IA et données personnelles : pourquoi la protection ne peut être négociée

L’intelligence artificielle ne se développe pas dans le vide. Pour apprendre à reconnaître une image, résumer un texte, recommander un contenu ou détecter une situation inhabituelle, elle s’appuie sur d’immenses volumes d’informations. Or ces données peuvent décrire des personnes réelles : leurs visages, leurs publications, leurs comportements, leurs préférences ou leurs déplacements. À mesure que ces outils se diffusent, une question devient centrale : jusqu’où peut-on exploiter ces données sans porter atteinte aux droits des individus ?

Pour Marie-Laure Denis, présidente de la Commission nationale de l’informatique et des libertés (CNIL), l’innovation en matière d’IA ne peut reposer sur un compromis avec la protection des données personnelles. La position est importante : la confiance des citoyens dans les services numériques dépend autant de leur utilité que de la façon dont ils collectent, utilisent et sécurisent les informations les concernant.

L’IA a besoin de données, mais pas de toutes les données

Les modèles d’intelligence artificielle sont entraînés à partir d’exemples. Un modèle de langage analyse des textes pour repérer les régularités de la langue. Un outil de vision par ordinateur apprend à partir d’images. Un système de recommandation observe des interactions, comme les contenus consultés ou les préférences exprimées.

Cette logique technique ne donne toutefois pas un droit illimité à la collecte. Dans le droit européen, une donnée personnelle est toute information se rapportant à une personne identifiée ou identifiable. Il peut s’agir d’un nom et d’une adresse électronique, mais aussi d’une photo, d’une voix, d’une adresse IP, d’une localisation ou d’éléments qui, recoupés, permettent de reconnaître quelqu’un.

Le principe essentiel est simple : une donnée visible publiquement n’est pas pour autant libre de tout usage. Une photo partagée sur un réseau social peut être accessible à tous, tout en restant une donnée personnelle. Sa récupération massive, son analyse et son intégration à une base d’entraînement changent profondément l’usage initial envisagé par la personne qui l’a publiée.

Le Règlement général sur la protection des données, ou RGPD, impose notamment plusieurs garde-fous :

• une finalité déterminée, explicite et légitime ;
• une base juridique pour chaque traitement ;
• la minimisation des données, c’est-à-dire la collecte de ce qui est réellement nécessaire ;
• une information claire des personnes concernées ;
• des mesures de sécurité adaptées ;
• le respect des droits d’accès, d’effacement, d’opposition et, selon les cas, de rectification.

Pourquoi les données d’entraînement posent-elles un défi particulier ?

L’entraînement d’une IA se distingue d’un usage numérique ordinaire par son ampleur. Les jeux de données peuvent contenir des millions, voire des milliards d’éléments. Dès lors, informer chaque personne, recueillir des données pertinentes, limiter les informations sensibles et permettre l’exercice des droits deviennent des opérations complexes, sans cesser d’être nécessaires.

Le risque ne se limite pas à une fuite de données. Un modèle peut produire des résultats biaisés si les données qui l’ont alimenté sont déséquilibrées. Dans des domaines sensibles, comme l’emploi, les services publics, l’assurance ou le logement, une décision ou une recommandation algorithmique peut amplifier des discriminations existantes si sa conception n’est pas rigoureusement contrôlée.

La protection des données a aussi une dimension de sécurité. Plus une entreprise centralise d’informations détaillées sur ses utilisateurs, plus les conséquences d’un accès non autorisé ou d’une fuite peuvent être importantes. Réduire les données collectées, limiter leur durée de conservation et encadrer les accès sont donc des choix de prudence, mais aussi de responsabilité.

Enfin, les données personnelles constituent un actif stratégique. Une plateforme qui détient une masse considérable de contenus et d’interactions peut disposer d’un avantage pour entraîner ses modèles. C’est pourquoi le débat ne porte pas uniquement sur la vie privée : il concerne aussi l’équilibre concurrentiel entre les acteurs du numérique.

Meta, Clearview AI : deux débats révélateurs

En 2024, Meta a souhaité utiliser, en Europe, certains contenus publics publiés par des adultes sur Facebook et Instagram, ainsi que les interactions avec ses fonctions d’IA, afin d’entraîner et d’améliorer ses modèles. L’entreprise s’est appuyée sur la notion d’intérêt légitime et a prévu un mécanisme d’opposition pour les utilisateurs.

Cette démarche a suscité des interrogations parmi les autorités de protection des données, notamment en Irlande, où se trouve l’autorité chef de file de Meta dans l’Union européenne. En juin 2024, Meta a annoncé reporter le déploiement de ce projet en Europe à la demande de cette autorité. Le dossier illustre un enjeu majeur : même lorsqu’une plateforme estime disposer d’une base légale, elle doit démontrer que les intérêts et libertés des personnes ne sont pas indûment affectés.

Le cas de Clearview AI est encore plus parlant. Cette société a constitué une base de reconnaissance faciale à partir d’images récupérées sur des sites et réseaux sociaux accessibles en ligne. La CNIL a considéré que la collecte et l’utilisation de ces images ne respectaient pas le cadre européen. En octobre 2022, elle a prononcé une sanction de 20 millions d’euros, assortie d’une injonction de cesser la collecte et l’utilisation des données de personnes résidant en France sans base légale, puis de supprimer les données déjà collectées.

