Le RGPD (règlement général sur la protection des données) et l’intelligence artificielle entretiennent une relation complexe, qui concerne presque toutes les entreprises utilisant dans leurs systèmes des données de clients, de salariés ou de fournisseurs. Ils ne sont pas incompatibles, mais l’IA introduit des façons de traiter les données que le RGPD n’avait pas envisagées lors de sa conception, et qui demandent une analyse attentive.
Cet article présente les principaux points de rencontre entre RGPD et IA, sous un angle pratique, utile aux décisions de l’entreprise.
Les principes du RGPD qui pèsent le plus sur les projets d’IA
Minimisation des données. Le RGPD impose de n’utiliser que les données strictement nécessaires à la finalité déclarée. Dans un projet de machine learning, cela signifie ne pas inclure dans les données d’entraînement des variables personnelles inutiles à la prédiction. Si un modèle de prédiction de l’attrition (churn) peut être entraîné sans le nom ni l’adresse du client, ces variables ne doivent pas figurer dans le jeu d’entraînement.
Limitation des finalités. Les données collectées pour une finalité ne peuvent pas être librement réutilisées pour une autre. Si les données clients ont été collectées pour gérer les commandes, les utiliser pour entraîner un modèle de scoring de crédit peut exiger une base légale supplémentaire ou une information du client.
Exactitude. Les données personnelles doivent être exactes. Un modèle de machine learning apprend les erreurs des données d’entraînement comme si elles étaient correctes, ce qui peut produire des prédictions biaisées fondées sur des informations fausses. La qualité des données n’est pas seulement une exigence technique : c’est aussi une exigence du RGPD.
Transparence. Les personnes ont le droit de savoir comment leurs données sont traitées. Si une entreprise utilise l’IA pour prendre des décisions qui concernent ses clients (scoring, personnalisation, offres différenciées), sa politique de confidentialité doit le mentionner.
Les décisions automatisées : l’article 22
L’article 22 du RGPD reconnaît un droit spécifique aux personnes faisant l’objet de décisions entièrement automatisées qui produisent des effets juridiques à leur égard ou les affectent de manière significative de façon similaire. Concrètement : si un système d’IA prend des décisions concernant des clients ou des salariés sans intervention humaine (accorder ou refuser un crédit, proposer une offre différenciée, évaluer une candidature), des obligations supplémentaires s’appliquent.
L’entreprise doit informer de l’existence de ce système, la personne concernée a le droit de demander qu’un humain réexamine la décision, et l’entreprise doit pouvoir expliquer la logique qui a conduit à la décision (ce que le RGPD appelle la « logique sous-jacente »).
Cette dernière obligation, l’explicabilité, est l’un des points où le RGPD encourage le plus concrètement de bonnes pratiques de conception des systèmes d’IA : les modèles capables d’expliquer leurs décisions (modèles interprétables ou d’IA explicable) facilitent la conformité, tandis que les modèles « boîte noire » la compliquent.
L’analyse d’impact (AIPD) : quand est-elle obligatoire ?
Le RGPD impose une analyse d’impact relative à la protection des données (AIPD) lorsqu’un traitement de données personnelles est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Les systèmes d’IA entrent souvent dans cette catégorie lorsqu’ils :
- recourent au profilage à grande échelle ;
- traitent des données sensibles (santé, biométrie, données de mineurs) ;
- appliquent des décisions automatisées aux effets significatifs ;
- traitent de façon systématique les données d’un grand nombre de personnes.
Pour de nombreux projets de machine learning portant sur des données clients, l’AIPD est une étape obligatoire, et aussi un exercice utile pour identifier et réduire les risques avant de déployer le système.
Privacy by design : intégrer la conformité dès le départ
Le principe de protection des données dès la conception (« privacy by design ») du RGPD, qui consiste à concevoir des systèmes intégrant la protection des données dès l’origine plutôt qu’en ajout ultérieur, a des conséquences concrètes pour les projets d’IA :
Définir dès la conception quelles données personnelles sont nécessaires et lesquelles ne le sont pas. Pseudonymiser les données d’entraînement chaque fois que c’est possible. Documenter les choix de conception qui ont une incidence sur la protection des données. Examiner la conception du système avec le DPO (si l’entreprise en a un) avant le développement.
Les projets qui intègrent ces considérations dès le départ ont moins d’adaptations à faire ensuite et, en cas de contrôle de l’autorité de protection des données compétente, peuvent démontrer que la protection des données a été prise en compte dès la conception.
L’articulation avec le règlement européen sur l’IA
Le règlement européen sur l’IA (AI Act) et le RGPD sont complémentaires : le premier encadre les systèmes d’IA en tant que tels, le second le traitement des données personnelles. Un système d’IA classé à haut risque au sens de l’AI Act qui utilise des données personnelles doit respecter simultanément les deux cadres.
Les exigences de gouvernance des données de l’AI Act (des données d’entraînement représentatives et exemptes de biais inappropriés) sont compatibles avec les exigences d’exactitude et de minimisation du RGPD, et les renforcent souvent.
Questions fréquentes
Mon entreprise a-t-elle besoin d’un DPO (délégué à la protection des données) si elle utilise l’IA ? L’obligation de désigner un DPO dépend du type et du volume de données personnelles traitées, et non de l’usage de l’IA en tant que tel. En revanche, les projets d’IA qui traitent des données personnelles à grande échelle ou recourent au profilage doivent avoir identifié qui est chargé d’évaluer leur conformité au RGPD, qu’il s’agisse d’un DPO désigné ou du responsable de la protection des données de l’entreprise.
Faut-il supprimer un modèle d’IA entraîné sur des données clients si un client exerce son droit à l’effacement ? C’est l’une des questions techniques les plus complexes à la croisée du RGPD et de l’IA. Les modèles de machine learning ne stockent pas les données d’entraînement de façon récupérable : ils apprennent des régularités, pas des données individuelles. Les autorités nationales de protection des données et le Comité européen de la protection des données (CEPD) ont publié des orientations sur ce sujet, qui reconnaissent la complexité technique et laissent une certaine marge, notamment lorsque les données d’entraînement étaient pseudonymisées.
Utiliser ChatGPT ou Claude pour analyser des documents contenant des données clients est-il conforme au RGPD ? Cela dépend des offres et des contrats. Les versions grand public gratuites ne conviennent généralement pas aux données personnelles sans analyse préalable. Les offres entreprise comprennent des accords de traitement des données qui facilitent la conformité. Dans tous les cas, il est indispensable d’analyser au préalable la base légale qui permet d’envoyer ces données à un fournisseur externe.