Naviguer entre la protection des données et la réglementation de l’IA
Les données sont le carburant qui alimente l’intelligence artificielle (IA). Sans données, il n’y a pas grand-chose pour que les systèmes d’IA soient intelligents.
Les versions UK et EU du Règlement Général sur la Protection des Données (RGPD) s’appliquent à tous les secteurs. Elles s’étendent potentiellement bien au-delà du Royaume-Uni et de l’UE. Les organisations qui exploitent un système d’IA pour traiter des données personnelles devront probablement se conformer au RGPD ou à d’autres lois applicables en matière de protection des données. Les violations peuvent entraîner d’énormes amendes. En 2023, l’autorité de protection des données italienne a commencé son enquête sur OpenAI, le créateur de ChatGPT, ce qui a abouti à une amende de 15 millions d’euros pour violation des obligations du RGPD concernant l’utilisation des données personnelles pour former son modèle.
Les règles de protection des données : Sur la liste de surveillance réglementaire
Pour aider les entreprises à se conformer, le Bureau du Commissaire à l’Information (ICO) du Royaume-Uni et le Comité Européen de la Protection des Données ont publié une série de documents d’orientation. Évolutifs, ils offrent un certain soutien aux entreprises dans leur interprétation des lois existantes et dans leurs préparatifs pour la législation à venir.
Les directives de l’ICO abordent les Évaluations d’Impact sur la Protection des Données (DPIA), qui permettent d’analyser les flux de données et la logique pour identifier les préjudices allocatifs et représentationnels. Cela peut inclure l’utilisation d’un outil d’IA dans le recrutement qui discrimine sur la base du genre.
« Les organisations ne peuvent pas simplement se retirer de la boîte noire de l’IA et dire qu’elles n’ont ‘aucune idée de ce qui s’y passe' », déclare un partenaire d’un cabinet d’avocats. « Elles doivent être capables d’expliquer, de manière transparente, comment les décisions et les résultats de l’IA sont générés ; les inférences faites par le système d’IA ; comment de nouvelles données personnelles sont créées, et les droits de l’individu sur les données modifiées. Cela peut être vraiment difficile à faire. »
Un associé superviseur souligne que comprendre les flux de données de l’IA et garantir la transparence sont cruciaux pour la conformité et l’innovation. Les entreprises doivent être proactives pour relever ces défis afin de bâtir la confiance et de répondre à leurs exigences réglementaires.
De nouveaux concepts de soutien émergent. Le RGPD identifie déjà les “intérêts légitimes” comme une base légale sous laquelle une entreprise peut utiliser des données personnelles. Toute entreprise qui s’appuie sur cette base doit évaluer et équilibrer les avantages de l’utilisation des données personnelles par rapport aux droits et libertés de l’individu. Cela peut être à la fois complexe et incertain.
Maintenant, le concept d’intérêts légitimes reconnus est proposé dans le Projet de Loi sur les Données (Utilisation et Accès) du Royaume-Uni, actuellement en discussion au parlement. Cela pourrait apporter une clarté utile pour identifier les situations où les entreprises peuvent s’appuyer sur les intérêts légitimes pour le traitement des données. Parmi les exemples proposés figure l’utilisation de l’IA pour aider à protéger les personnes vulnérables.
« Cependant, plus le contrôleur de données est éloigné de la source de données d’origine, moins il sera probable qu’il puisse s’appuyer sur le fondement des intérêts légitimes. En d’autres termes, cela est le plus susceptible d’être disponible en relation avec des données personnelles collectées directement auprès de l’individu, et le moins probable lorsque les données personnelles sont obtenues à partir de sources publiques », explique un partenaire.
La Loi sur l’IA de l’UE : un changement de jeu mondial
L’IA, tout comme Internet, le cloud et d’autres innovations technologiques précédentes, est soumise à des règles et des réglementations qui sont technologiquement neutres et visent tous les aspects de la société. Elles incluent des lois sur la vie privée des données, la législation anti-discrimination, les règles de propriété intellectuelle et les obligations de responsabilité.
Cependant, l’influence de l’IA est si monumentale qu’elle a sa propre législation spécifique à la technologie. La Loi sur l’IA de l’UE est entrée en vigueur en août 2023, avec un impact potentiel en dehors de l’UE. C’est la première collection complète de lois spécifiques à l’IA au monde. Elle a une application intersectorielle, une approche claire basée sur le risque, et des amendes lourdes, pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial, pour les violations.
