RGPD et IA : quand l’intérêt légitime peut encadrer l’usage des données

Une entreprise qui développe ou utilise un système d’intelligence artificielle peut-elle traiter des données personnelles sans demander l’accord préalable de chaque personne concernée ? La réponse est parfois oui, mais elle est loin d’être automatique. Le 17 décembre 2024, le Comité européen de la protection des données, ou EDPB, a apporté des précisions importantes sur l’usage de l’intérêt légitime pour les modèles d’IA.

Cette clarification était attendue par les entreprises technologiques, confrontées à une difficulté concrète : entraîner, tester et déployer des modèles peut nécessiter de grands volumes de données, parmi lesquelles se trouvent parfois des informations personnelles. L’avis européen ne crée pas un passe-droit pour l’intelligence artificielle. Il rappelle, au contraire, que le RGPD impose une analyse détaillée de chaque traitement, de son utilité réelle et de ses conséquences pour les personnes.

Une clarification européenne qui ne vaut pas permis général

L’avis adopté par l’EDPB répond à une demande de l’autorité irlandaise de protection des données. Il traite trois questions étroitement liées : les conditions dans lesquelles un modèle d’IA peut être considéré comme anonyme, la possibilité d’utiliser l’intérêt légitime pour développer ou déployer un modèle, et les conséquences possibles lorsque des données ont été traitées illégalement lors de la phase de développement.

Le message principal mérite d’être formulé avec précision : l’intérêt légitime peut constituer une base légale valable pour certains traitements de données personnelles liés à l’IA, mais l’entreprise doit pouvoir le démontrer. Elle ne peut pas simplement invoquer l’amélioration de son modèle ou l’innovation technologique pour écarter le consentement et poursuivre ses opérations.

L’EDPB n’a donc pas décidé que les concepteurs d’IA pouvaient collecter librement des données personnelles. Il a précisé comment appliquer les règles existantes du RGPD à des systèmes dont les usages et les risques sont souvent complexes. Les autorités nationales de protection des données conservent leur rôle de contrôle et apprécieront les situations au cas par cas.

L’intérêt légitime, une des six bases légales du RGPD

Applicable depuis le 25 mai 2018, le Règlement général sur la protection des données encadre tout traitement de données permettant d’identifier une personne, directement ou indirectement. Un nom n’est pas le seul élément concerné : un identifiant de compte, une adresse IP, une localisation ou une combinaison d’informations peuvent aussi constituer des données personnelles.

L’article 6 du RGPD prévoit six bases légales pour traiter ces données :

• le consentement de la personne ;
• l’exécution d’un contrat ;
• le respect d’une obligation légale ;
• la sauvegarde des intérêts vitaux ;
• l’exécution d’une mission d’intérêt public ;
• l’intérêt légitime poursuivi par le responsable du traitement ou par un tiers.

L’intérêt légitime se distingue du consentement. Il ne repose pas sur une case cochée ou sur une autorisation explicite. Il suppose que l’organisation poursuive un objectif réel, licite et suffisamment précis, tout en respectant les droits et libertés des personnes concernées.

Dans le domaine de l’IA, un intérêt commercial ou organisationnel peut, dans certaines circonstances, être reconnu comme légitime. Par exemple, une entreprise peut souhaiter améliorer la fiabilité d’un outil ou proposer un nouveau service. Mais l’existence d’un objectif économique ne suffit jamais à elle seule. Le traitement doit aussi être nécessaire et proportionné.

Le test en trois étapes exigé par le Comité européen

Pour savoir si l’intérêt légitime est mobilisable, l’EDPB rappelle une méthode en trois étapes cumulatives. Si l’une d’elles échoue, cette base légale ne peut pas justifier le traitement envisagé.

La première étape oblige à sortir des formulations vagues. « Améliorer l’IA » est rarement un objectif assez précis. L’entreprise doit expliquer ce qu’elle cherche à faire, pour quel service, avec quelles données et pendant combien de temps.

La nécessité est tout aussi importante. Un projet d’IA ne peut pas aspirer davantage de données au motif qu’un plus grand jeu de données est techniquement utile. Il faut se demander si des données moins nombreuses, moins détaillées, agrégées, synthétiques ou correctement anonymisées permettraient d’obtenir un résultat comparable. C’est l’application du principe de minimisation des données.

Enfin, la mise en balance impose d’examiner la situation depuis le point de vue des personnes. Les critères peuvent inclure la nature des informations utilisées, la manière dont elles ont été collectées, les attentes raisonnables des individus, l’ampleur du traitement, les risques de discrimination ou d’exclusion, ainsi que la vulnérabilité éventuelle de certains publics, notamment les mineurs.

Des mesures de protection peuvent peser dans cette balance : filtrage des données sensibles, pseudonymisation, accès restreint, durée de conservation limitée, mécanismes de sécurité, information claire ou possibilité effective de s’opposer au traitement. Elles ne dispensent toutefois pas de démontrer que le traitement était nécessaire dès le départ.

Un modèle d’IA est-il réellement anonyme ?

La question de l’anonymisation est centrale pour les modèles génératifs. Si une information est véritablement anonymisée, elle ne relève plus du RGPD, puisqu’elle ne permet plus d’identifier une personne. Mais atteindre ce niveau est plus exigeant qu’il n’y paraît.

L’EDPB souligne qu’un modèle d’IA ne peut être considéré comme anonyme que si l’identification, directe ou indirecte, des personnes dont les données ont servi à l’entraîner est très improbable, y compris en interrogeant le modèle. Il faut également que l’extraction de données personnelles à partir du modèle soit très improbable.

