IA et données personnelles à Monaco : ce que change la loi n° 1.565
Quelle loi encadre l’usage de l’IA sur des données personnelles à Monaco ?
À Monaco, c’est la loi n° 1.565 du 3 décembre 2024 relative à la protection des données personnelles, contrôlée par l’Autorité de Protection des Données Personnelles (APDP). Elle impose une base légale, l’information des personnes, la sécurité, un registre des traitements et le respect des droits de chacun. PRAGMA conçoit ses outils d’IA dans ce cadre et vous le montre dès l’audit gratuit.
Brancher une IA sur votre messagerie, votre CRM ou vos contrats revient à traiter des données personnelles : noms, coordonnées, échanges, parfois des informations sensibles. À Monaco, ce traitement relève d’une loi récente. Cet article résume ce qu’elle prévoit pour une entreprise, à partir du texte officiel publié sur Legimonaco, puis explique comment PRAGMA l’applique dans ses projets.
La loi n° 1.565 du 3 décembre 2024 en bref
La loi n° 1.565 du 3 décembre 2024 relative à la protection des données personnelles a été publiée au Journal de Monaco du 13 décembre 2024. Elle abroge la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, qui encadrait jusque-là le sujet dans la Principauté.
Son article 37 crée une autorité administrative indépendante, l’Autorité de Protection des Données Personnelles (APDP), chargée de contrôler que les données personnelles sont traitées conformément à la loi. Selon l’article 107, l’APDP succède à la Commission de Contrôle des Informations Nominatives (CCIN) dans tous ses droits et obligations. Elle publie sur son site, apdp.mc, ses délibérations, des formulaires et des informations destinées aux professionnels.
Le texte reprend une logique proche du RGPD : l’entreprise doit pouvoir démontrer qu’elle respecte les principes de la loi, plutôt que se contenter de formalités.
Une base légale pour chaque traitement
L’article 5 dispose qu’un traitement n’est licite que s’il répond à au moins une exigence. Pour une entreprise privée, les plus courantes sont les suivantes.
- Le consentement de la personne, pour une ou plusieurs finalités spécifiques.
- L’exécution d’un contrat auquel la personne est partie, ou de mesures précontractuelles prises à sa demande.
- Le respect d’une obligation légale à laquelle l’entreprise est soumise.
- L’intérêt légitime de l’entreprise ou d’un tiers, à moins que ne prévalent les intérêts ou les droits fondamentaux de la personne.
Concrètement, avant de confier à une IA le tri de vos mails clients ou la préparation de vos relances, il faut savoir sur quelle base ce traitement repose et pour quelle finalité précise. Une IA qui réutiliserait ces données pour un autre usage, sans lien avec la finalité d’origine, sortirait de ce cadre.
Informer les personnes et respecter leurs droits
Quand les données sont collectées directement auprès d’une personne, l’article 11 impose de lui fournir, au moment de la collecte, une série d’informations : l’identité du responsable du traitement, les finalités et le fondement juridique, les catégories de données, la durée de conservation, les destinataires, ou encore l’existence d’un transfert hors de la Principauté.
La loi garantit ensuite des droits que l’entreprise doit pouvoir honorer : l’accès aux données, avec une réponse dans le délai d’un mois suivant la demande (article 12), la rectification, l’effacement, la limitation du traitement, l’opposition et la portabilité. L’article 19 donne aussi le droit de ne pas faire l’objet d’une décision produisant des effets juridiques, ou affectant la personne de manière significative, prise sur le seul fondement d’un traitement automatisé, y compris le profilage, sauf exceptions prévues par le texte.
Pour un outil d’IA, cela signifie qu’il faut retrouver rapidement toutes les données d’une personne, pouvoir les corriger ou les supprimer, et garder un humain dans la boucle pour les décisions qui comptent.
Sécurité, registre et violations de données
L’article 31 demande au responsable du traitement et au sous-traitant de prendre des mesures techniques et organisationnelles adaptées aux risques, en citant notamment la pseudonymisation et le chiffrement. L’article 26 exige qu’un sous-traitant présente des garanties suffisantes et que son intervention soit régie par un contrat écrit.
