Le RGPD : un pilier de l’innovation responsable en Europe
Le RGPD, qui régit la collecte et le traitement des données personnelles depuis 2018, constitue un cadre juridique essentiel pour encadrer l’utilisation des technologies numériques en Europe. Depuis sa mise en place, il a permis de définir des règles harmonisées qui inspirent d’autres pays à travers le monde. En particulier, l’IA, avec son potentiel d’innovation et de compétitivité, peut s’épanouir en toute sécurité sous ce cadre, à condition que ses applications respectent les principes du RGPD.
Le Sommet pour l’action sur l’intelligence artificielle, organisé par la France en février 2025, met en lumière l’importance de l’IA pour les années à venir. La CNIL, consciente des défis juridiques et des enjeux de sécurité, poursuit son objectif de clarifier les règles et de favoriser l’innovation responsable, tout en protégeant les données des citoyens européens.
Des recommandations adaptées aux spécificités de l’IA
Bien que certains modèles d’IA soient conçus pour être anonymes et ne collectent pas de données personnelles, d’autres, comme les modèles de langage (LLM), peuvent contenir des informations sensibles. C’est dans ce contexte que le RGPD s’applique et doit être adapté aux spécificités des systèmes d’IA. Le Comité européen de la protection des données a récemment fourni des lignes directrices pour déterminer comment appliquer le RGPD aux modèles d’IA.
Ainsi, la CNIL a mis en avant plusieurs principes pour garantir la conformité de l’IA avec le RGPD. Par exemple, le principe de finalité [1] s’applique à l’IA à usage général, ce qui signifie que les opérateurs peuvent décrire les types de systèmes développés sans nécessairement préciser toutes les applications futures. De plus, la minimisation des données [2] n’empêche pas l’utilisation de grandes bases d’entraînement, tant que celles-ci sont nettoyées et optimisées. Le RGPD permet également une durée de conservation prolongée des données d’entraînement, sous réserve de mesures de sécurité appropriées.
Les nouvelles recommandations de la CNIL
Dans sa dernière mise à jour, la CNIL a publié deux nouvelles recommandations clés pour garantir une IA respectueuse des données personnelles :
- Information des personnes concernées : lorsque des données personnelles sont utilisées pour l’entraînement de modèles d’IA, les individus doivent être informés de cette utilisation. La CNIL précise que l’information peut être généralisée, notamment dans le cas des modèles d’IA à usage général, et peut inclure des informations sur les catégories de sources de données utilisées.
- Faciliter l’exercice des droits des individus : le RGPD offre des droits d’accès, de rectification, d’opposition et d’effacement des données personnelles. Cependant, l’application de ces droits dans le contexte de l’IA peut s’avérer complexe, en particulier lorsqu’il s’agit de retracer des données spécifiques dans un modèle ou de le modifier. La CNIL invite les acteurs du secteur à intégrer la protection de la vie privée dès la phase de conception des modèles. Des solutions comme l’anonymisation des données, lorsque possible, doivent être privilégiées. Par ailleurs, la CNIL souligne la nécessité de mettre en place des mécanismes pour empêcher la divulgation de données sensibles.
Les défis pratiques et les solutions innovantes
La CNIL reconnaît que dans certains cas, il peut être difficile d’exercer les droits en raison de la complexité des modèles d’IA. Elle appelle donc les créateurs de modèles à développer des solutions innovantes pour répondre aux demandes des utilisateurs, tout en respectant les limites pratiques et techniques. En cas de difficultés pratiques, la CNIL prendra en compte les efforts fournis par les acteurs pour se conformer aux exigences du RGPD et pourra adapter les délais de réponse.
La CNIL encourage également les professionnels à se tenir informés des évolutions rapides dans le domaine de la recherche scientifique et de l’IA, afin d’améliorer continuellement les mesures de protection des données personnelles.
À lire aussi sur le Village des Notaires et Experts du Patrimoine :
Notes :
[1] Le principe de finalité du RGPD stipule que les données personnelles doivent être collectées pour des objectifs spécifiques, légitimes et clairement définis, et ne peuvent être utilisées ultérieurement à d’autres fins sans le consentement de la personne concernée.
[2] Le principe de minimisation des données du RGPD impose que seules les données personnelles strictement nécessaires à la réalisation des finalités définies soient collectées et traitées.
Christian-Olivier Kajabika
Rédaction des Experts du Patrimoine (Village des Notaires)