Cas pratique : algorithme d'orientation pour collège privé sous contrat

Un algorithme qui propose une voie d'orientation à des élèves de troisième relève en principe de l'Annexe III, point 3, de l'AI Act : c'est un système d'IA à haut risque. Le collège qui l'utilise est déployeur. Ses obligations (Art. 26, plus l'analyse d'impact sur les droits fondamentaux de l'Art. 27 si le collège relève des entités privées fournissant des services publics) s'appliquent à partir du 2 décembre 2027, et le RGPD s'applique déjà.

L'essentiel en 30 secondes

• Un algorithme qui évalue le niveau d'enseignement approprié d'un élève ou son affectation relève de l'Annexe III, point 3 : haut risque (Art. 6(2)). La dérogation de l'Art. 6(3) ne s'applique jamais à un système qui réalise un profilage de personnes physiques.
• Le collège est déployeur, l'éditeur de l'outil est fournisseur. Le déployeur utilise le système selon la notice, confie la supervision humaine à des personnes compétentes, conserve les journaux au moins six mois et informe les personnes concernées (Art. 26).
• L'analyse d'impact sur les droits fondamentaux (FRIA, Art. 27) précède le premier déploiement pour les entités privées fournissant des services publics. Elle complète l'AIPD du RGPD sans la remplacer.
• Obligations de l'Annexe III : 2 décembre 2027 (règlement (UE) 2026/1744). Un système déjà en service avant cette date n'est concerné que s'il subit ensuite des modifications importantes de sa conception (Art. 111(2)).
• RGPD, déjà applicable : la CNIL présume une AIPD nécessaire pour un système d'IA à haut risque qui traite des données personnelles. Les élèves sont des personnes vulnérables. La base légale se choisit et se documente avec le DPO.
• Sanctions : jusqu'à 15 M€ ou 3 % du CA mondial pour un manquement du déployeur (Art. 99(4)), le montant le plus bas pour une PME. RGPD : jusqu'à 20 M€ ou 4 %.

Ce cas pratique est fictif. Un collège privé sous contrat d'association teste un algorithme d'orientation pour ses élèves de troisième. L'outil croise notes, comportement, absences et projet personnel pour suggérer une voie générale, technologique ou professionnelle. La situation touche à l'éducation, à des données de mineurs et à une décision lourde pour la trajectoire des élèves. Elle combine l'AI Act (règlement (UE) 2024/1689), le RGPD et le Code de l'éducation.

Le cas détaille les obligations concrètes du collège, les pièges à éviter et une méthode de mise en conformité.

1. Contexte juridique : AI Act et RGPD pour les collèges privés sous contrat

Un collège privé sous contrat d'association reste une personne morale de droit privé. Dans les classes sous contrat, l'enseignement est dispensé selon les règles et programmes de l'enseignement public, et les dépenses de fonctionnement sont prises en charge comme dans le public (articles L442-5 et suivants du Code de l'éducation). Cette situation compte pour l'AI Act, car elle rapproche le collège des entités privées fournissant des services publics. Elle compte aussi pour le RGPD, car les données concernent des élèves mineurs.

L'AI Act s'applique au déployeur établi dans l'Union qui utilise un système d'IA sous son autorité, sans distinction selon la taille de la structure (Art. 2(1) et 3(4)). Le collège est déployeur dès qu'il utilise l'outil d'orientation. L'éditeur de l'outil est fournisseur (Art. 3(3)) : les obligations de conception du système (Art. 8 à 15) et d'évaluation de conformité lui incombent, celles du déployeur incombent au collège.

L'Annexe III, point 3 (éducation et formation professionnelle) liste comme haut risque les systèmes d'IA destinés à :

• déterminer l'accès ou l'admission, ou affecter des personnes à des établissements d'enseignement et de formation, à tous les niveaux ;
• évaluer les résultats d'apprentissage, y compris lorsqu'ils servent à orienter le processus d'apprentissage ;
• évaluer le niveau d'éducation approprié qu'une personne recevra ou pourra atteindre ;
• surveiller et détecter les comportements interdits des élèves pendant les épreuves.

