Lignes directrices EDPB 4/2024 sur l'IA et la protection des données

Vue d'ensemble

Avec les lignes directrices 4/2024 sur l'intelligence artificielle et la protection des données, le Comité européen de la protection des données (EDPB) précise l'application du RGPD aux systèmes d'IA. L'objectif est d'établir des standards uniformes pour les autorités de contrôle et les organisations.

Les lignes directrices ne sont pas juridiquement contraignantes, mais elles ont un poids considérable dans l'interprétation du RGPD et dans les procédures de contrôle réglementaire.

Cet article explique :

• Le champ d'application des lignes directrices
• Les déclarations clés sur la base juridique de l'entraînement IA
• La relation RGPD et Loi sur l'IA de l'UE
• Les exigences en matière de droits des personnes concernées
• La délimitation des responsabilités (responsable de traitement/sous-traitant)
• Les implications pratiques pour les organisations

Objectifs des lignes directrices

Les lignes directrices traitent notamment :

• L'entraînement de modèles d'IA avec des données à caractère personnel
• Le déploiement de l'IA générative
• Le profilage et les décisions automatisées
• Les obligations de transparence et de responsabilité

Base juridique pour l'entraînement IA

L'EDPB précise :

• Chaque phase du développement de l'IA constitue un traitement distinct
• L'entraînement, le fine-tuning et l'inférence doivent chacun être évalués juridiquement

Déclaration clé

Il ne suffit pas de supposer une base juridique globale pour le « développement IA ».

Au lieu de cela, il faut examiner :

• Quelles données sont utilisées ?
• Dans quel but ?
• Y a-t-il un changement de finalité ?

Intérêt légitime dans l'entraînement de modèles

L'EDPB souligne :

• La mise en balance des intérêts doit être effectuée avec un soin particulier
• Une intensité élevée d'ingérence peut plaider contre l'art. 6(1)(f)
• Les données sensibles augmentent le risque

Facteurs d'évaluation typiques :

• Attentes raisonnables de la personne concernée
• Nature des données
• Étendue du traitement
• Mesures de protection en place

Relation entre RGPD et Loi sur l'IA de l'UE

Les lignes directrices soulignent :

• La Loi sur l'IA ne remplace pas le RGPD
• Les deux instruments juridiques s'appliquent de manière cumulative

Exemple : Un système d'IA à haut risque au titre de la Loi sur l'IA peut simultanément :

• Déclencher une obligation d'AIPD
• Fonder des obligations de transparence au titre des art. 13/14 RGPD
• Engager l'art. 22 RGPD

Droits des personnes concernées dans les systèmes d'IA

L'EDPB précise les exigences concernant :

• Le droit d'accès (art. 15 RGPD)
• Le droit à l'effacement (art. 17 RGPD)
• Le droit d'opposition (art. 21 RGPD)

Particulièrement pertinent :

Explication de la logique

• Les personnes concernées doivent pouvoir comprendre comment les décisions sont prises
• Une description générale des principaux critères est requise

Effacement des données d'entraînement

• Les organisations doivent évaluer si les données peuvent être retirées des jeux de données d'entraînement
• L'impossibilité technique ne dispense pas automatiquement de l'obligation

Délimitation des responsabilités

L'EDPB souligne la distinction précise entre :

Avec les systèmes d'IA, cela peut être complexe :

• Qui détermine la finalité de l'entraînement ?
• Qui définit les paramètres ?
• Qui contrôle les sources de données ?

Transparence dans l'IA générative

L'EDPB met en avant :

• Le marquage clair des interactions automatisées
• L'avertissement sur les erreurs possibles
• L'information sur les catégories de données d'entraînement

La transparence doit être :

• compréhensible
• précise
• et accessible

Protection des données dès la conception

Les lignes directrices soulignent :

• L'intégration précoce de la protection des données
• La pseudonymisation
• La minimisation des données
• Les mesures de protection techniques

Cela correspond à l'art. 25 RGPD.

Risques spécifiques à l'IA

L'EDPB identifie notamment :

• Les biais
• La discrimination
• Le manque de traçabilité
• La transparence des données d'entraînement
• Les changements de finalité

Ces risques doivent être documentés dans le cadre de l'obligation de responsabilité.

Implications pratiques pour les organisations

1. Rehausser les standards de documentation

• Documenter les processus d'entraînement
• Préciser les définitions de finalité
• Communiquer la provenance des données

2. Définir clairement les rôles

• Responsable de traitement vs. sous-traitant
• Examiner les arrangements contractuels

3. Opérationnaliser les droits des personnes concernées

• Définir les processus d'effacement
• Établir des mécanismes de réponse aux demandes d'accès
• Mettre en place des processus d'examen des oppositions

4. Construire une structure de gouvernance

• Nommer des responsables de conformité IA
• Définir l'interface entre RGPD et Loi sur l'IA

Idées reçues courantes

Importance stratégique

Les lignes directrices montrent clairement :

• L'IA est soumise à un contrôle strict en matière de protection des données
• Les autorités de contrôle développent des standards communs
• La documentation devient un point de contrôle central

Les organisations devraient donc agir de manière proactive.

Prochaines étapes

1. Examinez vos projets d'IA à la lumière des lignes directrices de l'EDPB.
2. Documentez les phases d'entraînement et de traitement séparément.
3. Clarifiez la répartition des rôles et des responsabilités.
4. Mettez en place des explications transparentes de la logique.
5. Intégrez les évaluations RGPD et Loi sur l'IA dans un système de gouvernance unifié.