Une addition de dernière minute à la législation, due à l’essor irrépressible de ChatGPT après son lancement en novembre 2022, est le système d’IA à usage général (GPAI). Les règles GPAI entreront en vigueur ce mois d’août.
Un partenaire spécialisé en technologie reconnaît les défis de « tenter de légiférer sur une technologie qui se développe à un rythme qui semble plus rapide que de nombreux types de technologies qui l’ont précédée ». Il cite une note d’orientation post-application de 140 pages sur la définition des systèmes d’IA prohibés, ce qui, dit-il, est « indicatif des défis et de l’environnement complexe dans lequel nous essayons de travailler. »
Dans le domaine de l’IA, il observe que l’environnement contractuel actuel est favorable aux fournisseurs d’IA. « Les fournisseurs restreignent leurs responsabilités aux obligations contractuelles les plus étroites. Autant que possible, ils tentent de transférer les risques légaux et financiers aux acheteurs, et fourniront des engagements minimes, le cas échéant, en rapport avec la Loi sur l’IA de l’UE ou le RGPD. »
Cette approche « à vos risques et périls » est assez typique dans le cycle de vie des nouvelles technologies. Inévitablement, les risques, responsabilités et obligations deviennent plus nuancés et équilibrés à mesure que le marché se développe. Pour l’instant, cependant, nous sommes dans une période de « prenez garde à l’acheteur ».
Priorités de conformité pour les utilisateurs d’IA
Les entreprises et les fonctions d’approvisionnement s’habituent à intégrer les obligations du RGPD lorsque leur IA utilise ou interagit avec des données personnelles. Maintenant, cependant, elles doivent non seulement respecter leurs obligations en vertu du RGPD en ce qui concerne la nouvelle technologie d’IA, mais aussi se conformer à la Loi sur l’IA de l’UE.
Comment se préparer à la conformité :
- Prévoir une diligence raisonnable appropriée sur les fournisseurs qui utilisent l’IA pour traiter des données personnelles afin de comprendre les flux de données et la logique, la manière dont les entrées et les sorties sont générées, et les inférences faites.
- Dans les négociations contractuelles, rechercher des protections contractuelles appropriées auprès des fournisseurs de systèmes d’IA concernant le fonctionnement de l’IA et la conformité aux obligations législatives.
- Exiger une implication humaine appropriée et une surveillance sur le fonctionnement de l’IA et la prise de décisions.
- Pratiquer la protection de la vie privée dès la conception. Incorporer des considérations et des mécanismes de protection des données dès les premières étapes du développement du système d’IA, plutôt que de les adapter par la suite.
- Effectuer régulièrement des DPIA pour identifier les risques et les moyens de les atténuer à mesure que les systèmes d’IA évoluent.
- Se tenir informé des règles de protection des données et des lois sur l’IA en évolution ; interagir avec les régulateurs et les experts du secteur ou juridiques ; se préparer à s’adapter.
Les entreprises commencent à peine à expérimenter l’IA et sont confrontées à une convergence massive de législations, de règles, de responsabilités et de directives, souvent rédigées à grande vitesse. Cela crée un environnement de conformité difficile. Mais comme le dit un expert : « Le brouillard se lèvera un peu et le raisonnement deviendra plus clair à mesure que la Loi sur l’IA de l’UE sera mise en œuvre au cours des 18 mois suivants. De manière cruciale, les principes du RGPD sont directement pertinents pour la réglementation de l’IA et, lorsqu’ils sont respectés, ne devraient ni freiner l’innovation ni entraver l’utilisation de l’IA. »
Un autre expert observe : « À mesure que les technologies d’IA évoluent, les entreprises doivent rester agiles et proactives dans leurs stratégies de conformité pour être prêtes à s’adapter aux nouvelles réglementations et aux avancées technologiques. La collaboration avec les parties prenantes, y compris les experts juridiques, les fournisseurs de technologie et les régulateurs, est essentielle pour naviguer dans les complexités de la conformité à l’IA. En travaillant ensemble, les entreprises peuvent s’assurer qu’elles sont non seulement conformes, mais également à la pointe du développement éthique de l’IA. »