Un outil qui propose une voie d'orientation évalue le niveau d'enseignement approprié pour l'élève et peut influencer son affectation : il entre dans le périmètre du point 3. Le considérant 56 justifie ce classement par le fait que ces systèmes peuvent déterminer le parcours éducatif et professionnel d'une personne, porter atteinte au droit à l'éducation et perpétuer des discriminations historiques. Une dérogation existe pour certains systèmes de l'Annexe III (Art. 6(3)), mais elle ne s'applique jamais lorsque le système réalise un profilage de personnes physiques. Un outil qui croise notes, comportement et absences pour classer des élèves constitue en principe un profilage. Voir la page sur les systèmes à haut risque.

Le projet de lignes directrices de la Commission sur la classification des systèmes à haut risque (19 mai 2026, soumis à consultation) range parmi les exemples à haut risque les outils de placement qui recommandent un niveau de cours (point 3(c)) et les systèmes d'affectation à un parcours (point 3(a)). Il précise que la décision finale revient aux enseignants et aux responsables de l'établissement, qui peuvent suivre ou écarter la recommandation, et que ces systèmes restent à haut risque. À l'inverse, un outil destiné aux élèves eux-mêmes pour éclairer leurs choix d'orientation, sans usage par l'établissement, n'est pas visé.

Régime	Texte fondateur	Autorité de contrôle en France	Sanction maximale
AI Act	Règlement (UE) 2024/1689	Autorité de surveillance du marché désignée par la France	15 M€ ou 3 % CA mondial (Art. 99(4))
RGPD	Règlement (UE) 2016/679	CNIL	20 M€ ou 4 % CA mondial (Art. 83(5))

Le collège applique l'AI Act et le RGPD en parallèle ; la procédure d'orientation du Code de l'éducation reste inchangée. Le calendrier diffère : le RGPD s'applique déjà, les obligations de l'Annexe III s'appliquent à partir du 2 décembre 2027, avec une règle de transition pour les systèmes déjà en service (Art. 111(2)). Le guide AI Act pour les PME françaises détaille la grille de lecture générale.

2. Analyse du cas : risques identifiés

Avant tout déploiement, l'établissement cartographie quatre familles de risques.

Biais algorithmique. Un modèle entraîné sur des données historiques peut reproduire des déterminismes socioculturels passés. Un élève issu de tel quartier ou de tel collège de secteur peut être systématiquement orienté vers la voie professionnelle. Le considérant 56 cite ce risque de perpétuer des discriminations historiques. L'Art. 10(2)(f) et (g) impose au fournisseur d'examiner les biais possibles et de prendre des mesures pour les détecter, les prévenir et les atténuer. Côté RGPD, le principe de loyauté (Art. 5(1)(a)) s'applique au traitement du collège.

Protection des mineurs. Selon la CNIL, traiter des données de personnes vulnérables, dont les enfants, est l'un des critères qui conduisent à réaliser une AIPD. Le collège choisit et documente la base légale du traitement avec son DPO. S'il retient le consentement des titulaires de l'autorité parentale, ce consentement doit être libre : le refus ne peut entraîner aucun désavantage pour l'élève (Art. 4(11) et 7 du RGPD).

Manque de transparence. Les familles doivent comprendre que l'outil est utilisé, sur quelles données et avec quelle marge d'influence sur la décision finale (Art. 13 et 14 du RGPD). L'Art. 26(11) de l'AI Act impose au déployeur d'informer les personnes qui font l'objet d'une décision préparée avec l'aide d'un système à haut risque de l'Annexe III. Lorsqu'une décision du collège repose sur la sortie du système et affecte significativement l'élève, l'Art. 86 ouvre en outre un droit à des explications sur le rôle du système. Voir l'article sur l'information des personnes concernées par une décision d'IA.

