Nick Clegg critique les lenteurs de l’Europe sur l’accès à l’intelligence artificielle

À la veille de 2025, la bataille européenne de l’intelligence artificielle ne se joue pas uniquement dans les laboratoires, les centres de données ou les jeunes pousses technologiques. Elle se joue aussi dans les décisions des autorités chargées de fixer les règles. Nick Clegg, président des affaires mondiales de Meta, résume la frustration d’une partie de l’industrie : « Les régulateurs européens progressent lentement sur l’accès à l’intelligence artificielle. »

Cette critique vise d’abord une question très concrète pour les entreprises qui développent des systèmes d’IA : dans quelles conditions peuvent-elles utiliser des données personnelles, y compris des contenus publiés en ligne, pour entraîner ou faire fonctionner leurs modèles ? La réponse ne se limite pas à un texte unique. Elle dépend du Règlement général sur la protection des données, ou RGPD, des positions des autorités nationales et européennes, ainsi que du nouveau règlement européen sur l’IA, l’AI Act.

L’enjeu dépasse le seul cas de Meta. Les entreprises européennes, les laboratoires, les hôpitaux et les administrations ont besoin de règles compréhensibles pour investir, tester et déployer des outils utiles. Mais cette demande de clarté se heurte à une autre exigence : empêcher que la course à l’innovation ne se fasse au détriment de la vie privée, de la sécurité ou des droits fondamentaux.

Une critique centrée sur la clarté des règles

La formule de Nick Clegg ne signifie pas que l’Europe serait dépourvue de cadre juridique. Au contraire, le continent dispose déjà de règles particulièrement structurantes, à commencer par le RGPD, applicable depuis 2018. Ce texte encadre toute utilisation de données à caractère personnel, qu’elle soit réalisée par une plateforme sociale, un acteur de la santé, une banque ou un éditeur de logiciels.

Le problème soulevé par Meta est celui de l’interprétation et du calendrier. Les grands modèles d’IA nécessitent d’importants volumes de données pour apprendre à reconnaître des structures dans des textes, des images, du son ou d’autres contenus. Lorsque ces ensembles comprennent des informations personnelles, les entreprises doivent savoir sur quelle base juridique elles peuvent s’appuyer, quelles garanties elles doivent mettre en place et dans quels cas les personnes peuvent s’opposer au traitement.

Les contenus accessibles publiquement en ligne ne deviennent pas, pour autant, librement exploitables. Un message, une image ou un commentaire peut rester une donnée personnelle s’il permet d’identifier directement ou indirectement une personne. Le fait qu’un utilisateur ait partagé un contenu ne dispense donc pas l’entreprise qui le traite de respecter le RGPD.

Pour les plateformes, l’incertitude peut conduire à retarder un service, à limiter ses fonctionnalités dans certains pays ou à modifier ses pratiques d’entraînement. Pour les utilisateurs et les associations de défense des droits, cette prudence est aussi un garde-fou : elle évite que des données soient réemployées dans des systèmes complexes sans information suffisante ni possibilité réelle de contrôle.

AI Act, RGPD, EDPB : qui décide de quoi ?

Une partie de la confusion tient à la coexistence de plusieurs niveaux de réglementation. L’AI Act et le RGPD poursuivent des objectifs complémentaires, mais ils ne répondent pas exactement aux mêmes questions.

Le premier organise une approche fondée sur les risques liés aux systèmes d’IA. Il impose notamment des obligations accrues aux usages considérés comme à haut risque et prévoit des obligations pour les modèles d’IA à usage général. Le second protège les données personnelles et encadre leurs traitements, quel que soit l’outil technique employé.

L’AI Act ne remplace donc pas le RGPD. Une entreprise qui respecte les futures règles propres à l’IA doit toujours pouvoir démontrer que ses traitements de données personnelles sont licites. Inversement, une entreprise conforme au RGPD devra aussi tenir compte des nouvelles obligations de l’AI Act selon le type de système qu’elle développe ou utilise.

Cette superposition est l’une des raisons pour lesquelles les demandes de clarification se multiplient. Les entreprises cherchent à éviter deux écueils : engager des dépenses sur un projet qui serait ensuite bloqué, ou renoncer trop tôt à des innovations pourtant compatibles avec le droit si elles sont conçues avec les bonnes protections.

Ce que l’avis de l’EDPB apporte, et ce qu’il ne tranche pas

Le Comité européen de la protection des données, souvent désigné par son sigle anglais EDPB, a adopté le 17 décembre 2024 un avis sur certains aspects de la protection des données liés aux modèles d’IA. Cet avis avait été demandé par l’autorité irlandaise de protection des données, un interlocuteur important pour plusieurs grandes plateformes établies en Irlande.

Le Comité traite trois sujets centraux. D’abord, il s’intéresse à la possibilité de considérer un modèle comme anonyme. Il ne suffit pas d’affirmer qu’un modèle ne contient plus de données personnelles : l’évaluation doit être menée au cas par cas, en tenant compte notamment du risque que des informations sur des personnes puissent être extraites ou réidentifiées.

Ensuite, l’avis précise que l’intérêt légitime peut, dans certaines situations, constituer une base juridique pour traiter des données personnelles dans le cadre du développement et du déploiement de modèles d’IA. Mais cette possibilité est conditionnelle. L’organisation doit poursuivre un intérêt réel et licite, montrer que le traitement est nécessaire, puis vérifier que les droits et libertés des personnes ne l’emportent pas sur cet intérêt.

Enfin, le Comité examine les conséquences possibles lorsqu’un modèle a été développé à partir de données personnelles traitées de façon illicite. Là encore, il n’instaure pas de réponse automatique. Les autorités doivent évaluer les circonstances concrètes du dossier et les mesures prises par l’organisation concernée.

