Responsable de traitement : comment mettre en place des systèmes d’IA dans l’éducation ?
L’IA, notamment générative, transforme les pratiques pédagogiques. La CNIL propose des conseils et bonnes pratiques à mettre en place dans ce cadre afin de guider les responsables de traitement dans leur mise en conformité avec la réglementation en matière de protection des données personnelles.
Les cas d’usage dans l’éducation
Les cas d’usage recourant aux technologies d’IA dans l’éducation sont nombreux et hétérogènes et s’articulent généralement autour de trois axes :
- L’utilisation par les enseignants, et plus largement l’équipe pédagogique, pour leurs tâches pédagogiques courantes (correction de copie, préparation des cours adaptés ou d’exercices, détection de contenu généré par IA, évaluation des élèves, orchestration de la salle de classe, surveillance des examens à distance, suivi des apprentissages via un tableau de bord, etc.).
- L’utilisation par les élèves, à la demande des services de l’éducation nationale, en dehors ou au sein de la classe (aide aux devoirs, à la lecture, adaptation à des besoins éducatifs particuliers, etc.).
- Et, éventuellement, le pilotage des institutions scolaires (sécurité des écoles, usages administratifs, planification, etc.).
Systèmes d’IA : de quoi parle-t-on ?
Le Parlement européen a défini l’intelligence artificielle comme tout outil utilisé par une machine afin de « reproduire des comportements liés aux humains, tels que le raisonnement, la planification et la créativité ». Le système d’IA est par ailleurs défini dans le Règlement européen sur l’IA comme un « système automatisé […] conçu pour fonctionner à différents niveaux d’autonomie et pouvant faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuels ».
De manière plus technique, l’intelligence artificielle est un procédé logique et automatisé reposant généralement sur un algorithme et en mesure de réaliser des tâches bien définies. Depuis 2023, c’est l’IA générative qui est au cœur des discussions : cette catégorie d’IA bien spécifique permet la génération de textes, d’images ou vidéos sur la base d’invites (ou prompts) proposées par l’utilisateur.
Les questions-réponses suivantes sont dédiées aux cadres scolaires et de l’enseignement, il peut donc s’agir notamment d’agents conversationnels (par exemple de chatbots) qui vont proposer des interactions individualisées, de services numériques qui vont générer des contenus d’enseignement à la demande de l’utilisateur (par exemple des exercices, des vidéos), ou encore d’autres services numériques (par exemple un outil d’évaluation des élèves).
Quels traitements sont visés ici ?
Les questions-réponses suivantes visent les traitements de données personnelles induits par l’usage des outils d’IA, telles que les données entrées dans les invites (ou prompts) ou pour s’enregistrer dans un service et les données de navigation.
Bien qu’un système d’IA, en particulier si son modèle sous-jacent contient des données personnelles issues de son entraînement, puisse être considéré comme un traitement de données personnelles, la FAQ se limite aux données entrées lors de l’interaction avec l’outil d’IA.
Lorsqu’un système d’IA est utilisé dans un établissement scolaire, et qu’il entraine un traitement de données personnelles des élèves, le délégué à la protection des données devrait systématiquement être associé à la procédure. Pour obtenir les moyens de contact du délégué à la protection des données de son académie, vous pouvez vous rendre sur la page dédiée du ministère de l’éducation nationale.
À qui s’adresse cette FAQ ?
Elle s’adresse aux responsables de traitements impliqués dans la mise en œuvre d’un système d’IA dans un cadre pédagogique, par exemple le directeur académique des services de l’éducation nationale (DASEN) dans le premier degré ou le chef d’établissement dans le second degré. Elle a vocation à apporter les premiers éléments de conformité au droit à la protection des données. Cette FAQ pourra, à titre d’information, intéresser d’autres acteurs de la communauté éducative.
