IA et RGPD : ce que les recommandations de la CNIL changent pour les entreprises

L’intelligence artificielle n’est pas seulement une affaire de modèles, de calcul et de performances. Dès lors qu’un système analyse des CV, classe des demandes de crédit, personnalise une publicité, assiste un médecin ou exploite des échanges avec des clients, il peut aussi manipuler des informations sur des personnes. Nom, adresse électronique, voix, image, historique d’achat, données de localisation ou appréciation professionnelle : ces éléments peuvent relever des données personnelles et faire entrer le projet dans le champ du Règlement général sur la protection des données, le RGPD.

C’est dans ce contexte que la Commission nationale de l’informatique et des libertés, la CNIL, a publié le 8 avril 2024 ses premières recommandations consacrées au développement de systèmes d’intelligence artificielle respectueux du RGPD. L’objectif n’est pas de freiner l’innovation, mais de traduire des principes juridiques parfois abstraits en étapes concrètes pour les concepteurs, les entreprises, les administrations et leurs sous-traitants.

Pour le grand public, l’enjeu est immédiat : ces règles visent à ce qu’une IA ne transforme pas, par défaut, chaque interaction numérique en matière première exploitable sans limites. Pour les organisations, elles rappellent qu’un projet d’IA ne peut pas être traité comme un simple achat de logiciel ou une expérimentation technique sans conséquence.

Pourquoi le RGPD s’applique-t-il à l’intelligence artificielle ?

Le RGPD s’applique lorsqu’un traitement porte sur des données à caractère personnel, c’est-à-dire toute information se rapportant à une personne physique identifiée ou identifiable. Il ne réglemente donc pas l’IA en tant que technologie prise isolément. Un modèle qui travaille uniquement sur des données anonymes, ne permettant plus d’identifier une personne, ne soulève pas les mêmes obligations qu’un outil entraîné sur des dossiers clients ou connecté à une base de salariés.

Dans la pratique, les projets d’IA peuvent mobiliser des données personnelles à plusieurs moments : lors de la constitution d’un jeu de données, pendant l’entraînement ou le paramétrage d’un système, puis lors de son utilisation au quotidien. Un assistant conversationnel interne auquel les salariés confient des documents, par exemple, peut recevoir des noms, des coordonnées, des informations contractuelles ou des données sensibles sans que cela ait été anticipé.

Les secteurs de la santé, de la finance et du marketing, déjà fortement concernés par la circulation de données, illustrent bien cette difficulté. L’IA peut y automatiser des tâches utiles et améliorer l’analyse d’informations complexes. Mais elle peut aussi augmenter l’échelle, la vitesse et la durée de traitements auparavant plus limités. C’est précisément ce changement d’échelle qui rend les garanties de protection indispensables.

Les recommandations de la CNIL : partir du projet avant de choisir l’outil

Les recommandations publiées par la CNIL ne constituent pas une nouvelle loi. Elles fournissent une méthode et des repères pour interpréter le RGPD dans des situations liées à l’IA. Cette distinction compte : les obligations viennent du règlement européen, tandis que les documents de la CNIL aident les acteurs à les appliquer de façon cohérente.

Le point de départ proposé est simple en apparence, mais souvent négligé : déterminer clairement ce que le système doit accomplir. Une IA destinée à résumer des documents n’implique pas nécessairement les mêmes données, les mêmes risques ni les mêmes responsabilités qu’un système chargé de recommander des candidats à l’embauche.

La démarche peut être résumée ainsi :

Cette méthode oblige à considérer l’IA comme un ensemble : données d’entrée, modèle, interface, prestataires, personnes qui utilisent l’outil et conséquences des résultats produits. Une organisation qui ne documente que le fonctionnement technique du modèle, sans examiner les données qui l’alimentent et les décisions prises à partir de ses réponses, risque de manquer l’essentiel.

Le consentement est-il toujours obligatoire pour utiliser une IA ?

Non. Le consentement est un élément important de la protection des données, mais il n’est pas la seule base légale prévue par le RGPD. Selon le contexte, un traitement peut aussi être nécessaire à l’exécution d’un contrat, au respect d’une obligation légale, à une mission d’intérêt public ou, dans certaines conditions, à l’intérêt légitime de l’organisation qui traite les données.

Lorsqu’une entreprise demande le consentement, celui-ci ne peut toutefois pas être symbolique. Il doit être donné librement, de manière éclairée, pour une finalité déterminée et pouvoir être retiré. Un accord caché dans des conditions générales imprécises ne répond pas à cette exigence.

Cette nuance est particulièrement importante pour l’IA. Il ne suffit pas d’afficher une case à cocher pour rendre n’importe quel entraînement ou n’importe quelle exploitation de données légitime. Il faut d’abord se demander pourquoi les informations sont nécessaires, si le traitement est proportionné, si les personnes sont informées et si une autre solution moins intrusive est possible.

La transparence ne signifie pas nécessairement qu’il faut révéler chaque détail technique d’un algorithme. Elle exige en revanche que les personnes comprennent, dans des termes accessibles, qu’une IA traite leurs données, à quelles fins, quelles catégories d’informations sont concernées, quels sont les destinataires éventuels et quels droits elles peuvent exercer.

