Le RGPD (Règlement Général sur la Protection des Données 2016/679) pose les limites relatives à l’exploitation des données personnelles considérées comme sensibles. Il prévoit de nombreuses possibilités de contrôle et d’application efficaces en matière d’équité, de transparence, de droits individuels et d’octroi d’un contrôle individuel sur leurs données personnelles. Le RGPD n’affecte pas les algorithmes qui ne traitent pas de données à caractère personnel ou qui ont une incidence sur les droits de la population (par exemple la démocratie). Les contrôleurs doivent ainsi veiller au respect du RGPD et être en mesure d’en faire la démonstration. Cela signifie que les contrôleurs sont tenus de prendre en considération tous les risques potentiels que l’utilisation ou la création de l’algorithme spécifique peut potentiellement poser pour les droits et libertés des personnes physiques et, si nécessaire, de prendre des mesures pour faire face à ces risques.

En ce qui concerne les systèmes d’IA, les mesures à prendre par les contrôleurs comprennent des contrôles sur l’adéquation et l’exhaustivité des programmes de formation du logiciel, et sur l’existence de causes de biais et d’injustice.

Par ailleurs, l’article 22 du RGPD interdit toute décision fondée uniquement sur un traitement automatisé de données à caractère personnel, si une telle décision « produit des effets juridiques à l’égard de [la personne concernée] ou affecte de manière similaire [la personne concernée] ». Cela signifie qu’en pratique, il ne sera souvent pas possible de se fier uniquement au résultat d’un algorithme pour la prise de décisions sensibles.