« Bac à sable » données personnelles : la CNIL lance un appel à projets sur l’intelligence artificielle dans les services publics

Un nouveau « bac à sable » dédié à l’intelligence artificielle (IA)

Qu’est-ce que le « bac à sable » données personnelles ?

Le « bac à sable » données personnelles de la CNIL est un dispositif d’accompagnement à destination des innovateurs d’un secteur sur des problématiques émergentes. Ce dispositif s’inscrit dans l’action de la CNIL en soutien à l’innovation, l’une de ses grandes missions.

Sur la base d’un appel à projets thématique, la CNIL sélectionne des organismes qui pourront bénéficier d’un accompagnement poussé sur leur projet.

Le « bac à sable » s’adresse donc aux organismes confrontés à des problématiques nouvelles en lien avec la réglementation données personnelles. En intervenant à un stade précoce de développement du projet, les équipes de la CNIL aident l’organisme à identifier les solutions possibles, et à les implémenter.

Il ne s’agit pas d’un bac à sable réglementaire : il ne permet pas de lever les contraintes légales, même temporairement, car le droit en matière de données personnelles ne le permet pas.

Le « bac à sable » de la CNIL, c’est aussi faire progresser tout un écosystème : les bilans tirés des travaux menés avec les porteurs de projets sont publiés pour que les autres acteurs puissent en bénéficier. La CNIL a ainsi publié les bilans de ses premiers bacs à sable sur la santé et les EdTech.

Pourquoi le thème de « l’IA au bénéfice des services publics » ?

L’accélération de l’intelligence artificielle, en particulier générative, a ouvert de nouvelles perspectives dans différents domaines d’activité, et notamment en matière de services publics. Elle peut être une source d’amélioration de la qualité du service rendu et notamment permettre d’agir sur son accessibilité (réduction des délais de traitement, meilleure égalité de traitement, etc.), mais également de faciliter le travail des agents publics (gain de temps, aide à la priorisation, valorisation des jeux de données, etc.), avec un impact direct sur le quotidien des usagers.

Le recours à l’IA implique l’utilisation de volumes importants de données personnelles, souvent de sources variées. Il pose également des questions nouvelles d’un point de vue de la réglementation « données personnelles » auxquelles les acteurs sont confrontés.

Ce « bac à sable » s’inscrit dans la volonté de la CNIL de construire une régulation adaptée en lien avec les acteurs concernés. L’objectif du « bac à sable » est de les aider à développer de nouveaux usages de l’IA respectueux des personnes concernées, participant à permettre la confiance des usagers vis-à-vis de ces dispositifs.

Les organismes sélectionnés pourront bénéficier de l’expertise du nouveau service de l’intelligence artificielle de la CNIL, notamment dans la perspective du futur règlement européen sur l’IA.

Candidater à l’appel à projets

Qui peut candidater ?

L’appel à projets est ouvert aux :

• projets impliquant l’usage de l’IA dans le cadre de services publics, en particulier pour améliorer la qualité du service rendu, faciliter leurs accès, et/ou soutenir la performance des agents publics ;
• organismes publics (administration centrale, service décentralisé, collectivités territoriales, opérateur public, etc.) ;
• organismes privés, à condition que le projet soit mené avec un ou plusieurs acteurs publics (partenariat, etc.) ou que le projet soit spécifiquement destiné à remplir un besoin identifié par plusieurs acteurs publics ;
• projets en cours de développement : pour être réellement utile, le « bac à sable » ne vise pas des projets déjà opérationnels ou commercialisés. Si le projet est déjà déployé, il est nécessaire qu’il n’existe pas d’irréversibilité technique (les recommandations doivent pouvoir être intégrées ou projetables).

Les projets relevant de secteurs ou de sujets sur lesquels la CNIL s’est récemment prononcée ou a mis en place un dispositif d’accompagnement spécifique (ex. : EdTech, caméras augmentées) ne seront pas prioritaires, sans être exclus de l’appel à projets.

Comment candidater ?

• Pour participer à l’appel à projets, l’organisme doit élaborer un dossier de candidature pour présenter son projet et les problématiques juridiques ou techniques rencontrées sur son projet.
• Une fois le dossier complété, un courriel doit être adressé à : bacasable[@]cnil.fr. Un lien sera mis à la disposition du candidat pour lui permettre d’envoyer son dossier via une plateforme sécurisée.
• Les porteurs de projet peuvent candidater jusqu’au 30 septembre 2023.

Retrouver la liste des lauréats

Les étapes du « bac à sable » de la CNIL

Comment se déroule le « bac à sable » ?

Un accompagnement « bac à sable » se déroule sur plusieurs mois et comprend trois séquences :

• Phase d’accompagnement (6 mois)

Elle débute par l’identification des problématiques à traiter, qui constituent la feuille de route de l’accompagnement. Les équipes de la CNIL et le lauréat conviennent ensemble des modalités de travail (régularité des échanges, besoin de formation, ateliers de travail, etc.) pour travailler sur ces problématiques, afin d’identifier des solutions pragmatiques et adaptées au projet.

• Phase d’implémentation

Sur la base d’un livrable, le lauréat déploie les recommandations faites par les équipes de la CNIL pour son projet.

• Phase de retour à l’écosystème

À l’issue du « bac à sable », la CNIL publie une synthèse des travaux et des recommandations faites sur les différents projets accompagnés.

Pour cadrer les modalités de travail, une convention est signée entre la CNIL et l'organisme concerné. Il y est notamment rappelé que les agents de la CNIL sont soumis au secret professionnel tout au long de la procédure.

Qu’est-il attendu de l'organisme durant le « bac à sable » ?

Le « bac à sable » fonctionne sur une logique de co-construction entre le porteur de projets et les équipes de la CNIL.

Les organismes sélectionnés devront faire preuve d'un réel engagement tout au long du « bac à sable » pour la bonne marche de l’accompagnement, et en particulier :

• consacrer des moyens opérationnels suffisants (ex. : présence du délégué à la protection des données, d’un point de contact sur le projet, des équipes métiers lorsque cela sera nécessaire, etc.)
• être suffisamment disponible pour organiser des échanges réguliers et des ateliers de travail.