Le 10 avril 2024, la CNIL a présenté une série de 7 recommandations pratiques destinées aux acteurs de l’IA pour les aider à se conformer au règlement général sur la protection des données (RGPD).
Les recommandations se concentrent sur la phase de développement des systèmes d’IA et non sur leur déploiement.
Les 7 fiches de recommandations abordent différents aspects sensibles de la protection des données personnelles, tant d’un point de vue technique que juridique.
Elles visent à garantir que les systèmes d’IA soient en conformité avec les points d’attention du RGPD dès la phase de conception et de développement.
Les recommandations abordent les sujets suivants :
- Le régime juridique applicable : RGPD, régime spécifique aux secteurs « police-justice », régime concernant la Défense nationale ou la sûreté de l’État.
- La clarté de l’objectif du programme d’IA dès le stade du projet et sa compatibilité avec les missions de l’organisme.
- La qualification juridique des fournisseurs de systèmes d’IA (responsable de traitement, responsable conjoint, sous-traitant).
- La légalité des procédures de traitement des données personnelles, qu’elles proviennent directement des personnes ou de sources ouvertes sur internet.
- La réalisation d’une étude d’impact des risques pour les droits et libertés des personnes.
- La conception adéquate du système en matière de protection des données.
- La protection des données lors de la collecte et de la gestion des données, en veillant à la pertinence des données collectées par rapport aux objectifs poursuivis.
Le rapport précise qu’une autre série de fiches sera publiée ultérieurement, abordant la notion d’intérêt légitime, la gestion des droits et l’information des personnes.
La CNIL attire également l’attention sur les techniques utilisées dans la phase de développement des systèmes d’IA générative, telles que l’apprentissage automatique.
Deux situations d’utilisation de données personnelles sont envisagées : lorsque la base de données de l’IA contient des données personnelles et lorsque ces données peuvent figurer dans la base sans avoir été préalablement anonymisées.
Il est important de noter que ces recommandations ne sont pas contraignantes pour les utilisateurs, mais plutôt des bonnes pratiques permettant de se conformer au RGPD.
Nos formations sur ces thématiques :
- L’intelligence artificielle dans les territoires
- Le traitement des données à l’heure du RGPD