C’est précisément cette logique au cas par cas qui nourrit la critique de Nick Clegg. Les entreprises espèrent des réponses opérationnelles facilement transposables à leurs produits. Le régulateur, lui, rappelle que les risques peuvent varier fortement selon la nature des données, le modèle, l’usage prévu, les garanties techniques et les possibilités offertes aux personnes concernées.

L’accès à l’IA est aussi un enjeu de compétitivité

La lenteur dénoncée par Meta intervient dans un contexte de forte inquiétude sur la capacité de l’Union européenne à rester compétitive face aux États-Unis et à la Chine. Le rapport publié par Mario Draghi sur l’avenir de la compétitivité européenne a mis en lumière les difficultés du continent à combler son retard en matière d’innovation, d’investissements et de productivité.

L’intelligence artificielle est devenue un facteur de compétitivité parce qu’elle peut améliorer l’analyse de documents, l’assistance aux clients, la programmation, la recherche scientifique ou l’automatisation de certaines tâches administratives. Si les entreprises ne savent pas quelles solutions elles peuvent déployer, elles peuvent être tentées de retarder leurs investissements ou de réserver certains produits à d’autres marchés.

Il serait toutefois réducteur d’opposer mécaniquement innovation et protection. Des règles prévisibles peuvent aussi constituer un avantage économique. Elles permettent aux entreprises de bâtir des produits plus fiables, de rassurer leurs clients et de réduire le risque de devoir modifier dans l’urgence un service déjà commercialisé.

Le véritable défi consiste donc moins à supprimer les garde-fous qu’à rendre les décisions plus lisibles, plus cohérentes entre les États membres et suffisamment rapides pour suivre l’évolution technologique. Emmanuel Macron comme Ursula von der Leyen ont affiché l’ambition de faire de l’Europe un acteur majeur de l’IA. Cette ambition suppose à la fois des moyens d’investissement, des compétences, des infrastructures et un cadre juridique praticable.

Pourquoi la prudence reste indispensable dans les secteurs sensibles

L’appel à accélérer ne doit pas faire oublier les limites actuelles des systèmes d’IA. Les modèles génératifs peuvent produire des informations erronées, inventer des références ou formuler avec assurance une réponse inexacte. Ces erreurs, souvent appelées hallucinations, sont particulièrement préoccupantes lorsque l’outil intervient dans un environnement à fort enjeu.

Dans la santé, par exemple, l’IA peut aider à organiser des informations, à assister certains travaux de recherche ou à améliorer des processus administratifs. Mais un système mal conçu, mal entraîné ou utilisé sans supervision humaine peut créer des risques pour les patients. La qualité des données, la validation clinique, la sécurité informatique, la transparence et la responsabilité des professionnels restent déterminantes.

Le même raisonnement vaut pour la publicité numérique et les services en ligne. Les outils d’IA peuvent faciliter le ciblage, la modération ou la personnalisation, mais ils soulèvent des interrogations sur l’utilisation des données, les biais potentiels, la transparence des décisions automatisées et la concentration du marché. Les questions de concurrence et de protection des données ne sont pas des obstacles périphériques : elles définissent les conditions dans lesquelles l’innovation est acceptée par la société.

Comment les entreprises peuvent avancer malgré l’incertitude

En attendant l’application progressive de l’AI Act et de nouvelles précisions des autorités, les organisations ne sont pas condamnées à l’immobilisme. Elles peuvent préparer leurs projets en intégrant la conformité dès la conception, plutôt que de la traiter comme une formalité finale.

Quelques principes sont particulièrement utiles :

• identifier les données utilisées par un projet et vérifier si elles sont personnelles, sensibles ou soumises à d’autres droits ;
• documenter la finalité du système, son fonctionnement général, ses limites et les mesures de réduction des risques ;
• évaluer la base juridique de chaque traitement de données et les droits des personnes concernées ;
• tester les résultats du modèle dans des conditions réalistes, notamment pour repérer les erreurs, les biais et les usages détournés ;
• maintenir une supervision humaine lorsque les décisions peuvent avoir un effet important sur les personnes.

Ces précautions ne garantissent pas à elles seules la conformité. Elles donnent néanmoins aux entreprises une base solide pour dialoguer avec leurs conseils, leurs délégués à la protection des données, leurs clients et, si nécessaire, les autorités compétentes.

Ce qu’il faut surveiller en 2025 et au-delà

Au 20 décembre 2024, l’Europe se trouve dans une phase de transition. L’AI Act est entré en vigueur, mais l’essentiel de ses obligations ne s’applique pas encore. Le 2 février 2025, certaines pratiques d’IA interdites par le règlement doivent commencer à s’appliquer. Le 2 août 2025, plusieurs dispositions, dont celles relatives aux modèles d’IA à usage général, sont appelées à entrer en application. Une large partie des règles s’appliquera ensuite le 2 août 2026, tandis que certaines obligations concernant des systèmes à haut risque suivront un calendrier plus tardif.

L’enjeu sera de voir si cette montée en charge apporte la prévisibilité réclamée par les entreprises sans affaiblir les protections attendues par les citoyens. L’avis de l’EDPB constitue une étape importante, mais il ne fait pas disparaître la nécessité d’analyses concrètes ni le rôle des autorités nationales.

La critique de Nick Clegg traduit ainsi une tension durable : l’Europe veut encourager l’adoption de l’IA et préserver sa souveraineté technologique, tout en refusant de considérer la protection des personnes comme une variable d’ajustement. Sa capacité à concilier ces deux objectifs dépendra autant de la clarté des règles que de la rapidité avec laquelle elles seront interprétées et appliquées.