Intelligence artificielle : le plan d’action de la CNIL

2. Permettre et encadrer le développement d’IA respectueuses des données personnelles

De nombreux acteurs ont fait part à la CNIL de l’incertitude entourant l’application du RGPD à l’IA, notamment pour l’entraînement des IA génératives.

Afin d’accompagner les acteurs du domaine de l’intelligence artificielle et pour préparer l’entrée en application du règlement européen sur l’IA (en cours de discussion au niveau européen et sur lequel la CNIL et ses homologues européennes avaient publié un avis en 2021), la CNIL propose déjà :

• de premières fiches sur l’IA, publiées en 2022 sur cnil.fr, comprenant notamment des contenus pédagogiques sur les grands principes de l’IA et un guide pour accompagner les professionnels dans leur mise en conformité ;
• une position, également publiée en 2022, sur l’usage de la vidéosurveillance « augmentée » qui utilise l’IA sur des images de l’espace public.

Elle poursuit ses travaux doctrinaux et publiera prochainement plusieurs documents. Ainsi :

• la CNIL soumettra bientôt à une consultation un guide sur les règles applicables au partage et à la réutilisation de données. Ces travaux incluront notamment la question de la réutilisation de données librement accessibles sur internet et aujourd’hui utilisées pour l’apprentissage de nombreux modèles d’IA. Ce guide sera donc pertinent pour toute une partie des traitements de données nécessaires à la conception des systèmes d’IA, dont les IA génératives.
• elle poursuivra également ses travaux sur la conception de systèmes d’IA et la constitution de bases de données pour l’apprentissage automatique. Ceux-ci donneront lieu à plusieurs publications à partir de l’été 2023, à la suite de la concertation qui a déjà été organisée avec plusieurs acteurs, afin d’apporter des recommandations concrètes, notamment en ce qui concerne la conception des systèmes d’IA comme ChatGPT. Les thématiques suivantes seront progressivement abordées :
  • l’utilisation du régime de la recherche scientifique pour la constitution et la réutilisation des bases de données d’entraînement ;
  • l’application du principe de finalité aux IA à usage général et aux modèles de fondation que sont par exemple les grands modèles de langage ;
  • l’explicitation du partage des responsabilités entre les entités qui constituent les bases de données, celles qui élaborent des modèles à partir de ces données et celles qui utilisent ces modèles ;
  • les règles et bonnes pratiques applicables à la sélection des données pour l’entraînement, au regard des principe d’exactitude et de minimisation des données ;
  • la gestion des droits des personnes et notamment les droits d’accès, de rectification et d’opposition ;
  • les règles applicables concernant la durée de conservation, notamment pour les bases d’entraînement et les modèles les plus complexes à constituer ;
• enfin, consciente que les problématiques soulevées par les systèmes d’intelligence artificielle ne s’arrêtent pas à leur conception, la CNIL poursuit également ses réflexions éthiques sur l’utilisation et le partage des modèles d’apprentissage automatique, la prévention et la correction des biais et discriminations, ou encore sur la certification des systèmes d’IA.

3. Fédérer et accompagner les acteurs innovants de l’écosystème IA en France et en Europe

La régulation de l’IA de la CNIL vise à faire émerger, promouvoir et aider à prospérer des acteurs dans un cadre fidèle aux valeurs de protection de droits et libertés fondamentaux françaises et européennes. Cet accompagnement, déjà engagé, prend trois formes :

• la CNIL a lancé depuis 2 ans un « bac à sable » pour accompagner les projets et acteurs innovants, ce qui l’a notamment conduite à se pencher sur des projets reposant sur l’IA. Les « bacs à sable » sur la santé en 2021 (12 projets accompagnés) et sur l’éducation en 2022 (10 projets accompagnés) ont ainsi permis de fournir des conseils adaptés à des acteurs innovants de l’IA dans ces domaines. La CNIL ouvrira bientôt un nouvel appel à projet pour l’édition de 2023, qui concernera notamment l’usage de l’intelligence artificielle dans le secteur public ;
• elle a lancé un programme d’accompagnement spécifique des fournisseurs de vidéosurveillance « augmentée » dans le cadre de l’expérimentation prévue par la loi relative aux Jeux olympiques et paralympiques de 2024 ;
• enfin, la CNIL a ouvert en 2023 un nouveau programme « d’accompagnement renforcé » pour assister des entreprises innovantes dans leur conformité au RGPD : les premiers lauréats de cet accompagnement renforcé sont des entreprises innovantes dans le domaine de l’IA.

Plus généralement, la CNIL souhaite engager un dialogue nourri avec les équipes de recherche, centres de R&D et entreprises françaises développant, ou souhaitant développer, des systèmes d’IA dans une logique de conformité aux règles de protection des données personnelles.

Ces équipes et entreprises peuvent prendre contact avec la CNIL à l’adresse ia@cnil.fr.

4. Auditer et contrôler les systèmes d’IA et protéger les personnes  

La définition du cadre permettant le développement des systèmes d’intelligence artificielle dans le respect des droits et libertés individuelles implique, en aval, que la CNIL en contrôle le respect. Il est donc essentiel pour la CNIL de développer un outillage permettant d’auditer les systèmes d’IA qui lui sont soumis et cela tant de manière à priori qu’à postériori.

L’action de contrôle de la CNIL portera notamment en 2023 sur :

• le respect de la position sur l’usage de la vidéosurveillance « augmentée », publiée en 2022, par les acteurs publics et privés ;
• l’usage de l’intelligence artificielle pour la lutte contre la fraude, par exemple pour la lutte contre la fraude à l’assurance sociale, au regard des enjeux liés à l’usage de tels algorithmes ;
• l’instruction de plaintes déposées auprès de la CNIL. Si le cadre juridique de l’entraînement et de l’utilisation des IA génératives nécessite d’être clarifié, ce à quoi la CNIL va s’employer, des plaintes ont d’ores et déjà été déposées. La CNIL a, en particulier, reçu plusieurs plaintes à l’encontre de la société OpenAI qui gère le service ChatGPT, et a ouvert une procédure de contrôle. En parallèle, un groupe de travail dédié a été créé au sein du Comité européen de la protection des données ou CEPD (en anglais), en vue d’assurer une démarche coordonnée des autorités européennes et une analyse harmonisée des traitements de données mis en œuvre par l’outil d’OpenAI.

La CNIL sera particulièrement attentive à ce que les acteurs traitant des données personnelles afin de développer, d’entraîner ou d’utiliser des systèmes d’intelligence artificielle aient :

• réalisé une analyse d’impact relative à la protection des données (AIPD) pour documenter les risques et pris des mesures permettant de les diminuer ;
• pris des mesures d’information des personnes ;
• prévu des mesures d’exercice des droits des personnes adaptées à ce contexte particulier.

Grâce à ce travail collectif et essentiel, la CNIL souhaite instaurer des règles claires, protectrices des données personnelles des citoyens européens afin de contribuer au développement de systèmes d’IA respectueux de la vie privée.