IA et RGPD : protéger les données personnelles quand on utilise l'IA
L’intelligence artificielle vit de données, et une grande partie d’entre elles concerne des personnes. Dès lors qu’un projet d’IA traite des données personnelles, le règlement général sur la protection des données, ou RGPD, s’applique. Entré en application le 25 mai 2018, il n’a pas été écrit pour l’IA, mais ses principes s’y appliquent pleinement. Voici l’essentiel à connaître, que l’on utilise un assistant au quotidien ou que l’on participe à la conception d’un système.
Qu’est-ce qu’une donnée personnelle ?
Est une donnée personnelle toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement : un nom, bien sûr, mais aussi une adresse e-mail, un numéro de client, une voix, une photo, une adresse IP ou un ensemble d’informations qui, croisées, permettent de reconnaître quelqu’un.
Certaines données sont dites sensibles et bénéficient d’une protection renforcée : santé, opinions politiques, convictions religieuses, orientation sexuelle, origine ethnique, données biométriques servant à identifier une personne, entre autres. Leur traitement est en principe interdit, sauf exceptions prévues par le texte.
Les grands principes appliqués à l’IA
| Principe | Ce qu’il implique pour un projet d’IA |
|---|---|
| Finalité | définir précisément à quoi servira le système avant de collecter les données |
| Base légale | s’appuyer sur l’une des bases prévues : consentement, contrat, obligation légale, intérêt légitime, etc. |
| Minimisation | n’utiliser que les données nécessaires, pas « tout ce qui est disponible » |
| Exactitude | veiller à la qualité des données, ce qui limite aussi les biais |
| Limitation de conservation | fixer une durée de conservation adaptée |
| Sécurité | protéger les données contre les fuites et les accès non autorisés |
| Transparence | informer les personnes de manière claire |
La réutilisation de données collectées pour une autre finalité, par exemple pour entraîner un modèle, doit être compatible avec la finalité initiale ou reposer sur une nouvelle base légale. C’est un point souvent sous-estimé.
Les droits des personnes
Les personnes dont les données sont traitées disposent de droits : accès, rectification, effacement, opposition, limitation, portabilité. Leur exercice peut être techniquement délicat lorsque les données ont servi à entraîner un modèle, ce qui impose d’y réfléchir dès la conception.
Le RGPD prévoit aussi, dans son article 22, le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, lorsqu’elle produit des effets juridiques ou affecte la personne de manière significative, sauf exceptions encadrées. C’est particulièrement important pour le recrutement, le crédit ou l’assurance. Notre article sur l’IA dans les ressources humaines illustre cet enjeu.
L’analyse d’impact
Lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, le RGPD impose une analyse d’impact relative à la protection des données (AIPD) avant sa mise en œuvre. Beaucoup de projets d’IA reposant sur des données à grande échelle, sensibles ou sur une évaluation des personnes y sont soumis. La CNIL publie des listes de traitements pour lesquels une telle analyse est requise, ainsi que des recommandations spécifiques au développement des systèmes d’IA.
Au quotidien : utiliser un assistant sans risque
Pour la plupart des salariés, la question n’est pas de concevoir une IA, mais d’en utiliser une. Les bons réflexes :
- Ne pas copier de données personnelles de clients, de patients ou de collègues dans un outil non validé par l’entreprise.
- Anonymiser ou pseudonymiser autant que possible avant de soumettre un texte : remplacer les noms, supprimer les identifiants.
- Vérifier les paramètres de l’outil : certains services peuvent réutiliser les conversations pour améliorer leurs modèles, d’autres non, selon l’offre et la configuration.
- Se référer au délégué à la protection des données (DPO) de l’organisation en cas de doute.
Ces réflexes complètent les bonnes pratiques présentées dans notre article sur les assistants IA au bureau.
RGPD et AI Act : deux textes complémentaires
Le règlement européen sur l’intelligence artificielle ne remplace pas le RGPD : les deux s’appliquent en parallèle. Le RGPD protège les données personnelles, quel que soit l’outil utilisé ; l’AI Act encadre les systèmes d’IA eux-mêmes selon leur niveau de risque, qu’ils traitent ou non des données personnelles. Un projet d’IA à haut risque utilisant des données personnelles doit respecter les deux. Pour l’AI Act, consultez notre article dédié.
Les sanctions
En cas de manquement, la CNIL peut prononcer des sanctions, y compris financières, dont le plafond prévu par le RGPD peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Au-delà des amendes, l’atteinte à la confiance des clients et des salariés est souvent le risque le plus coûteux.
Pourquoi se former
La protection des données est un critère de qualité à vérifier dans toute formation à l’IA, et un sujet de formation en soi pour les personnes qui pilotent des projets. Notre réflexion sur l’éthique de l’IA prolonge ces questions.
En résumé
Dès qu’un usage de l’IA touche des données personnelles, le RGPD s’applique : finalité définie, base légale, minimisation, information et droits des personnes, analyse d’impact si le risque est élevé. Au quotidien, la règle d’or est simple : ne confier à un outil que les données que l’on a le droit de lui confier.
Cet article peut contenir des liens partenaires. Ils n'influencent jamais ce que nous écrivons.