L’IA est-elle conforme au RGPD ? Le vrai test à appliquer

Dire que « l’IA est conforme au RGPD » est trop vague. Dire que toute utilisation de l’IA est illégale le serait tout autant. Les documents du CEPD raisonnent autrement : ils examinent les traitements de données personnelles qui peuvent intervenir autour d’un modèle d’IA .

Dans sa communication du 18 décembre 2024, le CEPD met en avant trois questions : quand et comment un modèle d’IA peut être considéré comme anonyme, si l’intérêt légitime peut servir de base juridique pour développer ou utiliser un modèle d’IA, et ce qui se passe lorsqu’un modèle a été développé à partir de données personnelles traitées illégalement .

Pour l’Allemagne, ces sources ne permettent pas de conclure à une règle spéciale. La logique reste celle du RGPD : il faut examiner le traitement concret, les données concernées, la finalité poursuivie, la base juridique invoquée et les risques pour les traitements ultérieurs .

Ce que l’avis 28/2024 clarifie — et ce qu’il ne prétend pas régler

L’avis 28/2024 vise explicitement certains aspects de protection des données dans le contexte des modèles d’IA . Il ne répond donc pas à toutes les questions juridiques que peut soulever l’intelligence artificielle. Son intérêt est plus ciblé : il donne un cadre de lecture sur des points RGPD particulièrement sensibles .

En pratique, cela signifie qu’un projet d’IA ne se juge pas à son étiquette technique, mais à ce qu’il fait des données personnelles. Les sujets décisifs sont notamment l’anonymat réel du modèle, la base juridique utilisée — en particulier l’intérêt légitime — et les conséquences possibles d’une collecte ou d’un entraînement problématique en amont .

1. Un modèle d’IA n’est pas automatiquement anonyme

Un raccourci fréquent consiste à penser que, dès que les données brutes ne sont plus directement visibles, le modèle est anonyme. Le CEPD dit au contraire que les autorités de protection des données doivent apprécier au cas par cas si un modèle d’IA peut être considéré comme anonyme .

Autrement dit, affirmer qu’un modèle est anonyme ne suffit pas. Il faut pouvoir le démontrer dans les circonstances concrètes du modèle concerné .

Ce point devient particulièrement important lorsque des données personnelles sont conservées dans le modèle. Le support de webinaire de l’ENISA sur l’avis du CEPD décrit des situations dans lesquelles la présence de données personnelles dans le modèle peut influencer la licéité d’un traitement ultérieur ; une analyse au cas par cas est alors nécessaire .

2. L’intérêt légitime peut être pertinent, mais ce n’est pas un passe-partout

L’avis du CEPD examine si, et comment, l’intérêt légitime peut être utilisé comme base juridique pour développer ou utiliser des modèles d’IA . C’est un point important pour les organisations, mais ce n’est pas une autorisation automatique.

Les documents disponibles ne disent pas que tout entraînement ou tout usage d’un modèle d’IA serait couvert par l’intérêt légitime. La question est plus précise : cette base juridique tient-elle pour le traitement concerné, dans son contexte propre ?

L’analyse devient encore plus sensible si les étapes précédentes posent problème. Le document de l’ENISA évoque des cas où, lorsqu’un traitement ultérieur repose sur l’intérêt légitime, une illicéité initiale doit être prise en compte dans l’évaluation .

3. Un historique d’entraînement problématique peut continuer à compter

Autre point central : que se passe-t-il si un modèle d’IA a été développé avec des données personnelles qui avaient été traitées illégalement ? C’est l’une des questions expressément abordées par l’avis 28/2024 .

La conséquence pratique est claire : une origine de données juridiquement fragile ne disparaît pas automatiquement parce que l’on utilise ensuite un modèle plutôt que le jeu de données initial. Si des données personnelles restent dans le modèle, cela peut avoir un effet sur la licéité des traitements ultérieurs ; selon le support de l’ENISA, l’appréciation doit là encore se faire au cas par cas .

Lorsque plusieurs acteurs interviennent, la répartition des responsabilités devient également essentielle. Le support de l’ENISA distingue notamment les situations avec un même responsable du traitement et celles avec des responsables distincts, et souligne que chaque responsable doit s’assurer de la licéité de son propre traitement .

Check-list RGPD pour un projet d’IA

Cette liste ne remplace pas une analyse juridique dédiée. Elle résume les points de vigilance qui ressortent des documents du CEPD et de l’ENISA.

1. Délimiter la phase et la finalité

Commencez par identifier ce qui est en cause : développement, entraînement, déploiement, usage opérationnel ou autre traitement lié au modèle. La communication du CEPD vise précisément l’utilisation de données personnelles pour le développement et le déploiement de modèles d’IA .

2. Vérifier la présence de données personnelles

Documentez si des données personnelles sont traitées, où elles le sont et pourquoi. L’avis 28/2024 porte justement sur le traitement de données personnelles dans le contexte des modèles d’IA .

3. Prouver l’anonymat, ne pas simplement l’affirmer

Si le modèle est présenté comme anonyme, cette qualification doit être solide et contextualisée. Le CEPD indique que l’anonymat d’un modèle d’IA doit être apprécié au cas par cas par les autorités de protection des données .

4. Examiner la base juridique concrète

Si l’intérêt légitime est invoqué, il faut vérifier s’il peut réellement soutenir le traitement concerné, que ce soit pour le développement ou pour l’utilisation du modèle . Les sources disponibles ne créent pas d’exception générale au RGPD pour l’IA .

5. Tenir compte du contenu du modèle et de son historique

Il faut examiner si des données personnelles restent dans le modèle et si les données utilisées pendant la phase de développement ont été traitées légalement. Ces deux points peuvent peser sur les traitements ultérieurs .

6. Clarifier les responsabilités

Quand plusieurs organisations participent au développement, à la mise à disposition ou à l’utilisation d’un modèle, chacune doit savoir quel traitement relève de sa responsabilité. Le support de l’ENISA rappelle que chaque responsable doit s’assurer de la licéité de son propre traitement .

Trois malentendus à éviter

« Le modèle est anonyme puisque les données brutes ne sont plus visibles. » Pas nécessairement. Le CEPD indique que l’anonymat d’un modèle d’IA doit être évalué au cas par cas .

« L’intérêt légitime suffit toujours. » Non. L’avis 28/2024 examine si et comment l’intérêt légitime peut être utilisé, mais cela ne vaut pas justification automatique pour tout projet d’IA .

« Une fois le modèle entraîné, l’origine des données ne compte plus. » Là encore, c’est trop simple. L’avis traite précisément le cas d’un modèle développé à partir de données personnelles traitées illégalement . Si des données personnelles restent dans le modèle, cela peut influencer la licéité des traitements ultérieurs .

Conclusion

Dans l’Union européenne, l’IA n’est pas conforme au RGPD simplement parce qu’elle est de l’IA. Elle n’est pas non plus interdite pour cette seule raison. Le test sérieux porte sur le traitement concret des données personnelles : anonymat, base juridique, contenu du modèle, historique des données et conséquences possibles pour les traitements suivants .