L’article 27 impose de tenir un registre écrit des activités de traitement : finalités, catégories de personnes et de données, destinataires, durées de conservation, mesures de sécurité et transferts hors de la Principauté. En cas de violation de données, l’article 32 prévoit une notification à l’APDP dans les meilleurs délais et, si possible, dans les 72 heures, sauf si la violation n’est pas susceptible d’engendrer un risque pour les personnes.
Enfin, l’article 35 prévoit une analyse d’impact préalable lorsque le traitement, en particulier par le recours à de nouvelles technologies, est susceptible d’entraîner un risque élevé pour les droits et libertés des personnes. Un projet d’IA qui évalue ou profile des clients doit donc poser la question dès le départ.
Transferts hors de Monaco : le point sensible de l’IA
Beaucoup d’outils d’IA envoient les données vers des serveurs situés à l’étranger. La loi consacre un chapitre entier à ces transferts. Selon l’article 97, un transfert est possible vers un pays offrant un niveau de protection adéquat, et les États membres de l’UE sont réputés en disposer. L’APDP a annoncé la publication de l’arrêté ministériel qui fixe la liste des pays, territoires et organisations internationales reconnus comme adéquats.
Vers un pays qui n’offre pas ce niveau, l’article 98 exige des garanties, par exemple des clauses types approuvées par l’APDP ou des règles d’entreprise contraignantes approuvées. Avant d’adopter un outil d’IA, il faut donc savoir précisément où partent les données, et pas seulement où se trouve le siège de l’éditeur.
Comment PRAGMA applique ces règles
Nos outils d’IA sont conçus pour que ces obligations soient tenues par construction, et non ajoutées après coup.
- Validation avant chaque envoi : un agent IA prépare, et rien ne part vers un client sans l’accord d’une personne de votre équipe.
- Accès limités : un agent n’accède qu’aux outils et aux dossiers que vous lui ouvrez, et chaque collaborateur voit ce que sa fonction demande.
- Journalisation : chaque accès et chaque action sont tracés, qu’ils viennent d’un collaborateur ou d’un agent, et restent consultables.
- Hébergement : vos outils tournent aujourd’hui sur des serveurs européens que nous administrons nous-mêmes. Un hébergement à Monaco est en préparation pour les données qui ne doivent pas quitter la Principauté.
- Vos données ne servent pas à entraîner un modèle externe.
Ces principes comptent davantage encore dans les métiers tenus au secret, comme le montre notre page IA pour family offices et cabinets à Monaco. Pour l’offre complète, voir l’IA à Monaco avec PRAGMA.
Cet article est une information générale établie à partir du texte publié sur Legimonaco et du site de l’APDP. Il ne constitue pas un conseil juridique : pour votre situation précise, consultez un avocat ou l’APDP.
Questions fréquentes
La loi n° 1.565 remplace-t-elle l’ancienne loi sur les informations nominatives ?
Oui. Elle abroge la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, et l’APDP succède à la CCIN.
Une PME de Monaco doit-elle tenir un registre des traitements ?
La loi impose au responsable du traitement de tenir un registre écrit des activités de traitement. Un outil d’IA qui traite des données clients y figure, avec sa finalité, ses données et ses mesures de sécurité.
Peut-on utiliser un outil d’IA hébergé hors de Monaco ?
C’est possible si le transfert respecte les règles de la loi : un pays reconnu comme adéquat, ou des garanties appropriées. Chez PRAGMA, vos outils tournent aujourd’hui sur des serveurs européens que nous administrons nous-mêmes, et un hébergement à Monaco est en préparation.
Une IA peut-elle prendre seule des décisions sur un client ?
La loi donne à chacun le droit de ne pas faire l’objet d’une décision produisant des effets juridiques ou l’affectant de manière significative prise sur le seul fondement d’un traitement automatisé, sauf exceptions. Chez PRAGMA, une personne valide chaque envoi.
Que faire en cas de fuite de données ?
Le responsable du traitement notifie la violation à l’APDP dans les meilleurs délais et si possible sous 72 heures, sauf absence de risque pour les personnes. Les journaux d’actions aident à établir ce qui s’est passé.
Pour vérifier votre projet d’IA au regard de ces règles, décrivez dans le formulaire de contact les données concernées et les outils où elles se trouvent. Nous revenons vers vous avec l’audit et le prototype gratuits, avant toute discussion commerciale.