RGPD et intelligence artificielle : la CNIL veut concilier innovation et vie privée

L’intelligence artificielle est souvent présentée comme une technologie avide de données, tandis que le Règlement général sur la protection des données, ou RGPD, est parfois décrit comme une contrainte susceptible de freiner les projets numériques. La Commission nationale de l’informatique et des libertés, la CNIL, défend une position plus nuancée. Dans une communication du 11 octobre 2023, l’autorité française rappelle qu’il est possible de développer des systèmes d’IA utiles et compétitifs tout en protégeant la vie privée.

L’enjeu dépasse largement les seules entreprises technologiques. Les administrations, les établissements de santé, les chercheurs et les entreprises de tous secteurs s’intéressent à l’IA pour automatiser certaines tâches, analyser des informations ou assister des décisions. Or, dès qu’un projet mobilise des informations se rapportant à des personnes identifiées ou identifiables, les règles du RGPD entrent en jeu. La question n’est donc pas de choisir entre innovation et protection des données, mais de concevoir des usages compatibles avec les deux exigences.

Pourquoi l’IA soulève-t-elle des questions de données personnelles ?

Le Parlement européen décrit l’intelligence artificielle comme une technologie capable de simuler certaines capacités humaines, telles que le raisonnement ou la créativité. Cette définition recouvre des outils très différents : systèmes de recommandation, logiciels d’analyse, assistants conversationnels, outils de détection ou modèles capables de produire du texte et des images.

Pour fonctionner, beaucoup de ces systèmes sont entraînés, testés ou utilisés à partir de données. Toutes ces données ne sont pas nécessairement personnelles. Des relevés météo agrégés ou des mesures industrielles anonymes, par exemple, ne permettent pas en principe d’identifier une personne. En revanche, un nom, une adresse électronique, une photographie, un historique de navigation, une donnée de localisation ou un dossier contenant des informations sur une personne peuvent relever du RGPD.

Il faut aussi distinguer anonymisation et pseudonymisation. Une donnée véritablement anonymisée ne permet plus d’identifier quelqu’un, même par recoupement raisonnable avec d’autres informations. Une donnée pseudonymisée, dont le nom a été remplacé par un identifiant, peut en revanche rester une donnée personnelle si une ré-identification demeure possible. Cette distinction est déterminante pour les projets d’IA qui manipulent de grands ensembles de données.

La CNIL veut donner un cadre plus lisible aux organisations

La multiplication des projets d’IA s’accompagne d’interrogations concrètes. Les entreprises redoutent parfois que les obligations de protection des données empêchent l’entraînement de modèles sur des corpus importants. Les organismes publics cherchent à savoir dans quelles conditions ils peuvent utiliser ces outils. Dans le secteur de la santé, où les données peuvent être particulièrement sensibles, le besoin de sécurité juridique est encore plus marqué.

Pour répondre à cette attente, la CNIL a lancé au début de 2023 un plan d’action consacré à l’intelligence artificielle. Celui-ci comprend la création d’un service dédié et la publication de fiches pratiques. L’objectif est d’aider les acteurs concernés à interpréter des principes juridiques généraux dans des situations techniques nouvelles.

Cette démarche est importante car le RGPD repose sur des principes formulés pour rester applicables malgré l’évolution des outils. Il n’énumère pas une liste fermée de technologies autorisées ou interdites. Il impose plutôt aux responsables de traitement de justifier ce qu’ils font, de limiter les données utilisées, d’informer les personnes concernées et de mettre en place des garanties appropriées.

La CNIL ne présente donc pas la conformité comme une formalité administrative à ajouter une fois le système construit. Elle invite plutôt à intégrer la protection des données dès la conception du projet. Cela suppose notamment d’identifier la fonction réelle de l’outil, les catégories de données nécessaires, les personnes qui pourront y accéder et la durée pendant laquelle les informations seront conservées.

Quels principes du RGPD peuvent s’appliquer à l’IA ?

La communication de la CNIL insiste sur plusieurs principes du RGPD parfois considérés, à tort, comme incompatibles avec les besoins des systèmes d’IA. Le message central est qu’ils demandent une analyse adaptée, et non l’abandon des projets.

Définir une finalité, même pour un système évolutif

Le principe de finalité veut que les données soient collectées pour un objectif précis. Avec l’IA, la difficulté vient du fait que les systèmes peuvent avoir des usages multiples ou que leurs performances sont explorées au fil du développement. La CNIL admet qu’une certaine flexibilité est nécessaire, mais elle fixe une condition : les fonctions envisagées doivent être clairement définies dès la conception.

Concrètement, un organisme ne peut pas se contenter d’accumuler des données en se disant qu’une IA leur trouvera peut-être une utilité plus tard. Il doit pouvoir expliquer la fonction du système, par exemple assister la recherche dans une base documentaire, analyser un type de document ou produire une recommandation dans un cadre donné. Cette clarification protège les personnes concernées et aide aussi l’organisation à délimiter son projet.

La minimisation n’interdit pas les grands jeux de données

Le principe de minimisation demande que les données soient adéquates, pertinentes et limitées à ce qui est nécessaire. Il ne signifie pas qu’un modèle d’IA doit nécessairement s’entraîner sur un volume réduit de données. Certains systèmes nécessitent de vastes corpus pour repérer des régularités ou améliorer leur fiabilité.

