Clarification de la CNIL sur la Base du RGPD pour la Formation de l’IA
La récente orientation de la CNIL concernant l’application de l’intérêt légitime comme base légale pour la formation des modèles d’intelligence artificielle (IA) sous le Règlement Général sur la Protection des Données (RGPD) apporte une clarté bienvenue sur une question contestée : l’utilisation de données personnelles extraites de sources publiques.
Bien que significative, cette clarification ne constitue qu’une partie d’un ensemble complexe de questions réglementaires entourant la formation conforme des modèles d’IA. La CNIL reconnaît que son avis n’est pas harmonisé à travers l’UE, et que d’autres questions juridiques et stratégiques demeurent en suspens.
Ce que Clarifie l’Orientation de la CNIL – Et Ce qu’elle Laisse Ouvert
La CNIL affirme que la formation de modèles d’IA sur des données personnelles provenant de contenus publics peut être légale, sous réserve de certaines conditions. Ces conditions nécessitent un équilibre crédible des intérêts, des garanties démontrables, et une documentation claire.
Parmi les points clés de clarification, on trouve :
- Le scraping web peut être permis, à condition de respecter les attentes de confidentialité contextuelles. Le scraping ne doit pas avoir lieu là où les sites l’interdisent activement (par exemple, via robots.txt), ou sur des plateformes destinées aux mineurs.
- L’utilisation de données à grande échelle n’est pas intrinsèquement illégale. La CNIL reconnaît que de grands ensembles de données peuvent être nécessaires pour un développement efficace de l’IA.
- Le bénéfice pour l’utilisateur final peut favoriser le contrôleur dans l’évaluation de l’intérêt légitime. Les améliorations en précision, fiabilité ou fonctionnalité peuvent légitimement peser en faveur du traitement, sous réserve d’une évaluation équilibrée et bien documentée.
- Le risque de régurgitation doit être abordé, mais pas éliminé. La CNIL s’attend à des preuves de mitigation, telles que le filtrage rapide et l’exclusion des entrées à haut risque.
- Les droits des personnes concernées peuvent être respectés indirectement. Des alternatives comme le filtrage des sorties ou la conception d’audits peuvent être acceptables.
- La documentation doit être préparée au moment de la formation. La planification de l’évaluation de l’intérêt légitime et de la mitigation devrait être complète avant le début de la formation du modèle d’IA.
- Les évaluations d’impact sur la protection des données (DPIA) peuvent toujours être attendues, notamment lorsque la formation implique des données à grande échelle ou des catégories spéciales de données.
Comparaison avec d’Autres Régulateurs
Bien que l’orientation de la CNIL soit la plus structurée à ce jour, d’autres autorités de protection des données opèrent avec des niveaux de clarté et d’accentuation variés :
- Le Royaume-Uni a reconnu que les règles existantes du RGPD pourraient suffire à justifier la formation de l’IA, mais n’a pas fourni de directives détaillées sur les contextes acceptables.
- La Commission irlandaise de protection des données et la CNIL italienne se sont concentrées principalement sur l’exécution en phase de déploiement.
- Une approche cohérente à l’échelle de l’UE reste absente. Les entreprises doivent naviguer à travers des attentes multiples en fonction de l’endroit où leurs modèles sont formés ou déployés.
Le Paysage Général : Incertitude Juridique au-delà du RGPD
Bien que l’orientation de la CNIL offre une position défendable sur le RGPD pour la formation des modèles, elle ne résout pas d’autres restrictions légales qui limitent la viabilité des systèmes d’IA, en particulier dans des contextes commerciaux.
- La loi sur le copyright et la loi sur les bases de données restent contraignantes. Le contenu accessible au public peut encore être protégé.
- Les termes contractuels restreignent l’accès et la réutilisation. De nombreuses plateformes interdisent le scraping ou la réutilisation commerciale de leur contenu.
- Le déploiement en aval introduit de nouvelles couches. Les obligations de conformité de la Loi sur l’IA, de la Loi sur les services numériques, et de la Loi britannique sur la sécurité en ligne ne sont pas résolues par l’alignement au stade de formation du RGPD.
Priorités Opérationnelles et Positionnement Juridique
Pour les équipes juridiques, de confidentialité et de produits naviguant dans ces régimes superposés, les priorités ne consistent pas à réinventer la gouvernance, mais à appliquer un jugement structuré à des moments clés. Cela inclut :
- Utiliser l’orientation de la CNIL pour renforcer la gouvernance de la confidentialité existante.
- La conformité au stade de formation ne permet pas l’utilisation commerciale.
- Le déploiement reste une couche de conformité distincte.
- Travailler de manière transversale et efficace en connectant les équipes juridiques, de confidentialité, de produits et d’ingénierie.
- Assigner une responsabilité interne claire pour relier les décisions de formation du modèle à la documentation de confidentialité sous-jacente.
- Planifier l’inconsistance et documenter tout.
Malgré cette clarté, les organisations devraient résister à l’idée de considérer la conformité au stade de formation du RGPD comme un problème résolu. L’interprétation variera selon les États membres, et l’exécution se concentrera probablement sur les résultats globaux, en particulier dans les cas d’utilisation sensibles.
Une position bien documentée sur le RGPD, ancrée dans l’orientation de la CNIL, reste un outil clé pour gérer la conformité à grande échelle en matière d’IA.
