IA au Royaume-Uni : UK GDPR, ICO et AI Act européen en pratique

Depuis le Brexit, les entreprises britanniques vivent avec deux cartes réglementaires. Chez elles, un droit des données hérité du RGPD mais désormais modifié, et une approche de l'IA sans grande loi dédiée. Chez leurs clients européens, le RGPD d'origine et le règlement européen sur l'IA, l'AI Act.

Pour une banque de la City, un assureur de Manchester ou un éditeur de logiciels d'Édimbourg qui vend sur le continent, la question est concrète : quelles règles s'appliquent quand un salarié colle des données clients dans un assistant IA ?

Le socle : UK GDPR et Data Protection Act 2018

Le Royaume-Uni a conservé le RGPD dans son droit national sous le nom de UK GDPR, complété par le Data Protection Act 2018. Les principes restent familiers : base légale, minimisation, sécurité adaptée au risque, analyse d'impact pour les traitements à risque élevé. Un prompt qui contient le nom, l'adresse ou le dossier d'un client est un traitement de données personnelles, avec les mêmes obligations qu'un fichier envoyé par e-mail.

L'autorité de contrôle a longtemps été l'Information Commissioner's Office (ICO). Depuis le 30 septembre 2026, ses fonctions ont été transférées à une nouvelle Information Commission, créée par la réforme de 2025. Les guides publiés par l'ICO restent la référence pratique.

Ce que change le Data (Use and Access) Act 2025

Le Data (Use and Access) Act 2025 a reçu la sanction royale le 19 juin 2025. Il entre en vigueur par étapes, et la plupart de ses modifications du droit des données s'appliquent depuis le 5 février 2026. Pour les projets d'IA, trois points comptent :

• une liste d'intérêts légitimes reconnus, pour lesquels l'organisation n'a plus à faire le test de mise en balance habituel ;

• des règles assouplies sur les décisions entièrement automatisées, sauf lorsqu'elles reposent sur des données sensibles, avec des garanties comme le droit de contester la décision et d'obtenir une intervention humaine ;

• le remplacement de l'ICO par l'Information Commission.

Il ne faut pas y voir une dérégulation. Les obligations de sécurité, de minimisation et de transparence restent entières. Une fuite de données personnelles vers un outil d'IA grand public peut toujours constituer une violation de données au sens du UK GDPR.

L'ICO et l'IA : une doctrine déjà riche

L'ICO a publié un guide détaillé sur l'IA et la protection des données, mis à jour en 2023. Il couvre la responsabilité, la transparence, l'exactitude, l'équité et la sécurité des systèmes d'IA. En 2026, l'autorité a annoncé son intention d'élaborer un code de pratique officiel sur l'IA et les décisions automatisées, des ressources pour aider PME et organismes publics à évaluer les outils d'IA achetés clés en main, et des recommandations sur l'IA agentique.

Le fil conducteur ne change pas : l'organisation qui déploie un outil d'IA reste responsable des données qu'elle y fait entrer.

L'approche pro-innovation face à l'AI Act européen

Londres a choisi une autre voie que Bruxelles. Depuis le livre blanc de 2023 sur une régulation de l'IA favorable à l'innovation, le gouvernement confie aux régulateurs existants, comme l'ICO, la FCA, la CMA ou l'Ofcom, le soin d'appliquer des principes communs dans leur secteur. À l'automne 2026, aucun projet de loi général sur l'IA n'a été déposé par le gouvernement.

L'AI Act européen, lui, s'applique par étapes depuis février 2025. Sa portée dépasse les frontières de l'Union : il vise aussi les fournisseurs établis hors de l'UE qui mettent un système sur le marché européen, ainsi que les fournisseurs et déployeurs hors UE lorsque les résultats du système sont utilisés dans l'Union. Une entreprise britannique qui sert des clients européens peut donc être concernée, même sans filiale sur le continent.

Trois situations typiques pour une entreprise britannique

1. Vous traitez des données de résidents européens. Le RGPD de l'UE peut s'appliquer en plus du UK GDPR, notamment si vous leur proposez des biens ou des services.

2. Vous intégrez de l'IA dans un produit vendu dans l'UE. L'AI Act peut vous viser comme fournisseur, avec des obligations qui dépendent du niveau de risque.

3. Vos équipes utilisent des assistants IA au quotidien. C'est le cas le plus fréquent et le plus négligé : des données clients, RH ou contractuelles partent chaque jour dans des prompts, souvent sans aucun contrôle.

Bonne nouvelle pour les flux de données : la Commission européenne a renouvelé en décembre 2025 ses décisions d'adéquation pour le Royaume-Uni, jusqu'en décembre 2031. Mais l'adéquation ne dit rien de ce que vos salariés envoient à un service d'IA hébergé ailleurs.

Un seul contrôle pour deux régimes

Plutôt que de gérer deux politiques séparées, beaucoup d'entreprises cherchent un contrôle qui fonctionne des deux côtés de la Manche. C'est le rôle d'une DLP pour l'IA comme ZeusLock, installée sur le poste ou dans le navigateur :

• elle détecte les données personnelles et sensibles dans les prompts et les fichiers, avant l'envoi ;

• elle les remplace par des valeurs fictives grâce à l'anonymisation préservant le format, avertit l'utilisateur ou bloque l'envoi selon la règle choisie ;

• elle journalise chaque incident, ce qui documente les mesures techniques appropriées exigées par le UK GDPR comme par le RGPD.

Pour comprendre comment une fuite se produit concrètement, lisez notre anatomie d'une fuite de données par IA. Côté européen, notre checklist Règlement IA et RGPD article 32 détaille les contrôles attendus. Pour chiffrer le risque, voyez le vrai coût de l'IA fantôme.

En résumé

Le Royaume-Uni assouplit certains points de son droit des données avec le Data (Use and Access) Act 2025 et reste sans loi générale sur l'IA. Mais le UK GDPR exige toujours sécurité et minimisation, l'autorité prépare un code sur l'IA, et l'AI Act européen s'applique dès que vos systèmes touchent le marché de l'UE. Contrôler les données à la source, dans le prompt, reste la manière la plus simple de satisfaire les deux régimes.

Vous opérez au Royaume-Uni et dans l'UE ? Demandez une démo de ZeusLock pour protéger vos données dans tous vos outils d'IA.