La CNIL souligne toutefois que l’ampleur d’une base n’exonère pas d’une sélection réfléchie. La question à poser n’est pas seulement « combien de données ? », mais aussi « quelles données et pourquoi ? ». Des informations sans rapport avec la fonction du système, trop détaillées ou conservées par habitude peuvent accroître les risques pour les personnes sans apporter de bénéfice démontré au projet.

Conserver les données assez longtemps, mais pas sans limite

L’entraînement et l’amélioration d’un système d’IA peuvent se dérouler sur une période longue. La CNIL reconnaît ainsi que des durées de conservation prolongées peuvent être pertinentes pour des bases de données utilisées à cette fin. Cette possibilité ne vaut pas autorisation de conservation illimitée.

Une durée doit rester justifiée par l’objectif du traitement. Les organisations doivent donc s’interroger sur la nécessité de conserver les données brutes, sur l’éventuelle possibilité de les supprimer ou de les anonymiser, et sur les conditions d’accès pendant toute la période de conservation. Cette discipline réduit notamment les conséquences possibles d’un accès non autorisé ou d’une utilisation détournée.

Réutiliser des bases existantes sous conditions

L’IA conduit fréquemment à envisager une seconde vie pour des bases de données constituées à l’origine pour une autre mission. La CNIL indique que cette réutilisation peut être possible, mais seulement après deux vérifications essentielles : la collecte initiale devait être légale, et la nouvelle finalité doit être compatible avec celle qui avait justifié la collecte.

Cette approche évite deux écueils. Elle ne bloque pas automatiquement l’exploitation de ressources existantes, ce qui peut être utile à l’innovation. Mais elle interdit aussi de considérer qu’une base légalement constituée peut être affectée sans examen à n’importe quel projet d’IA. La conformité dépend du contexte, de la nature des informations et de la finalité réellement poursuivie.

La protection des données peut-elle devenir un avantage ?

Pour la CNIL, le respect du RGPD ne doit pas être vu comme une opposition mécanique à l’innovation. Il peut constituer un facteur de confiance. Une personne acceptera plus facilement qu’un système traite ses informations si elle comprend l’objectif poursuivi, si l’usage paraît proportionné et si des garanties existent contre les abus.

Cette confiance est un sujet particulièrement important pour les usages susceptibles d’avoir des conséquences concrètes dans la vie quotidienne : accès à un service, évaluation d’une situation, orientation vers une démarche ou traitement d’informations sensibles. L’IA ne doit pas rendre les décisions plus opaques parce que ses mécanismes techniques sont complexes. Les obligations de protection des données invitent au contraire les organisations à documenter leurs choix et à anticiper les risques.

Au-delà des quatre principes mis en avant par la CNIL, les projets qui traitent des données personnelles doivent aussi s’inscrire dans le cadre général du RGPD. Cela recouvre notamment la licéité du traitement, la sécurité des données, la transparence à l’égard des personnes et le respect de leurs droits. Ces exigences ne se remplacent pas les unes les autres : la pertinence d’un jeu de données ne dispense pas de protéger son accès, pas plus qu’une mesure de sécurité ne rend acceptable une finalité mal définie.

Un futur règlement européen appelé à compléter le RGPD

Le débat ne se limite pas au droit des données personnelles. Le 21 avril 2021, la Commission européenne a présenté une proposition de règlement visant à établir des règles harmonisées pour l’intelligence artificielle dans l’Union européenne. Ce futur texte, souvent appelé AI Act, doit compléter le RGPD, et non s’y substituer.

La logique est différente mais complémentaire. Le RGPD protège les personnes lorsqu’il y a traitement de données personnelles. Le projet de règlement sur l’IA vise plus largement certains risques associés aux systèmes d’IA, y compris dans des situations où les données personnelles ne sont pas au centre du sujet. Il prévoit une approche graduée selon le niveau de risque des usages.

Au 6 novembre 2023, ce cadre européen est encore en cours d’élaboration. Les organisations qui développent ou déploient de l’IA ne peuvent donc pas attendre sa version définitive pour se préoccuper des données. Le RGPD est déjà applicable et la CNIL entend fournir des repères pour le respecter dans les cas d’usage actuels.

Ce qu’il faut surveiller pour une IA de confiance

La position de la CNIL dessine une ligne claire : l’IA n’est ni une zone de non-droit, ni une technologie que le RGPD rendrait impraticable. Les projets les plus solides seront ceux qui peuvent démontrer l’utilité du système, la pertinence des données retenues et les garanties prévues pour les personnes.

Les prochaines clarifications de la CNIL, les retours d’expérience des entreprises et des administrations, ainsi que l’aboutissement des négociations européennes sur le futur règlement relatif à l’IA seront donc décisifs. Pour les citoyens, le critère essentiel restera concret : savoir qui utilise leurs données, dans quel but, pendant combien de temps et avec quelles protections.

Cette exigence de transparence ne relève pas seulement de la conformité juridique. Elle conditionne l’acceptabilité sociale de l’intelligence artificielle. À mesure que ces outils s’installent dans les services publics, le travail, la santé ou les usages numériques quotidiens, l’équilibre défendu par la CNIL entre capacité d’innovation et respect des droits individuels devient un enjeu central.