Le 17 décembre 2024, le Comité européen de la protection des données (CEPD) a adopté l'avis 28/2024 du CEPD concernant l'utilisation de données à caractère personnel pour entraîner et déployer des modèles d'IA. Cet avis fait suite à une demande de l'autorité irlandaise de protection des données (DPA). 

Les développeurs de grands modèles, y compris Meta et OpenAI, qui fournissent des modèles d'IA au sein de l'UE, ont fait l'objet d'un examen minutieux de la part des décideurs politiques et des régulateurs de l'UE. Ces développeurs, les entreprises utilisant leurs produits, ainsi que les autorités de régulation des pays de l'UE ont tous cherché à obtenir des orientations claires sur la manière d'entraîner et de déployer des modèles d'IA sur des données à caractère personnel sans enfreindre le RGPD.

L'avis 28/2024 du CEPD fournit des orientations sur ces questions. Bien qu'il ne soit pas contraignant pour les entreprises, les autorités de protection des données s'aligneront probablement sur ses orientations lors de l'interprétation du RGPD et de la hiérarchisation de leurs actions de contrôle. 

Quand un modèle est-il considéré comme anonyme – et donc non soumis au RGPD ?

Bien que les modèles d'IA anonymes ne soient pas soumis au RGPD, les analystes ont jusqu'à présent exprimé des avis divergents sur la question de savoir si un modèle d'IA de fondation entraîné est anonyme.

L'avis 28/2024 du CEPD précise qu'un tel modèle peut être considéré comme anonyme s'il existe une faible probabilité de pouvoir « (1) identifier directement ou indirectement les personnes dont les données ont été utilisées pour créer le modèle, et (2) extraire ces données à caractère personnel du modèle au moyen de requêtes ». L'avis note que cette analyse doit être menée au cas par cas et comprend une liste non prescriptive et non exclusive de méthodes pouvant aider à atteindre l'anonymat.

Quand un développeur d'IA peut-il traiter des données à caractère personnel ?

Conformément au RGPD, les entreprises ont besoin d'une base juridique pour traiter des données à caractère personnel. Les analystes ont souligné que, parmi les bases juridiques disponibles, seul « l'intérêt légitime » semble pertinent quant à la manière dont les principaux développeurs entraînent les modèles d'IA de fondation. L'avis 28/2024 du CEPD confirme qu'une entreprise peut utiliser « l'intérêt légitime » comme base pour entraîner des modèles d'IA à l'aide de données à caractère personnel, après analyse de trois facteurs : 

Finalité : si l'intérêt est licite, articulé de manière claire et précise, et s'il est réel et présent ;

Nécessité : si les données à caractère personnel sont nécessaires pour atteindre la finalité ;

Mise en balance : sur la base d'une analyse des avantages, des inconvénients et des attentes des personnes dont les données sont traitées, si les intérêts et les droits de ces personnes ne l'emportent pas sur l'intérêt légitime de l'entreprise.

L'avis 28/2024 du CEPD décrit également comment un modèle d'IA développé sur des données à caractère personnel en violation du RGPD peut soit ne pas être déployé, soit être déployé de manière limitée, sous réserve d'évaluations et de garanties.

Quelle est la prochaine étape ?

L'UE continuera de fournir des interprétations et des orientations sur la manière dont le RGPD, la loi sur l'IA de l'UE (AIA) et d'autres législations de l'UE s'appliqueront aux modèles d'IA de fondation, même si les développeurs de grands modèles continuent de publier de nouveaux modèles impressionnants.

L'avis 28/2024 du CEPD n'apporte pas de clarifications sur de nombreux autres points d'intersection entre la protection de la vie privée et l'IA, notamment la protection de la vie privée dès la conception ou le traitement d'autres informations sensibles (telles que l'état d'esprit ou les opinions politiques de l'utilisateur).

Les entreprises utilisant des systèmes d'IA doivent suivre de près l'évolution de la réglementation dans l'UE et à travers le monde, et intégrer les interprétations et orientations pertinentes dans leurs programmes de gouvernance de l'IA.

Enzai est là pour vous aider

La plateforme GRC d'IA d'Enzai peut aider votre entreprise à déployer l'IA conformément aux meilleures pratiques et aux réglementations, normes et cadres émergents, tels que la loi sur l'IA de l'UE, la loi sur l'IA du Colorado, le NIST AI RMF et l'ISO/CEI 42001. Pour en savoir plus, contactez-nous ici.

Enzai est la plateforme leader de gouvernance de l'IA d'entreprise, spécialement conçue pour aider les organisations à passer d'une politique abstraite à une supervision opérationnelle. Notre plateforme de gestion des risques liés à l'IA fournit l'infrastructure spécialisée requise pour gérer la gouvernance de l'IA agentique, maintenir un inventaire complet de l'IA et garantir la conformité à la loi sur l'IA de l'UE. En automatisant des flux de travail complexes, Enzai permet aux entreprises de faire évoluer l'adoption de l'IA en toute confiance tout en maintenant l'alignement avec les normes mondiales telles que l'ISO 42001 et le NIST.