Cette appréciation dépend des moyens raisonnablement susceptibles d’être utilisés pour tenter une identification ou une extraction. Elle doit tenir compte de facteurs comme la probabilité d’un incident, les efforts nécessaires, les ressources disponibles et les évolutions technologiques prévisibles. Une simple affirmation selon laquelle les données brutes ont été supprimées ne suffit donc pas à démontrer que le modèle est anonyme.

Il faut aussi distinguer deux notions souvent confondues. La pseudonymisation remplace par exemple un nom par un identifiant. Elle réduit les risques, mais les données restent personnelles si une personne peut être retrouvée grâce à des informations complémentaires. L’anonymisation doit, elle, rendre cette identification irréaliste. Dans le premier cas, le RGPD continue de s’appliquer.

Consentement et intérêt légitime : deux logiques distinctes

Le consentement reste une base juridique importante, notamment lorsqu’une personne doit garder un contrôle direct sur l’usage de ses données. Mais il n’est pas obligatoire dans toutes les situations : le RGPD prévoit volontairement plusieurs bases légales. À l’inverse, choisir l’intérêt légitime ne signifie pas que l’entreprise échappe à ses obligations d’information ou à toute contestation possible.

Le responsable du traitement doit indiquer aux personnes, dans une information accessible, quelle base légale il utilise et pour quelles finalités. Lorsqu’il s’appuie sur l’intérêt légitime, il doit aussi présenter l’intérêt poursuivi. Les personnes disposent par ailleurs d’un droit d’opposition : elles peuvent s’opposer au traitement pour des raisons tenant à leur situation particulière. L’organisation doit alors cesser le traitement, sauf si elle démontre des motifs légitimes et impérieux qui prévalent sur les intérêts, droits et libertés de la personne.

Dans le cas particulier de données dites sensibles, comme celles qui révèlent la santé, les opinions politiques, les convictions religieuses ou l’origine raciale ou ethnique, les exigences sont renforcées. L’article 6 du RGPD ne suffit pas : une condition supplémentaire prévue par l’article 9 est en principe nécessaire.

Les obligations concrètes pour un projet d’IA

L’intérêt légitime s’inscrit dans un ensemble plus large d’obligations. Une entreprise qui l’invoque doit d’abord documenter son raisonnement. Cette analyse est souvent appelée évaluation de l’intérêt légitime. Elle doit pouvoir être expliquée et, si nécessaire, présentée à l’autorité de contrôle.

La CNIL, qui a publié en 2024 des recommandations sur le développement des systèmes d’IA, insiste notamment sur l’identification des finalités, la minimisation des données et l’anticipation des risques. Pour un projet sérieux, plusieurs questions doivent être traitées dès la conception :

• quelles données seront utilisées à chaque étape, de l’entraînement à l’usage quotidien du système ;
• d’où viennent-elles et les personnes pouvaient-elles raisonnablement s’attendre à cet usage ;
• qui agit comme responsable de traitement et qui intervient comme sous-traitant ;
• quelles mesures empêchent l’accès non autorisé, la mémorisation indue ou la divulgation de données ;
• comment les personnes seront-elles informées et comment pourront-elles exercer leurs droits.

Une analyse d’impact relative à la protection des données, souvent appelée AIPD ou EIPD, n’est pas mécaniquement imposée parce que l’intérêt légitime est invoqué. Elle devient en revanche obligatoire lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Compte tenu des volumes de données, du profilage possible ou de l’usage de catégories sensibles, de nombreux projets d’IA peuvent entrer dans ce champ.

La transparence ne se réduit pas à une longue politique de confidentialité. Elle suppose de présenter, dans un langage compréhensible, les catégories de données concernées, les finalités poursuivies, les garanties déployées et les moyens d’exercer ses droits. Cette information est particulièrement importante lorsque les données n’ont pas été obtenues directement auprès des personnes.

Pourquoi la conformité initiale compte aussi après l’entraînement

L’avis de l’EDPB attire également l’attention sur une question délicate : que se passe-t-il si un modèle a été développé à partir de données personnelles traitées illégalement ? Le fait que les données ne soient plus visibles dans un jeu de données d’entraînement ne règle pas automatiquement le problème.

L’autorité européenne indique que l’utilisation ultérieure du modèle doit être appréciée au regard de l’ensemble des circonstances. Les autorités de contrôle devront notamment considérer si les données personnelles restent présentes dans le modèle ou peuvent en être extraites, mais aussi les mesures prises par l’organisation pour limiter les conséquences de l’irrégularité initiale.

Pour les entreprises, la leçon est claire : la conformité ne doit pas être envisagée au moment où le produit est commercialisé, après plusieurs mois de développement. Elle commence dès la collecte des données, se poursuit durant l’entraînement, puis lors du déploiement et de la surveillance du système. Un défaut au début de la chaîne peut fragiliser tout le projet.

Ce qu’il faut surveiller

La clarification de décembre 2024 offre un cadre plus lisible, sans trancher à l’avance tous les cas d’usage. Elle peut faciliter certains projets d’IA lorsque le consentement serait difficile à recueillir ou inadapté, à condition que les entreprises assument pleinement la charge de la preuve et les garanties associées.

Le débat européen ne s’arrête pas au RGPD. Le règlement européen sur l’intelligence artificielle, l’AI Act, est entré en vigueur le 1er août 2024 et prévoit une mise en application progressive de ses dispositions. Il ne remplace pas le RGPD : les deux textes peuvent s’appliquer simultanément lorsqu’un système d’IA traite des données personnelles.

Les organisations devront donc suivre les décisions des autorités nationales, les futures lignes directrices européennes et les évolutions techniques qui modifient les risques de réidentification ou d’extraction de données. L’enjeu n’est pas seulement d’éviter les sanctions, qui peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé. Il s’agit aussi de bâtir des outils d’IA que les utilisateurs peuvent comprendre, contester si nécessaire et, surtout, utiliser avec confiance.