L'Australie a publié le 31 août 2026 un projet de loi constituant une deuxième grande étape de réforme du Privacy Act. Le texte propose un critère de traitement loyal et raisonnable des informations personnelles, un consentement renforcé, un droit à l'effacement dans certaines situations et des restrictions sur le commerce d'informations personnelles sans autorisation claire. Le gouvernement relie explicitement ce paquet aux risques liés à l'intelligence artificielle et aux appareils gourmands en données, comme les lunettes connectées et les véhicules connectés.
La consultation reste ouverte jusqu'au 18 septembre. Le projet n'est pas une loi en vigueur. Cette précision est essentielle: les organisations ne sont pas encore soumises à une nouvelle obligation issue de ce texte, mais elles peuvent comprendre l'orientation et les attentes probatoires envisagées par le gouvernement.
Ce que propose le gouvernement australien
Le communiqué de l'Attorney-General présente quatre mesures principales:
- un critère de traitement loyal et raisonnable visant la collecte excessive ou les usages inattendus d'informations personnelles;
- un droit à l'effacement permettant de demander à certaines grandes plateformes numériques de détruire des informations personnelles;
- des normes de consentement plus fortes, fondées sur un choix éclairé plutôt que sur des clauses cachées ou une acceptation imposée; et
- des restrictions sur l'achat et la vente d'informations personnelles sans autorisation claire, notamment les centres d'intérêt, les habitudes d'achat et les données de localisation.
Le paquet de consultation dépasse le seul domaine de l'IA. Il traite du droit de la vie privée dans l'ensemble des services et technologies numériques. L'IA est concernée parce que de nombreux systèmes collectent, déduisent, combinent ou utilisent des informations personnelles à grande échelle. Le gouvernement cite les véhicules connectés et les lunettes connectées comme exemples de technologies capables de collecter et traiter des informations en continu.
La proposition succède à la réforme de 2024. Des obligations de transparence concernant les décisions automatisées, issues de cette loi antérieure, doivent s'appliquer le 10 décembre 2026. Le nouveau projet est une consultation distincte et ne doit pas être présenté comme ayant déjà étendu ces obligations.
Pourquoi le critère loyal et raisonnable compte pour l'IA
Le consentement seul peut constituer un contrôle faible lorsqu'un service s'appuie sur une longue notice de confidentialité ou regroupe plusieurs finalités dans un seul choix. Le critère proposé imposerait une appréciation plus objective de la collecte, de l'utilisation et de la divulgation des informations personnelles.
Selon l'analyse de l'IAPP, les organisations devraient considérer la sensibilité, les attentes raisonnables, les préjudices prévisibles et la proportionnalité de la pratique à sa finalité. Pour un système d'IA, l'évaluation devrait couvrir toute la chaîne opérationnelle:
| Question de contrôle | Preuve à conserver |
|---|---|
| Quelles informations personnelles entrent dans le système? | inventaire, source, classification et contexte de collecte |
| Que déduit ou produit le modèle? | catégories de sortie, évaluations et limites connues |
| Quelle finalité autorise l'usage? | description de la finalité, analyse juridique et décision produit |
| Qui reçoit les données ou les résultats? | sous-traitants, outils, destinataires et traces de transfert |
| L'usage peut-il changer? | version du modèle, changement de prompt ou de politique et déclencheur de révision |
| Une personne peut-elle exercer un droit? | procédure, vérification d'identité, exceptions et preuve d'exécution |
Cette approche est particulièrement importante pour les agents. Un agent peut extraire des informations personnelles, les combiner avec d'autres sources, décider d'une action et transmettre le résultat à un autre système. Un registre qui décrit seulement le modèle omet les outils, les données connectées et les effets externes.
Ce que les équipes peuvent faire pendant la consultation
Les organisations peuvent se préparer sans prétendre que le projet est définitif. Une revue de préparation peut rester explicitement provisoire:
- Inventorier les flux de données de l'IA. Recenser modèles, agents, dépôts, outils connectés, catégories d'informations personnelles, destinataires et responsables.
- Séparer collecte et inférence. Documenter ce que la personne a fourni et ce que le système a déduit, noté ou généré.
- Tester les attentes raisonnables. Demander si une personne s'attendrait à cet usage précis dans ce contexte, pas seulement si une notice mentionne l'IA.
- Relier le consentement à la finalité. Conserver la notice exacte, le choix, la portée, la date et la voie de retrait.
- Concevoir les procédures d'effacement. Identifier copies, données dérivées, entrées de modèle, journaux, sauvegardes, sous-traitants et exceptions licites.
- Versionner l'évaluation. La rouvrir lorsque changent les sources, modèles, outils, finalités ou destinataires.
Le guide d'inventaire des systèmes d'IA de Maetra relie systèmes, responsables et accès aux données. La liste de contrôle des preuves de conformité de l'IA structure exigences, contrôles, preuves et actualité.
Ce qui reste incertain
La consultation peut évoluer avant la présentation d'un texte au Parlement. La portée finale, les définitions, les exceptions, les modalités d'application et les périodes de transition ne peuvent pas être déduites du seul communiqué. Le gouvernement sollicite les entités réglementées, la société civile, le monde universitaire et d'autres parties sur le fonctionnement pratique des mesures.
Le droit à l'effacement proposé ne signifie pas non plus que chaque dossier devra toujours être supprimé. Une obligation finale dépendrait du texte adopté, des organisations et données couvertes ainsi que des exceptions. La même prudence vaut pour le consentement et les restrictions sur le commerce de données.
Analyse de Maetra
Le signal opérationnel dépasse un appel général à améliorer la confidentialité. Le projet pointe vers des preuves capables de résister à une revue objective: un flux de données connu, une finalité définie, un usage proportionné, un responsable identifié et un mécanisme fonctionnel pour les droits individuels.
Pour les agents d'IA, ce dossier devrait aussi couvrir les capacités et les effets. Les équipes doivent savoir quel agent a accédé à quelles données, pour quelle tâche, quel outil il a appelé, ce qui a quitté le système et quelle version de politique a encadré l'action. Ces preuves soutiennent la revue actuelle et faciliteront le mapping de futures règles sans reconstruire le système après coup.