RGPD et IA

Le RGPD n'a pas été remplacé par l'AI Act. Il s'applique entièrement à ce que vous mettez dans un outil d'IA générative, et c'est lui, bien avant tout règlement sur l'IA, qui dit ce qu'une entreprise ne doit pas faire avec les données des personnes.

Le principe, en une phrase

Une donnée personnelle collée dans un outil d'IA est un traitement de données personnelles. Il lui faut donc une base légale, une finalité, une information des personnes, une durée, une sécurité, et un responsable. Ce n'est pas nouveau. Ce qui est nouveau, c'est la facilité avec laquelle n'importe qui, dans l'entreprise, peut faire ce traitement en dix secondes, sur un compte personnel, sans que personne le sache.

Trois cas, du plus simple au plus délicat

Un texte sans donnée personnelle. Une procédure, un argumentaire, un plan. Le RGPD ne s'applique pas. C'est la grande majorité des usages utiles, et c'est là qu'on gagne du temps sans risque. Un document avec des données personnelles, anonymisé. Les noms remplacés par des rôles, les références retirées. Si l'anonymisation est réelle, il n'y a plus de donnée personnelle. Si elle est superficielle, si on peut retrouver la personne, il y en a toujours. Un document avec des données personnelles, non anonymisé. Là, tout s'applique. Sous quel compte, chez quel éditeur, avec quel contrat de traitement, pour quelle finalité, la personne a-t-elle été informée ? Dans un outil grand public sous compte personnel, la réponse à toutes ces questions est « on ne sait pas », et ce n'est pas une réponse acceptable.

La CNIL

La CNIL a publié des recommandations sur l'intelligence artificielle, qui portent notamment sur les conditions de développement des systèmes et sur l'usage de données personnelles. Pour une entreprise qui utilise des outils grand public, l'essentiel se ramène à ce que dit déjà le RGPD, avec une attention particulière aux comptes utilisés, aux réglages de l'éditeur sur la réutilisation des données, et à l'information des personnes. Le site de la CNIL est la source ; cette page n'en est qu'un résumé d'orientation.

Ce qu'on fait, concrètement

On écrit la règle : ce qui ne va jamais dans un outil grand public, c'est le premier paragraphe de la charte. On apprend à anonymiser, pour de vrai, en une minute. On décide des comptes : un outil d'entreprise avec un contrat de traitement et des réglages vérifiés, ou rien. On informe le délégué à la protection des données, s'il existe, et on l'associe à l'écriture de la règle. Et on forme, parce qu'une règle que personne ne comprend n'est pas appliquée.

Ce que cette page n'est pas

Un avis juridique. Insuffle n'est pas un cabinet d'avocats et ne remplace ni votre DPO ni votre conseil. Cette page vous dit de quoi il s'agit pour que la conversation avec eux soit plus courte. La formation d'une journée, elle, fait ce qui est concret : la règle, l'anonymisation, le réflexe.