Règlement général sur la protection des données, dispositions relatives à l'IA

Vue d'ensemble

Le RGPD est entré en vigueur le 24 mai 2016 et s’applique depuis le 25 mai 2018. Ce n’est pas une loi propre à l’IA, mais il peut s’appliquer au traitement de données personnelles par IA dans le champ territorial de l’article 3. Évaluez l’établissement, l’offre de biens ou services ou le suivi du comportement dans l’UE selon le cas ; la citoyenneté européenne ne suffit pas à déterminer ce champ.

L’article 22 concerne les décisions entièrement automatisées ayant des effets juridiques ou des effets significatifs similaires. Vérifiez ce seuil, les exceptions et les garanties requises. Toute décision assistée par IA n’est pas automatiquement interdite et ne donne pas le même droit à une intervention humaine. Les obligations d’information des articles 13 à 15 s’apprécient dans leur propre contexte.

Le traitement par IA nécessite une base juridique applicable de l’article 6. Les données sensibles nécessitent aussi, le cas échéant, une condition de l’article 9. Le consentement et l’intérêt légitime ont leurs propres critères ; aucun n’autorise globalement l’entraînement d’un modèle. Les garanties ou dérogations de recherche ne sont pas une base autonome de l’article 6. Documentez chaque finalité, rôle et étape.

La minimisation des données (article 5, paragraphe 1, point c)) présente une tension fondamentale avec le développement de l'IA, qui bénéficie souvent de vastes ensembles de données. Les organisations doivent veiller à ne collecter que des données adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité déterminée. Cela a une incidence sur les stratégies relatives aux données d'entraînement de l'IA et requiert une justification soigneuse de l'étendue des ensembles de données.

Les articles 13 à 15 prévoient des obligations d’information sur certaines décisions automatisées, notamment des informations utiles sur la logique et les conséquences envisagées lorsqu’elles s’appliquent. Fournissez une information intelligible à la personne ; ne supposez pas qu’une fiche de modèle suffit à toutes les obligations de transparence ou d’accès.

Une AIPD est requise avant un traitement susceptible de présenter un risque élevé pour les droits et libertés selon l’article 35. Examinez nature, portée, contexte, finalités, cas prévus et critères de l’autorité compétente. L’usage de l’IA ou son échelle ne remplace pas cette analyse. Documentez nécessité, proportionnalité, risques et garanties.

La limitation des finalités reste applicable à l’entraînement et aux usages ultérieurs. Les articles 5 et 89 prévoient un traitement et des garanties spécifiques pour la recherche et les statistiques ; ils ne rendent pas tout entraînement commercial licite et ne suppriment pas la base juridique. Évaluez chaque finalité de recherche et dérogation au lieu de considérer tout projet IA comme exempté.

Les dispositions relatives aux transferts internationaux (chapitre V) affectent également les systèmes d'IA, en particulier les services d'IA en nuage et les modèles entraînés sur des données provenant de plusieurs juridictions. Les organisations doivent garantir des garanties adéquates pour tout transfert de données à caractère personnel en dehors de l'EEE.

Les autorités de protection des données dans toute l'Europe se montrent de plus en plus actives dans l'application du RGPD à l'encontre des systèmes d'IA. Des actions répressives notables ont visé des entreprises de reconnaissance faciale, des systèmes publicitaires pilotés par l'IA et la notation de crédit automatisée, établissant des précédents qui façonnent la manière dont les organisations doivent encadrer le traitement de données à caractère personnel par l'IA.