Documentation insuffisante. La documentation technique de l'Annexe IV incombe au fournisseur, pas au collège. Le collège doit en revanche obtenir la notice d'utilisation (Art. 13), conserver la preuve de ses propres mesures (supervision humaine, journaux, information des personnes, FRIA, AIPD) et pouvoir les présenter en cas de contrôle.

3. Étapes de conformité : déploiement sécurisé

La séquence ci-dessous correspond à un déploiement « propre » sur une année scolaire.

1. Cartographier le système d'IA — fournisseur, version, finalité, données d'entrée, données de sortie. Vérifier la qualification (Annexe III, point 3). Exiger du fournisseur la notice d'utilisation (Art. 13) et, à partir de la date d'application, la déclaration UE de conformité et le marquage CE (Art. 47 et 48), ainsi qu'une clause d'information du collège sur les évolutions importantes du système.
2. Réaliser une AIPD au sens de l'Art. 35 du RGPD. La CNIL présume cette analyse nécessaire pour un système d'IA à haut risque dont le déploiement implique un traitement de données personnelles ; elle s'appuie sur la notice du fournisseur (Art. 26(9) de l'AI Act).
3. Mener une analyse d'impact sur les droits fondamentaux (FRIA, Art. 27) avant le premier déploiement, si le collège relève des entités privées fournissant des services publics : le considérant 96 range l'éducation parmi les missions d'intérêt public concernées. Les résultats sont notifiés à l'autorité de surveillance du marché (Art. 27(3)), et la FRIA peut reprendre des éléments de l'AIPD (Art. 27(4)). Voir l'article FRIA et AIPD : différences et complémentarité.
4. Tenir le registre des traitements prévu à l'Art. 30 RGPD : finalité, base légale, durée, destinataires, mesures de sécurité.
5. Documenter la supervision humaine (Art. 14 et 26(2)) : qui prend la décision finale, sur quels critères, avec quelle possibilité de s'écarter de la recommandation (Art. 14(4)). Les personnes désignées ont la compétence, la formation et l'autorité nécessaires.
6. Sensibiliser les enseignants et le personnel administratif à la lecture des sorties du système, à ses limites et au risque de confiance excessive. L'Art. 4 demande de prendre des mesures pour favoriser la maîtrise de l'IA des personnes qui utilisent des systèmes d'IA pour le compte du collège.
7. Conserver les journaux générés automatiquement par le système, dans la mesure où ils sont sous le contrôle du collège, pendant une durée adaptée à la finalité et d'au moins six mois, sauf disposition contraire du droit de l'Union ou du droit national, notamment en matière de données personnelles (Art. 26(6)).
8. Informer les personnes concernées : élèves et représentants légaux savent qu'ils font l'objet de l'usage d'un système à haut risque lorsqu'il aide à décider à leur sujet (Art. 26(11)), en plus des informations exigées par le RGPD.

4. Exemple concret : mise en œuvre conforme

Reprenons le collège fictif « Saint-Exemple ». Effectif : 480 élèves, équipe de 38 enseignants, DPO mutualisé avec le diocèse, RSSI externalisé.

L'établissement souscrit à un outil édité par une EdTech française. Voici la trajectoire de conformité retenue, à titre d'illustration : les délais ne sont pas des durées types.

Étape	Acteur principal	Livrable	Délai
Choix du fournisseur	Chef d'établissement + DPO	Grille d'évaluation contractuelle (notice, évolutions du système)	Mois 1
AIPD	DPO	Rapport AIPD signé	Mois 2
FRIA	DPO + référent IA	Analyse Art. 27 AI Act	Mois 2-3
Information des familles	Direction	Note d'information, et recueil du consentement si cette base légale est retenue	Mois 3
Pilotage humain	Conseil pédagogique	Procédure écrite de décision finale	Mois 3
Sensibilisation	Direction + DPO	Séance de prise en main pour les personnes en charge de la supervision	Mois 4
Déploiement progressif	Direction	Cohorte test 1 classe	Mois 5
Audit interne	RSSI externe	Rapport d'audit annuel	Mois 12

