Dans le secteur High-tech, les modèles d’intelligence artificielle s’appuient parfois sur des données qui permettent d’identifier des personnes. Le RGPD et les recommandations de la CNIL encadrent alors leur collecte, leur utilisation et leur sécurisation.
Les controverses naissent souvent de questions concrètes : quelles données ont servi à l’entraînement, qui peut exercer ses droits et comment prévenir les usages intrusifs ? Ces enjeux touchent aussi la surveillance numérique, le consentement des utilisateurs et le droit à la vie privée.
A retenir :
- Transparence lisible sur les données d’entraînement et leurs sources
- Droits d’accès, de rectification et d’effacement réellement praticables
- Minimisation, pseudonymisation et sécurité intégrées dès la conception
- Traçabilité documentée des traitements et des usages du modèle
RGPD et modèles d’IA : quand la CNIL peut-elle intervenir ?
Ces enjeux prennent une dimension juridique dès lors qu’un modèle traite des informations concernant une personne identifiable. L’étiquette « intelligence artificielle » ne suffit pas à déterminer si le RGPD s’applique.
Données personnelles dans les modèles de langage
Pour évaluer cette applicabilité, il faut examiner les données d’entraînement, les sorties possibles et les moyens d’identification disponibles. Selon le Comité européen de la protection des données, la présence de données personnelles dans un jeu d’entraînement peut rendre le règlement applicable.
Selon la CNIL, l’analyse doit également tenir compte de la mémorisation éventuelle d’informations et de la possibilité de retrouver une personne. Une société qui entraîne un assistant sur des échanges clients doit donc vérifier les sources, les finalités et les risques de réidentification.
Les critères qui orientent l’analyse :
- Nature des données intégrées aux jeux d’entraînement
- Possibilité d’identifier les personnes concernées
- Efficacité de l’anonymisation ou de la pseudonymisation
- Finalités prévues pour l’exploitation du modèle
Applicabilité selon le type de système
Cette analyse varie ensuite selon l’architecture et les données effectivement utilisées. Un modèle entraîné sur des sources tierces appelle notamment une vérification de leur licéité et de leur provenance.
Type de système
Applicabilité indicative
Vigilance principale
Modèle de langage général
Souvent concerné
Mémorisation possible de données personnelles
Modèle fondé sur des données anonymisées
Écarté si l’anonymisation est irréversible
Vérifier l’absence de réidentification possible
Système embarqué privé
Dépend du fonctionnement
Examiner collecte locale et finalités
Modèle entraîné sur des sources tierces
Souvent concerné
Contrôler la licéité des sources
Selon la CNIL, sélectionner et nettoyer les jeux de données aide à respecter la minimisation. Les équipes peuvent aussi limiter les accès, pseudonymiser les fichiers et chiffrer les archives sensibles.
« J’ai réduit les risques associés aux données de test en diminuant leur volume. J’ai aussi anonymisé les jeux sensibles afin de limiter leur exposition. »
Claire L.
Information et droits : les points sensibles du RGPD
Une fois les données et le périmètre clarifiés, l’information des personnes devient un enjeu déterminant. Une notice obscure ou des demandes impossibles à traiter peuvent fragiliser la confiance et alimenter la polémique.
Informer sur les sources et les usages
Pour rendre l’information accessible, les organisations peuvent expliquer les catégories de données, les finalités et les garanties appliquées. Selon la CNIL, une information générale publiée sur un site peut suffire dans certaines situations impliquant des sources tierces.
Cette solution ne dispense pas de présenter les informations utiles de façon compréhensible. Une entreprise peut, par exemple, créer une page dédiée et décrire les principales catégories de sources mobilisées.
Les outils d’information les plus utiles :
- Page dédiée aux catégories de sources utilisées
- Fiche projet sur les finalités et garanties
- Portail centralisé pour les demandes individuelles
- Notification groupée lorsque le contexte le permet
« Nous avons centralisé les demandes des utilisateurs. Nous avons aussi amélioré la traçabilité des réponses qui leur sont adressées. »
Pauline M.
Accès, rectification et effacement des données
Au-delà de l’information, l’exercice des droits exige des procédures adaptées aux modèles entraînés. Une demande d’effacement peut nécessiter de rechercher les données concernées et d’évaluer leur présence dans les résultats produits.
Le Comité européen de la protection des données invite à prévoir des réponses raisonnables, appuyées par des moyens techniques et organisationnels. Des formulaires simples, une procédure d’examen documentée et une analyse au cas par cas facilitent le traitement des demandes complexes.
« La conformité a renforcé la confiance de nos clients. Elle a également réduit les risques juridiques associés à nos pratiques. »
Nathalie D.
Ces obligations conduisent les entreprises à inscrire la protection des données dans leurs choix techniques et leur gouvernance. C’est aussi là que se jouent les arbitrages entre innovation, sécurité et respect de la vie privée.
Conformité des entreprises High-tech et risques de sanctions
Pour passer des droits individuels à une conformité durable, les acteurs doivent organiser leurs responsabilités dès la conception. Les contrôles et sanctions réglementaires rappellent que la documentation compte autant que les engagements affichés.
Mesures internes et protection dès la conception
Une analyse d’impact peut être nécessaire lorsque le traitement présente un risque élevé pour les personnes. Les équipes gagnent aussi à documenter les flux, former les responsables produit et conserver une trace des choix portant sur les données.
Les mesures techniques doivent répondre aux risques réels, plutôt qu’à une liste uniforme. Contrôles d’accès, audits réguliers des jeux de données et chiffrement des archives sensibles réduisent notamment les expositions évitables.
Les réflexes de conformité à installer :
- Évaluer les risques des systèmes concernés
- Appliquer la protection dès la conception
- Former les équipes aux principes du RGPD
- Documenter les traitements et les sources
« Nous avons adapté notre gouvernance pour mieux documenter les flux de données. Cette documentation clarifie les responsabilités associées aux traitements. »
Lucas R.
Exemples d’approches et controverses possibles
Les pratiques des grands groupes diffèrent selon leur place dans l’écosystème, comme fournisseur de cloud, plateforme ou fabricant d’appareils. Ces exemples décrivent des orientations rapportées, et non une certification de conformité de chaque entreprise.
Entreprise
Rôle indiqué
Mesure ou orientation rapportée
Microsoft
Cloud et modèles
Outils de gouvernance et analyses d’impact
Google
Données et modèles
Politiques de suppression et interfaces utilisateurs
Apple
Appareils et services
Limitation des transferts et traitement local
Facebook
Plateforme sociale
Transparence et voies de recours pour les utilisateurs
La reconnaissance faciale illustre particulièrement les tensions entre innovation et droits fondamentaux, car elle peut renforcer la surveillance numérique. Pour chaque usage, la collecte des données et le consentement des utilisateurs doivent être examinés selon le contexte juridique et les risques encourus.
Source : CNIL, « Recommandations IA », CNIL, 2025 ; Garante per la protezione dei dati personali, « Sanction OpenAI », Garante, 2024 ; EDPB, « Guidelines on AI and GDPR », EDPB, 2024.