La différence entre un contenu simplement accessible et une donnée réutilisable à grande échelle est donc déterminante.

Le RGPD et l’AI Act : deux cadres complémentaires

Le RGPD s’applique dès lors qu’un traitement concerne des données personnelles. Il ne cible pas exclusivement l’intelligence artificielle : il encadre l’ensemble des traitements de données dans l’Union européenne. Un système d’IA qui utilise des informations personnelles doit donc respecter ses principes, de la collecte jusqu’à la conservation et à la sécurité.

L’AI Act, le règlement européen sur l’intelligence artificielle entré en vigueur le 1er août 2024, poursuit une autre finalité. Il classe certains usages de l’IA selon leur niveau de risque et impose des obligations renforcées pour les systèmes susceptibles d’affecter les droits fondamentaux, la santé, la sécurité ou l’accès à des services essentiels.

Leurs champs se recoupent parfois, sans se confondre :

Pour les organisations, la conséquence est claire : respecter le RGPD ne dispense pas de prendre en compte les obligations propres à l’AI Act. À l’inverse, annoncer un système d’IA fiable ne permet pas d’écarter les exigences liées à la vie privée.

Les services publics et le travail exigent une vigilance accrue

L’usage d’algorithmes dans les administrations ou au travail mérite une attention particulière, car les personnes concernées ne sont pas toujours en position de refuser facilement le dispositif. Une erreur, un biais ou une opacité dans le fonctionnement d’un outil peut avoir des effets concrets : un contrôle renforcé, une orientation administrative défavorable, une sélection de candidature contestable ou une surveillance disproportionnée.

Marie-Laure Denis appelle ainsi à une régulation proactive, qui n’intervient pas seulement après un dommage. Cette approche suppose d’évaluer les systèmes avant leur déploiement, de documenter leur fonctionnement, de tester leurs effets et de prévoir une supervision humaine réelle, en particulier lorsque les décisions ont des conséquences significatives.

La vidéosurveillance algorithmique expérimentée dans le cadre des Jeux olympiques et paralympiques de Paris 2024 constitue un cas d’école. Autorisée à titre expérimental par la loi, elle vise à détecter automatiquement certaines situations ou certains événements prédéfinis dans les images, comme des mouvements de foule ou l’abandon d’un objet. Elle ne doit pas servir à l’identification biométrique des personnes ni à la reconnaissance faciale.

L’expérimentation est prévue jusqu’au 31 mars 2025. Avant toute éventuelle prolongation ou généralisation, son bilan devra examiner son efficacité réelle, ses conditions d’utilisation et ses effets sur les libertés publiques. Tester une technologie ne suffit pas à justifier sa pérennisation.

Ce que les entreprises doivent mettre en place dès la conception

La protection de la vie privée ne doit pas être ajoutée au dernier moment, une fois le modèle entraîné ou le produit lancé. Le principe de protection des données dès la conception invite au contraire à intégrer les garde-fous dans les choix techniques et organisationnels initiaux.

Pour un projet d’IA, cela peut signifier :

• identifier précisément les données nécessaires et écarter les informations superflues ;
• vérifier l’origine des jeux de données et les conditions de leur réutilisation ;
• distinguer les données anonymisées des données seulement pseudonymisées, qui peuvent encore permettre de retrouver une personne ;
• mettre en place des procédures simples pour informer les utilisateurs et traiter leurs demandes ;
• sécuriser les données, les modèles et les accès internes ;
• réaliser, lorsque le risque le justifie, une analyse d’impact relative à la protection des données.

L’anonymisation est souvent présentée comme une réponse évidente, mais elle demande de la rigueur. Retirer un nom ne suffit pas nécessairement : des combinaisons d’informations peuvent parfois permettre de réidentifier une personne. Les entreprises doivent donc apprécier le risque concret de réidentification au lieu de considérer toute donnée modifiée comme inoffensive.

La transparence est tout aussi importante. Les personnes doivent comprendre quelles catégories de données sont utilisées, dans quel but, sur quelle base juridique et comment elles peuvent exercer leurs droits. Une politique illisible ou un formulaire d’opposition difficile à trouver ne répond pas à l’esprit de cette exigence.

Ce qu’il faut surveiller

À la date de publication, le débat sur les données d’entraînement ne fait que commencer. Les décisions des autorités de protection des données, les choix des grandes plateformes et la mise en œuvre progressive de l’AI Act contribueront à définir les limites concrètes de l’économie de l’IA en Europe.

L’enjeu dépasse la conformité juridique. Une entreprise qui néglige les droits de ses utilisateurs s’expose à des sanctions, mais aussi à une perte de confiance durable. À l’inverse, une IA conçue avec des données pertinentes, une information claire et des mécanismes de contrôle solides peut constituer un avantage auprès du public.

L’Europe ne pose donc pas une alternative simpliste entre innovation et protection. Elle défend l’idée que l’innovation ne vaut que si elle reste compatible avec la dignité, l’autonomie et les droits fondamentaux des personnes. Dans un secteur où la course aux données est intense, cette exigence pourrait devenir l’une des conditions essentielles d’une IA acceptée et durable.