Le mécanisme de contrôle humain final reste non négociable : la recommandation algorithmique est un avis. Dans un collège privé sous contrat, le conseil de classe propose, la famille formule sa demande et le chef d'établissement décide (Code de l'éducation, article L331-8 et articles D331-46 à D331-61). Le choix de l'orientation relève de la responsabilité de la famille. En cas de désaccord, un entretien précède la décision, qui est motivée si elle ne correspond pas à la demande, et un appel est possible. Le chef d'établissement doit pouvoir s'écarter de la recommandation de l'outil (Art. 14(4)).

Dans ce scénario, le collège retient le consentement des représentants légaux comme base légale, après analyse avec son DPO. Il est recueilli à la rentrée, séparément des autres autorisations (image, sorties), sans case pré-cochée. Le refus n'entraîne aucun désavantage : l'élève est orienté sans le concours de l'outil. D'autres bases légales peuvent être retenues selon l'analyse du DPO.

5. Gestion des données : RGPD et AI Act

L'articulation entre les deux régimes se joue sur quatre principes.

Minimisation (Art. 5(1)(c) du RGPD). Le collège recueille uniquement les données strictement utiles à la finalité d'orientation : notes, absences, parcours et, le cas échéant, projet exprimé. Il écarte l'origine sociale, la profession des parents et les données comportementales étrangères au champ pédagogique.

Durée de conservation (Art. 5(1)(e) du RGPD). Le collège fixe avec son DPO une durée alignée sur la finalité, par exemple jusqu'à la fin de l'année scolaire suivant la décision d'orientation. Au-delà, seules des données agrégées et anonymisées peuvent être conservées à des fins statistiques. La durée précise figure dans le registre des traitements. Les journaux du système sont conservés au moins six mois, sauf disposition contraire du droit applicable, notamment en matière de données personnelles (Art. 26(6) de l'AI Act) : les deux durées sont à concilier avec le DPO.

Droits des personnes (Art. 12 à 22 du RGPD). Les parents disposent des droits d'accès, de rectification, d'effacement et de limitation et, selon la base légale, des droits d'opposition ou de portabilité. Au titre de l'Art. 22, ils ont aussi le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou les affectant de manière significative. La décision humaine finale n'est donc pas une simple précaution : l'intervention humaine doit être réelle, la personne qui décide pouvant s'écarter de la recommandation.

Sécurité (Art. 32 du RGPD). Chiffrement des bases, journalisation des accès, gestion fine des habilitations, sauvegardes testées. L'AI Act exige en outre du fournisseur l'exactitude, la robustesse et la cybersécurité du système lui-même (Art. 15).

Le glossaire reprend chacun de ces termes en langage clair.

6. Communication et transparence

Les familles ne doivent pas découvrir l'existence de l'outil au moment de l'orientation. La transparence se construit en amont.

L'information écrite remise aux représentants légaux indique :

• l'identité du responsable de traitement (l'établissement) ;
• la finalité du traitement (aide à l'orientation) ;
• la base légale retenue ;
• les catégories de données utilisées ;
• les destinataires (enseignants, chef d'établissement, éditeur du logiciel sous contrat) ;
• la durée de conservation ;
• l'existence d'un système d'IA, sa logique présentée en termes simples et le fait que le collège utilise un système à haut risque pour préparer la décision (Art. 26(11) de l'AI Act) ;
• les droits des personnes et les modalités d'exercice ;
• la possibilité de refuser sans conséquence négative.

Un canal de réclamation interne est mis en place : adresse e-mail dédiée à la médiation et formulaire papier disponible au secrétariat. Les familles peuvent aussi saisir la CNIL (Art. 77 du RGPD) et, au titre de l'AI Act, introduire une réclamation auprès de l'autorité de surveillance du marché (Art. 85).

