Bruxelles apporte une « nuance » au RGPD et ouvre la porte à l’entraînement de l’IA avec des données obtenues sans consentement

Même si nous passons toute la journée avec le mot « IA » à la bouche, il existe en Europe certaines applications et certains services auxquels l’Union leur a fermé la porte au nez. Cependant, une proposition de réforme du RGPD (Règlement Général sur la Protection des Données) permettrait à ces entreprises de former et d’exploiter des modèles avec des données personnelles sans avoir à demander l’autorisation de chaque personne.

Pour cela, ils pourront invoquer un « superpouvoir » appelé « intérêt légitime » et, même si certaines Big Tech se frottent sûrement déjà les mains, la proposition n’a pas encore force de loi. Voyons de quoi il s’agit.

En bref. Le 21 octobre, un comité appelé Coreper, qui rassemble les ambassadeurs des États membres, s’est mis d’accord sur la position avec laquelle le Conseil européen négociera avec le Parlement européen le Digital Omnibus (un paquet de simplification des normes numériques). Le Conseil a publié un document de 179 pages dans lequel il expose les modifications apportées à ce règlement européen sur la protection des données, à la directive ePrivacy qui réglemente les cookies, au règlement sur les données et à la directive sur la cybersécurité NIS2.

L’un des objectifs de ces changements (comme indiqué dans le document et comme nous le lisons dans IAPP) est de rationaliser la formation des modèles d’intelligence artificielle, permettant aux entreprises d’utiliser des données personnelles sur la base d’un intérêt légitime, car l’IA est devenue non seulement une question technologique, mais aussi une question géopolitique dans laquelle l’UE ne peut être laissée pour compte.

Ce que disait la loi jusqu’à présent. Le RGPD ne mentionne pas expressément l’IA, mais dans sa version actuelle, il offre les bases juridiques pour le traitement des données personnelles sans consentement, y compris cet « intérêt légitime » qui est répété dans le document du Conseil. Une entreprise peut utiliser des données si elle a un intérêt justifié et si les droits de la personne ne l’emportent pas. Cela nous oblige à peser au cas par cas, et cette pondération est le point de friction entre les sociétés d’IA et les défenseurs de la vie privée.

Les données personnelles sont des informations sur une personne identifiée ou identifiable et, dans le RGPD, il est interdit de traiter des données sensibles (santé, origine ethnique ou similaire) à quelques exceptions près. N’importe qui peut s’opposer au traitement sur la base d’un intérêt légitime et il existe des cas tels que la réutilisation des données des utilisateurs à des fins de recherche scientifique qui sont déjà considérés comme compatibles avec la finalité initiale de protection des droits des utilisateurs. Dans ces cas-là, des mesures doivent être mises en place pour que ces droits ne soient pas violés.

Que veulent-ils qu’il se passe ? Si le texte du Conseil est adopté, une entreprise pourra développer et exploiter des modèles d’IA avec des données personnelles en fonction de son intérêt légitime ou de celui d’un tiers, et sans demander de consentement. Il convient de préciser qu’aujourd’hui, le RGPD n’exige pas le consentement lorsqu’il existe un intérêt légitime. La nouveauté est que cela serait écrit expressément pour l’IA (nouvel article 88 bis) et les limites sont supprimées. À la page 145, le Conseil raye les garanties que la Commission avait ajoutées : le droit d’opposition inconditionnelle et l’exception expresse pour les mineurs et pour les lois qui nécessitent le consentement.

En outre, une nouvelle exception permettrait le traitement accessoire et résiduel de données sensibles précédemment divulguées pendant le développement et l’exploitation technique du système si l’entreprise n’avait pas l’intention de les collecter. Si ces données transitent sans que l’entreprise veuille les collecter, elle devra les éviter, les supprimer dès qu’elle les détecte et les protéger. Cela ne couvre pas les données que l’utilisateur fournit directement, comme ce qu’il saisit dans un chatbot, ni l’utilisation intentionnelle, par exemple, de la voix ou de l’image.

Le Conseil souhaite également faciliter la recherche scientifique, y compris celle des entreprises privées à des fins commerciales, à condition qu’elle soit autonome et indépendante et que l’entreprise justifie dans chaque cas qu’elle l’est et que ses résultats soient vérifiables et transparents. Et il propose que les données pseudonymisées, celles dans lesquelles l’identité de la personne a été séparée, cessent d’être des données personnelles pour le tiers qui les reçoit s’il ne peut identifier personne. Si vous le pouvez, ils sont toujours soumis au RGPD.

Qu’est-ce qui arrive maintenant ? Même si nous avons déjà vu des messages sur Twitter suggérant qu’il s’agit d’une modification de la loi, d’une initiative européenne ou que les dirigeants de l’UE ont approuvé des modifications du RGPD, il s’agit toujours d’une proposition et il reste encore du chemin à parcourir et des négociations.

En fait, tout reste à définir, puisque le Conseil, la Commission européenne et le Parlement européen (qui n’a pas encore de position) devront négocier chacun de ces changements proposés et le temps presse non plus. La CE a demandé la fermeture de tous les bus en attente avant la fin de cette année, et il ne reste plus grand-chose.

Bien entendu, il ne faut pas confondre cette proposition de réforme avec l’AI Act, la loi européenne sur l’IA, puisqu’elle passe par d’autres voies.

Images | Conseil européen

À Simseo | Le gouvernement espagnol fait marche arrière : il assouplit la réglementation des centres de données pour ne pas effrayer les entreprises d’IA