Un cadre attendu pour encadrer l’IA en Europe
L’Union européenne a adopté en 2024 le règlement sur l’intelligence artificielle (AI Act). C’est le premier texte au monde qui vise à réguler de manière transversale l’usage de l’IA, avec une application progressive jusqu’en 2027.
Les principales échéances sont les suivantes :
-
2 février 2025 : interdiction de certaines pratiques jugées « à risque inacceptable ».
-
2 août 2025 : mise en place des règles pour les modèles d’IA à usage général (GPAI) et désignation des autorités de contrôle dans chaque État membre.
-
2026-2027 : entrée en application pour les systèmes à haut risque et pour certains produits réglementés.
C’est dans ce contexte que la CNIL a publié ses recommandations. Elles ne créent pas de nouvelles obligations : elles aident les acteurs à appliquer le RGPD aux systèmes d’IA, en complément de l’AI Act.
L’AI Act : un règlement qui change la donne
Le texte s’appuie sur une approche par les risques :
-
Risque inacceptable : certaines pratiques sont interdites (notation sociale, manipulation cognitive, certaines formes de surveillance biométrique).
-
Risque élevé : obligations renforcées pour les systèmes utilisés dans des secteurs sensibles (santé, éducation, recrutement, justice, infrastructures critiques). Les exigences portent sur la gouvernance des données, la gestion des risques, la documentation technique, la supervision humaine et la robustesse.
-
Risque limité : obligations de transparence (par exemple, mentionner qu’un utilisateur interagit avec une IA).
-
Risque minimal : liberté d’usage, sans contraintes particulières.
Les modèles d’IA à usage général (GPAI) font l’objet de règles spécifiques :
-
documentation technique obligatoire,
-
résumé des données d’entraînement,
-
respect du droit d’auteur,
-
exigences renforcées pour les modèles présentant des risques systémiques.
2026-2027 : un tournant pour les systèmes à haut risque et les produits de santé
À partir de 2026, les exigences de conformité s’appliqueront aux systèmes classés « à haut risque » selon l’annexe III de l’AI Act.
Sont concernés notamment :
-
les systèmes utilisés dans le recrutement ou l’évaluation du personnel,
-
ceux utilisés pour l’accès à l’éducation,
-
et, point crucial pour les établissements de santé, ceux déployés dans le domaine médical (par ex. aide au diagnostic, outils de triage, dispositifs médicaux logiciels, gestion du parcours patient).
Ces systèmes devront respecter des exigences détaillées :
-
gestion des risques et documentation de bout en bout,
-
gouvernance des données (qualité, représentativité, absence de biais),
-
traçabilité et transparence technique,
-
supervision humaine (impossibilité de déléguer totalement une décision médicale à l’IA),
-
sécurité, robustesse et exactitude des résultats.
À partir de 2027, les obligations de l’AI Act s’appliqueront également aux produits déjà réglementés (ex. dispositifs médicaux couverts par le règlement européen MDR), afin d’articuler les deux cadres juridiques.
Obligations classiques pour les projets IA : le socle RGPD
Dès lors que des données personnelles sont utilisées, le RGPD s’applique intégralement. La CNIL rappelle les obligations suivantes pour les responsables de traitement :
-
définir une finalité déterminée, même si elle reste générale,
-
choisir une base légale adaptée,
-
limiter la collecte à ce qui est strictement nécessaire (minimisation),
-
informer les personnes concernées et garantir leurs droits,
-
fixer des durées de conservation proportionnées,
-
mettre en place des mesures de sécurité techniques et organisationnelles,
-
vérifier la licéité des bases de données utilisées, y compris lorsqu’elles proviennent de l’open source.
Ces exigences sont le socle de tout traitement, y compris lorsqu’il s’agit de développer ou d’exploiter un modèle d’IA.
Obligations spécifiques aux fournisseurs de solutions d’IA
En complément de ce socle, certains usages propres à l’IA nécessitent des précisions supplémentaires. La CNIL en identifie trois qui reviennent fréquemment : le moissonnage, le statut du modèle et l’annotation des données.
Moissonnage (web scraping)
Le moissonnage de données accessibles en ligne (ex. collecte massive d’images ou de textes) est une pratique courante pour constituer des jeux d’entraînement. Mais le fait qu’une donnée soit « publique » ne signifie pas qu’elle soit libre de droit.
-
Il faut d’abord identifier une base légale (par ex. l’intérêt légitime, à condition de réaliser une analyse sérieuse de mise en balance).
-
La collecte doit rester proportionnée : aspirer « tout le web » n’est pas justifiable.
-
Les personnes doivent pouvoir exercer leurs droits (opposition, effacement). En pratique, cela suppose de prévoir des mécanismes permettant de retirer une donnée sur demande.
-
Enfin, il faut respecter les conditions d’utilisation des sites sources (licéité) et éviter la réutilisation de données dont la diffusion publique n’impliquait pas le consentement à une réutilisation pour entraîner une IA.
Statut du modèle d’IA
Un modèle n’est pas forcément neutre : même entraîné sur de grandes masses de données, il peut mémoriser certaines informations personnelles de façon exploitable. Des travaux de recherche ont montré qu’il est parfois possible de « réextraire » des données du modèle (attaques par réidentification).
La CNIL et le CEPD rappellent qu’il faut donc :
-
considérer qu’un modèle peut être lui-même un traitement de données personnelles,
-
réaliser une analyse du statut du modèle : tests techniques pour vérifier si des données personnelles peuvent être raisonnablement ré-identifiées,
-
documenter cette analyse, afin de démontrer si le RGPD s’applique directement au modèle en plus des données d’entraînement.
Annotation des données
L’annotation (ajout de labels ou de métadonnées aux jeux de données) est une étape essentielle dans le développement d’une IA. Mais elle soulève des enjeux spécifiques :
-
Lorsque des données sensibles sont concernées, comme les données de santé utilisées pour la recherche médicale, des garanties renforcées sont indispensables :
-
encadrement juridique strict (RGPD, droit national, autorisations CNIL, méthodologies de référence),
-
mesures organisationnelles (confidentialité des annotateurs, contrats spécifiques),
-
mesures techniques (sécurisation des environnements d’annotation, traçabilité).
-
-
Même pour des données non sensibles, il convient d’assurer la qualité de l’annotation et d’éviter les biais discriminatoires liés à des consignes ou pratiques mal calibrées.
L’analyse d’impact : un passage quasi obligatoire
La réalisation d’une AIPD (analyse d’impact relative à la protection des données) est fortement recommandée, voire obligatoire, lorsqu’un système d’IA est développé ou déployé dans les conditions prévues par l’AI Act.
L’objectif est d’identifier les risques pour les personnes et de documenter les mesures de protection mises en place, ce qui constitue aussi une preuve de conformité.
Conclusion : anticiper pour se mettre en conformité
L’AI Act et le RGPD s’articulent : le premier fixe un cadre sectoriel autour de l’IA, le second continue de protéger les données personnelles. Les recommandations de la CNIL permettent aux acteurs de passer du texte juridique à la mise en pratique.
Dès aujourd’hui, les organisations devraient :
-
anticiper les obligations GPAI applicables dès août 2025,
-
clarifier leurs rôles (responsable de traitement ou sous-traitant),
-
mettre en œuvre des AIPD,
-
documenter leurs jeux de données et leurs modèles.
C’est la condition pour aborder sereinement l’entrée en application progressive du règlement jusqu’en 2027 et gagner la confiance des utilisateurs.