Les personnes en charge de la supervision humaine reçoivent une sensibilisation courte sur la lecture des sorties, les limites de l'outil et la conduite à tenir en cas de divergence avec leur propre évaluation.

7. ISO/IEC 42001:2023 : cadre de gestion des risques IA

La norme ISO/IEC 42001:2023 définit les exigences d'un système de management de l'intelligence artificielle (AIMS). Elle n'est pas obligatoire et ce n'est pas une norme harmonisée de l'AI Act : elle ne confère aucune présomption de conformité. Selon la FAQ de la Commission européenne sur la normalisation, ses objectifs et ses définitions ne sont pas alignés sur le système de gestion de la qualité exigé du fournisseur par l'AI Act. Elle aide à structurer la gouvernance et à constituer des preuves.

Domaine ISO/IEC 42001	Utilité pour le collège
Politique IA (clause 5.2 ; Annexe A, A.2)	Cadre de gouvernance signé par la direction : principes, rôles, revue
Appréciation et traitement des risques (clauses 6.1.2 et 6.1.3)	Méthode pour identifier et traiter les risques liés à l'outil d'orientation
Évaluation d'impact du système d'IA, AISIA (clauses 6.1.4 et 8.4)	Base de travail pour l'analyse d'impact de l'Art. 27, sans la remplacer
Données (Annexe A, A.7)	Qualité et provenance des données traitées
Compétences (clause 7.2)	Cadre pour les mesures de maîtrise de l'IA (Art. 4) et la compétence des personnes en charge de la supervision (Art. 26(2))
Audit interne (clause 9.2)	Contrôle périodique du dispositif du collège

Pour un collège de cette taille, la certification n'est pas exigée par l'AI Act. La norme peut servir de référentiel d'audit interne et de feuille de route progressive. Voir l'article ISO 42001 et AI Act : différences et correspondances.

8. Sanctions et responsabilités

Le risque financier est réel, le risque réputationnel aussi.

Sanctions AI Act (Art. 99).

Manquement	Sanction maximale
Pratiques interdites (Art. 5)	35 M€ ou 7 % CA mondial
Obligations des opérateurs : fournisseurs (Art. 16), déployeurs (Art. 26)	15 M€ ou 3 % CA mondial
Informations inexactes, incomplètes ou trompeuses fournies aux autorités ou aux organismes notifiés	7,5 M€ ou 1 % CA mondial

Pour une PME au sens de la recommandation 2003/361/CE, le montant le plus bas des deux s'applique à chacun de ces paliers (Art. 99(6)). Pour les autres opérateurs, c'est le plus élevé. Un collège rattaché à une structure plus large vérifie sa qualification.

Sanctions RGPD (Art. 83). Jusqu'à 20 M€ ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé, pour violation des principes de base (Art. 5, 6, 7 et 9) ou des droits des personnes (Art. 12 à 22). Le RGPD ne prévoit pas de règle du montant le plus bas pour les PME.

La page Sanctions AI Act pour une PME : amendes et calcul détaille la mécanique de calcul appliquée aux PME.

Au-delà du montant, un manquement public fragilise la relation de confiance avec les familles. Un signalement par un parent ou une procédure devant la CNIL a un coût réputationnel pour un établissement dont l'image repose sur la relation avec les familles.

Les responsabilités se répartissent. Le collège, représenté par son chef d'établissement, est à la fois déployeur et responsable de traitement. Le DPO conseille et contrôle le respect du RGPD. L'éditeur de l'outil assume ses obligations de fournisseur (Art. 16 et suivants). Le contrat répartit clairement ces rôles. Un collège qui modifie substantiellement l'outil ou le met en service sous son propre nom peut devenir fournisseur (Art. 25).

FAQ

Dois-je déclarer mon algorithme d'orientation à la CNIL ?

