Intelligence artificielle et RGPD : quelle protection pour les données personnelles ? [ABO]

L’essor de l’intelligence artificielle pose des défis majeurs en matière de protection des données personnelles.

Le Règlement Général sur la Protection des Données (RGPD) impose un cadre strict aux entreprises développant ou utilisant ces technologies.

Lors d’un webinaire en partenariat avec le MemberShip Club by TourMaG.com, Me Julien Abella et Me Chloé Rezlan ont exploré les enjeux liés à l’IA et au RGPD.

Ils ont abordé les obligations des acteurs concernés, les risques de non-conformité et les bonnes pratiques à adopter, notamment dans le secteur du tourisme.

Cette analyse met en évidence la nécessité d’une approche rigoureuse pour garantir la transparence et la protection des droits des individus.

L’intelligence artificielle repose sur l’analyse massive de données.

Cela soulève des questions de conformité au RGPD lorsque ces données sont des données dites "personnelles". Le règlement RGPD, en vigueur depuis 2018 en Europe, impose plusieurs obligations aux responsables de traitement et aux sous-traitants, en particulier sur la collecte, l’exploitation et la sécurisation des données.

Julien Abella rappelle que « toute organisation manipulant des données personnelles via une IA doit respecter les principes fondamentaux du RGPD ». Ces principes incluent la minimisation des données, la limitation des finalités, la transparence et la sécurité.

Les entreprises doivent ainsi s’assurer que les données traitées sont strictement nécessaires à leurs objectifs et qu’elles sont protégées contre tout usage non autorisé.

Le RGPD impose également des obligations spécifiques aux traitements à haut risque, notamment via la réalisation d’analyses d’impact relative à la protection des données (AIPD). Ces analyses permettent d’identifier et de limiter les risques potentiels pour les droits et libertés des personnes concernées.

Face à ces contraintes, les entreprises doivent adapter leurs pratiques pour garantir une conformité optimale et éviter les sanctions qui peuvent atteindre 20 millions d’euros en cas de non-respect.

L’un des enjeux majeurs de l’intelligence artificielle est la prise de décisions automatisées, qui peut avoir des conséquences directes sur les individus.

Le RGPD encadre strictement ce type de traitement, notamment à travers son article 22, qui interdit toute décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou significatifs sur une personne, sauf exceptions définies.

L’utilisation de modèles d’IA dans certains domaines peut engendrer des discriminations involontaires ou des biais algorithmiques si les jeux de données utilisés ne sont pas équilibrés ou si les critères appliqués sont inappropriés.

Afin de garantir la conformité au RGPD, les entreprises doivent respecter plusieurs obligations :

• Transparence : informer les individus qu’une décision les concernant est prise de manière automatisée et expliquer les critères utilisés.

• Droit d’intervention humaine : permettre aux personnes concernées de demander une intervention humaine pour réévaluer une décision automatisée.

• Droit à l’explication : offrir une compréhension claire des mécanismes qui ont conduit à une décision, un défi complexe compte tenu de l’opacité de certains modèles d’IA.

Dans ce cadre, le rôle du Délégué à la Protection des Données (DPO) est central. Il doit s’assurer que les traitements respectent les exigences du RGPD et anticiper les risques en mettant en place des mesures correctives.

L’entraînement des modèles d’IA repose souvent sur de vastes ensembles de données, ce qui pose la question de leur collecte, de leur traitement et de leur conservation dans le respect du RGPD.

Julien Abella rappelle certains éléments-clés, notamment le « principe de minimisation. On ne doit collecter et utiliser que des données qui sont strictement nécessaires pour la finalité ». Ainsi, les entreprises développant des algorithmes doivent garantir que seules les informations strictement nécessaires sont collectées et qu’elles ne sont pas conservées plus longtemps que nécessaire.

6 principes fondamentaux sont à appliquer :

• Collecter des données avec un objectif précis, légal et légitime

• Conserver les données pendant la durée nécessaire au traitement

• Faire preuve de transparence sur l'utilisation des données

• Garantir autant que possible la sécurité et la confidentialité des données

• Collecter les données uniquement nécessaires au traitement effectué

• Respecter le droit des personnes concernées.

Le cadre réglementaire actuel, basé sur le RGPD, est souvent perçu comme insuffisant pour répondre aux défis spécifiques posés par l’IA, ce qui nécessite des ajustements législatifs.

Julien Abella souligne que « l’encadrement juridique de l’IA ne peut se limiter au RGPD. Des textes complémentaires, comme l’AI Act de l’Union européenne, viennent renforcer les obligations des entreprises et des développeurs ».

L’intervenant insiste sur l’importance de privilégier un opérateur européen avec un hébergement au sein de l’Union européenne qui sera dans l’obligation de respecter le RGPD. En effet, certains fournisseurs basés notamment aux Etats-Unis se basent sur le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) et ne respectent donc pas le RGPD, ce qui impacte la protection des données personnelles.

Plusieurs défis restent à relever :

• La transparence des algorithmes : les utilisateurs et les autorités de contrôle doivent pouvoir comprendre le fonctionnement des modèles d’IA, notamment lorsqu’ils influencent des décisions ayant un impact juridique ou financier.

• La responsabilité des acteurs : en cas de traitement illégal ou discriminatoire, la question de la responsabilité des concepteurs et des exploitants d’IA reste floue et nécessite des clarifications.

• L’adaptation des autorités de contrôle : les régulateurs européens doivent renforcer leurs moyens techniques pour auditer et superviser les systèmes d’IA.

L’évolution de la réglementation devrait permettre d’harmoniser les pratiques et d’éviter les abus, tout en maintenant un équilibre entre innovation technologique et protection des droits fondamentaux.

Voici les prochains webinaires proposés par Me Chloé Rezlan en partenariat avec le MemberShip Club de TourMaG.com :

- 11 mars 2025 à 12H00 - Droits d'auteur : L'IA, entre opportunités créatives et protection des œuvres, avec Clara Viguié, avocate en droit de la propriété intellectuelle.
Cliquez ici pour vous inscrire au 3e épisode

- 25 mars 2025 à 12H00 - Droit du travail : L’impact de l’IA sur les relations employeurs-salariés avec Laura Ballester, avocate en droit du travail.
Cliquez ici pour vous inscrire au 4e épisode