Hors collection - Droit de l'intelligence artificielle - 1re - 41

CHAPITRE 2 - PROBLÉMATIQUES JURIDIQUES MAJEURES
41
L'intelligence artificielle (IA) est entraînée à partir de volumineuses bases d'information susceptibles
de contenir des données à caractère personnelles (noms, photos, vidéos, etc.). Ensuite, lors de leur
déploiement, les systèmes d'IA (SIA) interagissent avec des utilisateurs qui les nourrissent également
en données personnelles.
Or, les données personnelles, en droit européen et français, sont protégées par le RGPD27
.
En France, la CNIL est compétente pour s'assurer que la protection des données personnelles est bien
respectée lors de la conception et l'usage des SIA. La Commission peut vérifier leur conformité au
RGPD : détermination d'une finalité identifiée, proportionnalité de la collecte, sécurité des données,
etc.
La CNIL considère que l'application du RGPD à l'IA ne présente pas de difficultés : « Selon certains,
les principes de finalité, de minimisation, de conservation limitée et de réutilisation restreinte résultant
du RGPD freineraient voire empêcheraient certaines recherches ou applications de l'intelligence
artificielle. La CNIL répond à ces objections, en confirmant la compatibilité des recherches et développements
en IA avec le RGPD, à condition de ne pas franchir certaines lignes rouges et de respecter
certaines conditions28
».
Cependant, cette analyse n'est pas toujours partagée. En France, le rapport de la Commission de
l'Intelligence Artificielle, de mars 2024, souligne des « contraintes excessives liées à leur utilisation qui
entravent la pleine exploitation de l'IA ».
Comment trouver un équilibre entre ces exigences afin de favoriser le développement de l'IA tout en
assurant une protection des données personnelles ?
A. Les risques de l'IA pour la vie privée
Les SIA peuvent amplifier certains risques relatifs aux données à caractère personnel, par exemple en
facilitant la création de fausses informations, en multipliant les processus de décisions entièrement
automatisés ou en permettant de nouvelles formes de suivi et de surveillance des individus.
La volumétrie et l'évolutivité des bases de données peuvent entraver la transparence du traitement et
la vérification du consentement préalable de l'utilisateur.
Outre les biais liés au développement des SIA, les risques d'usage malveillant existent également à
partir de deepfakes, de cyberattaques automatisées ou d'attaques d'ingénierie sociale avancées29
.
Des solutions techniques existent pour limiter l'usage de données personnelles dans les SIA. Par
exemple, les bases de données d'entraînement peuvent être pseudonymisées. Le « désapprentissage
machine » supprime certaines informations, tout en préservant la performance de l'algorithme. Le
déploiement local de modèles, sur les terminaux des utilisateurs, permet également de protéger des
données par défaut.
27. Règlement nº 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des
données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive nº 95/46/CE.
28. Intelligence artificielle : La CNIL dévoile ses premières réponses pour une IA innovante, CNIL, 11 oct. 2023.
29. Marcellin S., « Cybersécurité et intelligence artificielle - le paradoxe juridique », Village de la Justice, 12 sept. 2024.

Hors collection - Droit de l'intelligence artificielle - 1re

Table des matières de la publication Hors collection - Droit de l'intelligence artificielle - 1re