales.
