Le RGPD s’applique dès lors qu’un traitement concerne des données personnelles. Mais dans le contexte des modèles d’intelligence artificielle (IA), beaucoup d’acteurs ignorent que cette règle s’applique dès la phase de développement, bien avant le déploiement d’un produit IA.
Ce guide vise à répondre à une question fréquente : mon modèle (ou mon système IA) est-il soumis au RGPD ? Nous vous proposons une méthode concrète pour le déterminer, accompagnée de tests, cas limites, exemples réels et outils pour documenter votre position.
À quoi sert le RGPD ?
Le RGPD fixe un cadre pour les traitements de données personnelles. Il impose notamment de définir une finalité, de limiter les données collectées, d’informer les personnes, de sécuriser les accès, de documenter les choix et de permettre l’exercice des droits.
Dans le contexte de l’IA, ce cadre évite de traiter les données comme une simple matière première technique. Les données peuvent révéler des informations sur des clients, salariés, candidats, patients, utilisateurs ou fournisseurs. Leur utilisation doit donc être justifiée, maîtrisée et contrôlable.
Pourquoi le RGPD concerne-t-il les projets IA ?
Un projet IA peut traiter des données personnelles à plusieurs moments : constitution d’un jeu d’entraînement, fine-tuning, prompts, journaux d’utilisation, système RAG, feedback utilisateur, évaluation humaine ou surveillance du modèle.
Le RGPD peut aussi être concerné lorsqu’un modèle mémorise, infère ou restitue des informations personnelles issues de ses données d’entraînement ou d’usage. Le niveau de risque dépend du contexte, des données, de la finalité, du type de modèle et des mesures techniques retenues.
Quelles données personnelles une IA peut-elle traiter ?
- Données d’entraînement : documents, emails, tickets, formulaires, images, historiques ou bases métier.
- Prompts : demandes envoyées par les utilisateurs, parfois avec noms, coordonnées ou informations sensibles.
- Journaux d’utilisation : logs, identifiants, horodatages, actions et retours utilisateurs.
- Réponses générées : sorties pouvant contenir, reformuler ou inférer des informations sur une personne.
- Données RAG : documents indexés et récupérés pour enrichir une réponse.
- Données de fine-tuning : exemples utilisés pour adapter un modèle à un cas d’usage.
La première question est simple : le projet utilise-t-il des informations permettant d’identifier directement ou indirectement une personne ? Si oui, le RGPD s’applique. Si la réponse semble négative, il faut vérifier si les données peuvent être recoupées avec d’autres sources ou si le modèle peut restituer des éléments personnels.
Les notions d’anonymisation, de pseudonymisation et de minimisation doivent être utilisées avec prudence. Des données pseudonymisées restent généralement des données personnelles si une réidentification reste possible.
Quelles obligations respecter ?
Les obligations dépendent du cas d’usage, du niveau de risque et des données traitées. Elles peuvent inclure l’information des personnes, le choix d’une base légale, la limitation des finalités, la minimisation des données, la gestion des droits, la sécurité, la documentation et, dans certains cas, une analyse d’impact relative à la protection des données.
Il faut éviter les conclusions automatiques. Une AIPD n’est pas toujours obligatoire pour tout projet IA ; l’intérêt légitime n’est pas toujours la bonne base légale ; des données publiques ne sont pas nécessairement libres d’utilisation ; un modèle open source n’est pas automatiquement hors RGPD.
Responsable de traitement ou sous-traitant : qui fait quoi ?
Le responsable de traitement détermine les finalités et les moyens essentiels du traitement. Le sous-traitant agit pour le compte du responsable de traitement, selon ses instructions. Dans un projet externalisé, le rôle de chaque partie doit être défini avant de transmettre les données.
Un prestataire IA ne devient pas automatiquement responsable de tout le projet. Il doit respecter le cadre fixé par le contrat, appliquer les mesures de sécurité prévues et signaler les éléments qui nécessitent une clarification.
Quelles précautions prendre avec un prestataire IA ?
Avant d’externaliser, l’entreprise doit clarifier la nature des données transmises, les finalités, les accès autorisés, le lieu de traitement ou d’hébergement, la durée de conservation, les mesures de sécurité, les sous-traitants ultérieurs, la restitution ou la suppression des données, la gestion des incidents, la traçabilité et les clauses contractuelles.
Le contrat doit aussi préciser les responsabilités de validation et de contrôle. L’équipe interne doit conserver la maîtrise du besoin, des données, des décisions métier et de la conformité attendue. Le prestataire intervient dans le cadre défini, sans remplacer les responsables juridiques ou conformité de l’entreprise.
La documentation doit permettre de comprendre ce qui a été fait : sources de données, finalités, transformations, accès, jeux de tests, limites du modèle, mesures de sécurité, critères de validation et règles de maintenance. Cette documentation facilite l’audit, la correction et le transfert de connaissances.
Pour suivre l’actualité réglementaire, les sources officielles sont à privilégier : les ressources de la CNIL sur l’intelligence artificielle, la page IA – Comment se mettre en conformité ?, l’avis 28/2024 du CEPD sur les modèles d’IA et le Code européen de bonnes pratiques pour l’IA à usage général. Ces références doivent être relues régulièrement, car les lignes directrices évoluent.
Conclusion
À quoi sert le RGPD dans un projet IA ? Il sert à donner un cadre de confiance : savoir quelles données personnelles sont utilisées, dans quel but, sous quelle responsabilité et avec quelles garanties pour les personnes.
Dans un projet externalisé, Rouge Hexagone peut aider à organiser le périmètre opérationnel et les échanges avec les profils techniques, tout en laissant les décisions juridiques et de conformité aux responsables compétents de l’entreprise.
