IA et RGPD : les recommandations de la CNIL

Article RGPD Minute RGPD

Avec l’essor des systèmes d’intelligence artificielle (IA), notamment des IA génératives, de nombreux acteurs se posent la question de leur conformité au Règlement Général sur la Protection des Données (RGPD). La CNIL, consciente des enjeux liés à l’utilisation de l’IA et de la protection des données personnelles, a lancé en mai 2023 son “plan IA” pour clarifier le cadre juridique et accompagner les acteurs dans la mise en conformité de leurs systèmes.

La récente publication de recommandations par la CNIL vise à aider les professionnels à concilier innovation et respect des droits des personnes, en s’appuyant sur des principes clairs et adaptés aux réalités technologiques et juridiques.

Les recommandations

Pour aider à un usage responsable et conforme des systèmes d’IA, la CNIL a publié une première série de recommandations portant sur plusieurs aspects essentiels :

Détermination du régime juridique applicable : Identifier si le RGPD s’applique à un système d’IA en fonction du type de données traitées et des acteurs impliqués.
Définition de la finalité : Chaque traitement de données doit avoir une finalité déterminée, explicite et légitime.
Qualification des acteurs : Clarifier les rôles des responsables de traitement et des sous-traitants pour assurer la bonne application des obligations du RGPD.
Base légale du traitement : Identifier la base juridique appropriée (consentement, obligation légale, exécution d’un contrat, intérêt légitime, etc.).
Tests et vérifications : Lors de la réutilisation de données, des tests doivent être réalisés pour s’assurer de leur conformité.
Analyse d’impact (AIPD) : Une évaluation approfondie des risques pour la protection des données doit être menée dans certains cas.
Protection des données par défaut et par conception : L’intégration des principes de minimisation des données et de sécurisation doit être prise en compte dès la conception du système.
Gestion de la collecte et de l’utilisation des données : Les données doivent être collectées et traitées de manière conforme, avec des mesures de protection adaptées.

Ces recommandations ont été élaborées en concertation avec les acteurs de l’écosystème IA lors d’une consultation publique, afin de répondre au mieux aux réalités des usages et aux besoins des professionnels.

Les prochaines étapes

La CNIL ne compte pas s’arrêter à ces premières recommandations. D’autres travaux sont prévus pour apporter des clarifications supplémentaires sur des sujets clés :

La base légale de l’intérêt légitime dans le cadre de l’IA
La gestion des droits des personnes concernées
L’information des utilisateurs
L’annotation des données et la sécurisation des systèmes d’IA

Ces nouvelles recommandations seront, elles aussi, soumises à une consultation publique afin d’assurer qu’elles répondent aux besoins des différents acteurs impliqués.

L’IA et le RGPD ne sont pas incompatibles. Bien au contraire, une approche responsable et éthique de l’IA permettra de renforcer la confiance du public et de favoriser l’innovation dans un cadre sécurisé et conforme aux valeurs européennes.