Minimiser les données, sécuriser les systèmes et tester les risques

L’un des principes les plus concrets rappelés par la CNIL est la minimisation des données. Une organisation ne doit collecter et utiliser que les informations adéquates, pertinentes et limitées à ce qui est nécessaire pour l’objectif fixé. L’abondance de données peut sembler séduisante pour améliorer un système d’IA, mais elle ne justifie pas une collecte sans rapport avec l’usage envisagé.

Concrètement, cela peut amener une équipe à retirer des champs inutiles d’un jeu de données, à privilégier des données anonymisées lorsqu’elles suffisent, à réduire une durée de conservation ou à empêcher que des conversations saisies dans un outil servent automatiquement à d’autres objectifs. Cette logique vaut aussi pour les phases de test : une démonstration technique ne donne pas carte blanche pour verser des fichiers clients, des dossiers de patients ou des documents de ressources humaines dans un environnement mal maîtrisé.

La sécurité est l’autre pilier du dispositif. Les données doivent être protégées contre les accès non autorisés, les pertes, les altérations et les fuites. Dans un projet d’IA, cette exigence concerne autant les bases de données que les comptes utilisateurs, les interfaces de programmation, les prestataires et les modalités d’hébergement. Une sécurité insuffisante peut exposer des informations personnelles, mais aussi rendre le système manipulable ou peu fiable.

Les recommandations encouragent également les tests et vérifications. Avant le déploiement, il convient d’identifier les erreurs possibles, les usages imprévus et les effets indésirables. Quand un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, une analyse d’impact relative à la protection des données, souvent appelée AIPD, peut être requise. Elle sert à évaluer les risques et à définir les mesures permettant de les réduire.

Ce que cela implique pour les entreprises et les administrations

Pour une organisation, les recommandations de la CNIL invitent à intégrer la protection des données dès la conception du projet, et non à la fin d’un déploiement déjà engagé. Cette approche, dite de protection des données dès la conception, suppose un dialogue entre les équipes techniques, les responsables métier, la direction juridique, les experts de la sécurité et, lorsqu’il existe, le délégué à la protection des données.

Cela peut modifier les habitudes. Une équipe ne devrait pas seulement comparer la précision ou le coût d’un outil d’IA. Elle doit aussi vérifier quelles données il reçoit, où celles-ci sont traitées, quelle documentation le fournisseur fournit, quelles garanties contractuelles existent et comment les personnes seront informées. La répartition des rôles est décisive : celui qui détermine les finalités et les moyens essentiels d’un traitement n’a pas les mêmes obligations qu’un prestataire exécutant des instructions documentées.

Le résultat attendu n’est pas une bureaucratie supplémentaire pour elle-même. En documentant les choix réalisés, les organisations sont mieux placées pour démontrer leur conformité, répondre aux demandes des personnes et corriger un problème. Elles peuvent aussi instaurer une règle simple pour les salariés : ne pas transmettre dans un service d’IA non validé des informations internes ou personnelles qui n’ont pas à s’y trouver.

Que changent ces principes pour les citoyens ?

Pour les utilisateurs, les recommandations ne créent pas de nouveaux droits individuels. Elles visent plutôt à rendre effectifs les droits déjà prévus par le RGPD. Une personne peut notamment demander des informations sur l’usage de ses données, solliciter l’accès à celles-ci, demander leur rectification dans certaines situations, s’opposer à certains traitements ou demander l’effacement lorsque les conditions sont réunies.

L’intelligence artificielle rend toutefois ces droits plus difficiles à exercer si les organisations ne sont pas transparentes. Un client doit pouvoir savoir si ses échanges avec un service après-vente alimentent un outil automatisé. Un salarié doit être informé si un dispositif d’IA contribue à l’évaluation de son activité. Un candidat doit pouvoir comprendre si des outils automatisés interviennent dans le traitement de sa candidature.

Il faut aussi éviter une promesse excessive : le respect du RGPD ne garantit pas à lui seul qu’une IA est exacte, neutre ou socialement souhaitable. La protection des données est une composante essentielle d’une IA responsable, mais elle ne résout pas tous les sujets liés aux biais, à la qualité des résultats, à l’explicabilité ou à l’impact sur l’emploi. Elle impose en revanche une discipline utile : savoir quelles données sont utilisées, pourquoi, par qui et avec quelles protections.

Ce qu’il faut surveiller

Les premières recommandations de la CNIL constituent une étape dans un cadre européen en évolution. Les cas d’usage de l’IA sont très différents, depuis l’outil de rédaction jusqu’au système qui peut influencer un accès à un service, à un emploi ou à un crédit. Les garanties attendues doivent donc être adaptées au niveau de risque et aux données réellement traitées.

Dans les mois à venir, les organisations auront intérêt à suivre trois points : l’évolution des recommandations de la CNIL, l’articulation entre les règles de protection des données et les futurs cadres spécifiques à l’IA, ainsi que les pratiques de leurs fournisseurs. La question centrale restera la même : une innovation est-elle conçue pour apporter un service déterminé, avec des données strictement nécessaires et des responsabilités identifiées ?

Pour le public, ce cadre peut contribuer à une relation plus exigeante, mais aussi plus sereine, avec l’IA. La confiance ne repose pas sur l’idée qu’une technologie serait infaillible. Elle se construit lorsque les usages sont compréhensibles, que les informations personnelles ne sont pas détournées de leur objectif et que les organisations peuvent rendre des comptes.