Règlement général sur la protection des données, dispositions relatives à l'IA

Le Règlement général sur la protection des données (RGPD), en vigueur depuis le 25 May 2018, est la loi globale de l'UE en matière de protection des données. Bien qu'il ne s'agisse pas spécifiquement d'une réglementation sur l'IA, le RGPD contient plusieurs dispositions qui ont des implications profondes pour les systèmes d'IA qui traitent des données à caractère personnel, ce qui en fait l'une des réglementations les plus déterminantes pour la conformité de l'IA à l'échelle mondiale.

L'article 22 du RGPD confère aux personnes le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques ou l'affectant de manière significative de façon similaire. Cette disposition régit directement les systèmes de prise de décision fondés sur l'IA utilisés dans des domaines tels que la notation de crédit, la tarification en assurance, le recrutement et la fourniture de services publics. Les organisations doivent fournir des informations utiles concernant la logique sous-jacente, l'importance et les conséquences prévues d'un tel traitement.

Les exigences relatives à la base légale au titre des articles 6 et 9 sont particulièrement délicates pour les systèmes d'IA. Le consentement doit être libre, spécifique, éclairé et univoque, des exigences difficiles à satisfaire lorsque le traitement par l'IA est complexe et opaque. Les évaluations de l'intérêt légitime doivent mettre en balance les besoins de l'organisation et les droits des personnes, ce qui requiert de comprendre comment les systèmes d'IA affectent les personnes concernées.

La minimisation des données (article 5, paragraphe 1, point c)) présente une tension fondamentale avec le développement de l'IA, qui bénéficie souvent de vastes ensembles de données. Les organisations doivent veiller à ne collecter que des données adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité déterminée. Cela a une incidence sur les stratégies relatives aux données d'entraînement de l'IA et requiert une justification soigneuse de l'étendue des ensembles de données.

Le droit à l'explication et les exigences de transparence (articles 13 à 15) imposent aux organisations de fournir des informations utiles sur la prise de décision automatisée. Pour les modèles d'IA complexes, en particulier les systèmes d'apprentissage profond, fournir des explications compréhensibles sur la manière dont les décisions sont prises constitue un défi technique et juridique de taille.

Les analyses d'impact relatives à la protection des données (AIPD) au titre de l'article 35 sont obligatoires pour les traitements susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes. La plupart des systèmes d'IA traitant des données à caractère personnel à grande échelle déclencheront les exigences d'AIPD. L'AIPD doit évaluer la nécessité et la proportionnalité du traitement, les risques pour les personnes et les mesures destinées à traiter ces risques.

La limitation des finalités (article 5, paragraphe 1, point b)) restreint l'utilisation des données à caractère personnel aux finalités pour lesquelles elles ont été collectées. Les développeurs d'IA doivent examiner attentivement si l'entraînement de modèles d'IA constitue une finalité compatible, et les récentes modifications du RGPD ainsi que les orientations réglementaires ont apporté une certaine souplesse pour la recherche scientifique et les finalités statistiques.

Les dispositions relatives aux transferts internationaux (chapitre V) affectent également les systèmes d'IA, en particulier les services d'IA en nuage et les modèles entraînés sur des données provenant de plusieurs juridictions. Les organisations doivent garantir des garanties adéquates pour tout transfert de données à caractère personnel en dehors de l'EEE.

Les autorités de protection des données dans toute l'Europe se montrent de plus en plus actives dans l'application du RGPD à l'encontre des systèmes d'IA. Des actions répressives notables ont visé des entreprises de reconnaissance faciale, des systèmes publicitaires pilotés par l'IA et la notation de crédit automatisée, établissant des précédents qui façonnent la manière dont les organisations doivent encadrer le traitement de données à caractère personnel par l'IA.