EdTech, e-learning et plateformes scolaires

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 8
• Regulation (EU) 2024/1689 — AI Act, Annex III education
• Directive 2002/58/EC — ePrivacy
• Regulation (EU) 2022/2065 — DSA where content is hosted

Qui doit le désigner

Fournisseurs établis en dehors de l'Union offrant des plateformes d'apprentissage, des outils d'évaluation ou des logiciels de classe aux écoles, universités ou apprenants dans l'UE. Les écoles sont généralement des responsables du traitement et le fournisseur un sous-traitant, mais les fournisseurs qui utilisent des données pour l'amélioration des produits ou la publicité deviennent responsables du traitement à ces fins et ont besoin de leur propre représentant.

Seuils et exemptions

Pas de seuil RGPD. En vertu de la loi sur l'IA, les systèmes utilisés pour déterminer l'accès à l'éducation, évaluer les résultats d'apprentissage, attribuer des étudiants ou surveiller des comportements interdits pendant les tests sont considérés comme à haut risque en vertu de l'annexe III, avec des obligations s'appliquant à partir du 2 août 2026.

Ce qui doit figurer sur l’étiquette

L'identité du représentant dans l'avis de confidentialité et dans la documentation contractuelle fournie aux écoles. Lorsque l'IA est utilisée pour l'évaluation, les informations de transparence requises par la loi sur l'IA, et la divulgation aux apprenants qu'ils interagissent avec un système d'IA.

Champs des marketplaces

Les marchés publics dans l'éducation sont où cela est appliqué en pratique : les ministères et les autorités scolaires dans plusieurs États membres ont bloqué ou restreint des plateformes en raison de transferts, de télémétrie et de publicité, et les questionnaires d'approvisionnement demandent désormais le représentant, l'analyse des transferts et la classification de l'IA.

Documents à conserver

Documents de l'article 30, termes de traitement de l'article 28 avec les écoles, désignation de l'article 27, une évaluation d'impact sur la protection des données couvrant les données des enfants, documentation sur les mécanismes de transfert, et une séparation claire entre les données traitées sur les instructions de l'école et les données utilisées à des fins propres au fournisseur. Pour l'IA à haut risque : documentation technique, gestion des risques, gouvernance des données et évaluation de la conformité.

Normes et essais

Non applicable à la plateforme, mais les systèmes de surveillance soulèvent des problèmes d'exactitude et de discrimination qui doivent être prouvés, et la loi sur l'IA exige que les niveaux d'exactitude, de robustesse et de cybersécurité soient déclarés et testés.

Exigences linguistiques

Informations sur la confidentialité sous une forme que les enfants peuvent comprendre, dans la langue des apprenants, ce que l'article 12 exige explicitement pour les informations adressées à un enfant.

À partir de quand

Le représentant avant le début du traitement. Obligations à haut risque de la loi sur l'IA à partir du 2 août 2026.

Durée de conservation

Données des apprenants uniquement pour la période convenue avec l'école, avec suppression à la résiliation. La conservation des données après la fin d'un contrat pour l'amélioration des produits est une constatation récurrente.

En cas de manquement

Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires, et c'est un secteur où les autorités ont agi de manière décisive car les personnes concernées sont des enfants et le consentement n'est pas librement donné dans une salle de classe. Des pénalités de la loi sur l'IA s'appliquent en plus pour les systèmes à haut risque, jusqu'à 15 millions d'euros ou 3 %.

Qui contrôle

Autorités de protection des données, ministères de l'éducation en tant que décideurs en matière d'approvisionnement, et autorités de surveillance du marché de la loi sur l'IA à partir de 2026.

Où se situe la limite

La ligne entre le sous-traitant et le responsable du traitement est où les cas sont perdus : la télémétrie, l'analyse de produit et toute publicité font du fournisseur un responsable du traitement à ces fins, indépendamment de l'accord de traitement. La surveillance qui suit le visage d'un étudiant, la pièce ou les frappes au clavier est une IA à haut risque et, dans certaines conceptions, un système de reconnaissance des émotions, qui est interdit dans l'éducation en vertu de l'article 5.

Les questions qu’on nous pose

L'école est le responsable du traitement — avons-nous toujours besoin d'un représentant ?

Si vous traitez des données personnelles d'apprenants dans l'Union en tant que sous-traitant en vertu de l'article 3(2), vous avez besoin de votre propre représentant. Et pour toute finalité que vous déterminez vous-même, vous êtes un responsable du traitement.

La surveillance par IA est-elle autorisée ?

La surveillance pendant les tests est à haut risque en vertu de l'annexe III. Les systèmes inférant des émotions dans des contextes éducatifs sont strictement interdits en vertu de l'article 5, donc la conception détermine si elle est réglementée ou interdite.