Par Haas Avocats
Le 10 juin 2024, la CNIL avait lancé une consultation publique sur le développement de systèmes d’Intelligence artificielle (IA).
Le 7 février 2025, la CNIL a publié ses nouvelles recommandations pour accompagner une innovation responsable. Elle a reçu 62 contributions représentatives d’organismes[1] publics et privés.
Grâce à ces contributions et travaux, la CNIL a alimenté huit fiches consacrées à l’IA dont, en particulier, celles relatives à l’information des personnes et à l’exercice des droits.
Les modifications de la CNIL sur la fiche sur l’information des personnes
La CNIL a modifié partiellement cette fiche suite à cette consultation. Pour ce faire, elle rappelle l’obligation d’informer[2] de façon individuelle.
Puis elle précise qu’en cas d’impossibilité de réaliser cette obligation, il peut être utile de publier une notice d’information sur le site internet. Selon le cas de figure, il pourra fournir des indications sur les sources ou sur les catégories de sources.
- En particulier, concernant la possibilité de déroger à l’obligation d’information individuelle, la CNIL inclut un exemple relatif à la collecte de données d’entrainement d’un modèle de fondation qui pourrait se prévaloir de la dérogation.
La CNIL rappelle aussi qu’il est envisageable d’opter pour des modalités d’informations d’alternatives (cartes de données, modèles ou systèmes d’IA).
Toutefois, elle n’apporte pas de clarification opérationnelle concernant le délai raisonnable entre le moment où les personnes sont informées que leurs données sont contenues dans une base de données d’apprentissage, et l’entraînement d’un modèle sur cette base.
- Elle précise à nouveau qu’il revient au responsable du traitement de juger du délai approprié selon le cas d’usage.
Les modifications de la CNIL sur la fiche sur l’exercice des droits
Concernant l’exercice des droits, la CNIL précise que « permettre l’exercice des droits n’est pas obligatoire lorsque le responsable du traitement démontre qu’il n’est pas en mesure d’identifier les personnes ».
Plus précisément, elle indique que les responsables restent tenus de documenter la conformité de leur traitement, y compris s’agissant des sources de données utilisées quand bien même ils ne seraient pas en mesure d’identifier les sources de données précises de chaque personne.
De façon globale, elle réaffirme l’importance du principe de la protection des données qui doit être pris en compte dès la conception et par défaut[3]. Elle réinsiste d’ailleurs sur la bonne pratique relative à la liste repoussoir pour le moissonnage au point 4.
Il faut préciser que le terme de moissonnage employé par la CNIL renvoie à a collecte de données personnelles accessibles en ligne par moissonnage ou communément appelé « web scraping ».
Face à ces pratiques et malgré les difficultés techniques exprimées par les contributeurs lors de la consultation, la CNIL répond qu’elle encourage le développement de mécanisme de « liste repoussoir ». Il s’agit de solutions techniques permettant de faciliter le respect de l’exercice du droit d’opposition en amont de la collecte de données[4].
Une autre bonne pratique mise en avant par la CNIL est de communiquer sur les mises à jour des bases de données ou modèles via la documentation du jeu de données ou sur le site web des fournisseurs.
Les nouvelles recommandations de la CNIL visent à encadrer le développement de l’intelligence artificielle dans le respect des droits fondamentaux des individus. Grâce aux contributions recueillies, la CNIL a affiné ses orientations, notamment en matière d’information des personnes et d’exercice des droits. Si elle apporte des clarifications utiles, certaines questions opérationnelles restent en suspens, notamment sur les délais d’information. Sujet à suivre…
***
Le cabinet HAAS Avocats est spécialisé depuis plus de vingt-cinq ans en droit des nouvelles technologies et de la propriété intellectuelle. Il accompagne de nombreux acteurs du numérique dans le cadre de leurs problématiques judiciaires et extrajudiciaires relatives au droit de la protection des données. Dans un monde incertain, choisissez de vous faire accompagner par un cabinet d’avocats fiables. Pour nous contacter, cliquez ici.
[1] 28 entreprises privés, 11 organisations représentantes des professionnels, des associations représentatives de la société civile, des particuliers et des administrations publiques et 4 cabinets d’avocat
[2] Articles 12 à 14 du RGPD
[3] Article 25 du RGPD
[4] « (…) le développement de solutions techniques qui permettront de faciliter le respect de l’exercice du droit d’opposition en amont de la collecte des données. Il existe, pour certains traitements, des mécanismes de « liste repoussoir », qui pourraient être transposés lorsque c’est adapté au regard du traitement de données mis en œuvre (…) » Voir Point 4 « Sur la bonne pratique relative à la liste repoussoir pour le moissonnage », p.8 Consultation publique Fiches pratiques sur l’information et l’exercice des droits pour le développement de systèmes d’IA .
