Développement des systèmes d’IA : la CNIL publie ses recommandations sur l’intérêt légitime

Le RGPD contribue à une IA innovante et respectueuse des données personnelles

Consciente des enjeux de clarification du cadre juridique, la CNIL s’emploie, à travers l’ensemble de ses actions, à sécuriser les acteurs afin de favoriser l’innovation en IA tout en assurant le respect des droits fondamentaux des Européens.

Depuis le lancement de son plan d’action sur l’IA en mai 2023, la CNIL a adopté une série de recommandations pour le développement de systèmes d’IA afin d’apporter de la sécurité juridique aux entreprises. Ainsi éclairé et clarifié, l’application du RGPD est un facteur de confiance pour les personnes.

Plusieurs fiches ont déjà été publiées, permettant en particulier aux acteurs de :

• déterminer le régime juridique applicable ;
• définir une finalité ;
• déterminer la qualification juridique des acteurs ;
• définir une base légale ;
• effectuer des tests et vérifications en cas de réutilisation des données ;
• réaliser une analyse d’impact si nécessaire ;
• tenir compte de la protection des données dès les choix de conception du système ;
• tenir compte de la protection des données dans la collecte et la gestion des données ;
• informer les personnes ;
• garantir et faciliter l’exercice des droits.

Consulter les recommandations

Les nouvelles recommandations de la CNIL

Une concertation avec les parties prenantes

La CNIL publie aujourd’hui deux nouvelles recommandations, élaborées à la suite d’une consultation publique, pour assurer que le développement des systèmes d’IA soit respectueux des données personnelles. Les parties prenantes (entreprises, chercheurs, universitaires, associations, conseils juridiques et techniques, syndicats, fédérations, etc.) ont ainsi pu s’exprimer et permettre à la CNIL de proposer des recommandations au plus proche de leurs questionnements et de la réalité des usages de l’IA.

Consulter la synthèse des contributions

L’intérêt légitime, une base légale possible sous conditions

Dans le prolongement de l’avis adopté par le CEPD en décembre 2024, la CNIL considère que le développement des systèmes d’IA ne nécessite pas systématiquement le consentement des personnes. L’intérêt légitime est une base légale possible pour le développement des systèmes d’IA, sous réserve de prendre des garanties fortes :

• Dans ces recommandations, la CNIL aide les acteurs à évaluer les cas dans lesquels ils pourront mobiliser cette base légale, en fournissant les critères permettant de faire l’analyse, y compris dans le cas spécifique du moissonnage de données en ligne (web scraping). Elle propose des exemples de garanties concrètes et adaptés aux différents types de systèmes d’IA : exclusion de certaines données de la collecte, transparence accrue, facilitation de l’exercice des droits, etc.
   
• Les recommandations donnent des exemples concrets de traitements de données qui peuvent se fonder ou non sur l’intérêt légitime. Ainsi, par exemple, la réutilisation des conversations futures des utilisateurs d’un agent conversationnel pour l’amélioration du modèle d’IA peut se fonder sur l’intérêt légitime à condition de mettre en place certaines garanties fortes : information des personnes, droit d’opposition discrétionnaire, limitation du traitement à certaines données pseudonymisées/anonymisées, etc.

Les prochaines étapes 

Les travaux de la CNIL pour assurer une application entière et pragmatique du RGPD dans le domaine de l’IA se poursuivront dans les prochains mois avec de nouvelles recommandations. Elle publiera prochainement des recommandations concernant le statut d’un modèle d’IA au regard du RGPD, les enjeux de sécurité du développement d’un système d’IA et l’annotation des données. Elle annoncera également son programme de travail à venir à cette occasion.

Par ailleurs la CNIL poursuit les travaux au sein du Comité européen de la protection des données (CEPD) sur l’articulation entre le RGPD et le RIA ainsi que sur le moissonnage de données dans le contexte de l’IA générative.

Elle suit également les travaux du bureau de l’IA de la Commission européenne pour l’élaboration d’un code de bonnes pratiques sur l’IA à usage général et s’articule avec le travail de clarification du cadre légal mené au niveau européen.