Il n'existe plus de régime général de déclaration préalable à la CNIL depuis l'entrée en application du RGPD en 2018. Le collège tient un registre des traitements (Art. 30 du RGPD) et réalise une analyse d'impact (Art. 35), que la CNIL présume nécessaire pour un système d'IA à haut risque qui traite des données personnelles. La consultation préalable de la CNIL n'est requise que si l'analyse révèle un risque élevé que le collège ne parvient pas à atténuer (Art. 36). S'il relève de l'Art. 27 de l'AI Act, il notifie les résultats de sa FRIA à l'autorité de surveillance du marché. Voir le guide AI Act pour les PME françaises.

Quel est le délai pour se conformer à l'AI Act ?

Les obligations des systèmes à haut risque de l'Annexe III s'appliquent à partir du 2 décembre 2027 (Art. 113, modifié par le règlement (UE) 2026/1744). Un système à haut risque déjà en service avant cette date n'est concerné que s'il subit ensuite des modifications importantes de sa conception (Art. 111(2)). Les pratiques interdites s'appliquent depuis le 2 février 2025 et les règles sur les modèles d'IA à usage général depuis le 2 août 2025. Le RGPD s'applique déjà. Le calendrier de l'AI Act récapitule les échéances.

Comment gérer les biais dans mon algorithme ?

L'Art. 10(3) exige du fournisseur des jeux de données pertinents, suffisamment représentatifs et, dans toute la mesure du possible, exempts d'erreurs et complets au regard de la finalité. L'Art. 10(2)(f) et (g) prévoit l'examen et l'atténuation des biais. En pratique, le collège demande au fournisseur, dans la notice d'utilisation, la performance du système pour les groupes de personnes visés (Art. 13(3)(b)(v)). Il suit sur une cohorte test la répartition des recommandations selon des critères pertinents, conserve la décision humaine comme garde-fou et inscrit un point « biais détectés » à l'ordre du jour annuel du conseil pédagogique.

Puis-je utiliser des données anonymisées ?

Oui, dès lors que l'anonymisation est effective au sens du RGPD, c'est-à-dire qu'il n'est plus possible de ré-identifier la personne. Pour une finalité d'orientation individuelle, l'anonymisation est incompatible avec le besoin opérationnel : l'outil doit produire une recommandation pour un élève identifié. Pour des analyses statistiques agrégées (taux d'orientation par voie sur plusieurs années), l'anonymisation est recommandée : des données réellement anonymisées ne relèvent plus du RGPD.

Quelle est la durée de conservation des données ?

La durée est proportionnée à la finalité (Art. 5(1)(e) du RGPD) et fixée avec le DPO, dans l'AIPD et dans le registre des traitements. Pour un outil d'orientation, le collège peut par exemple retenir l'année scolaire en cours plus l'année suivante, afin de couvrir un éventuel appel de la décision d'orientation (Code de l'éducation, art. L331-8), puis basculer en archivage anonymisé. Les journaux du système sont conservés au moins six mois, sauf disposition contraire (Art. 26(6) de l'AI Act).

Sources officielles

• Règlement (UE) 2024/1689 — version consolidée au 27 juillet 2026 — EUR-Lex
• Règlement (UE) 2026/1744 (« Omnibus IA ») — EUR-Lex
• AI Act Service Desk — Commission européenne
• CNIL — IA : réaliser une analyse d'impact si nécessaire
• CNIL — Analyse d'impact relative à la protection des données (AIPD)
• ISO/IEC 42001:2023 — Système de management de l'intelligence artificielle
• Commission européenne — Projet de lignes directrices sur la classification des systèmes à haut risque (19 mai 2026)
• Commission européenne — FAQ sur la normalisation de l'AI Act
• Code de l'éducation, article L331-8 — Légifrance
• Code de l'éducation, articles D331-46 à D331-61 (établissements privés sous contrat) — Légifrance
• Ressources internes : glossaire regulia et sources documentaires

---

Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.