Protection des données : la CNIL présente un plan d’action concernant l’IA et ChatGPT

La Commission nationale de l’informatique et des libertés (CNIL) a publié mardi (16 mai) un plan d’action pour un déploiement de systèmes d’intelligence artificielle respectueux de la vie privée, et notamment pour les applications génératives telles que ChatGPT.

ChatGPT, le chatbot le plus célèbre au monde, a élargi sa base d’utilisateurs à 100 millions d’utilisateurs au cours des deux premiers mois qui ont suivi son lancement. Toutefois, sa popularité grandit de concert avec les inquiétudes sur la manière dont il recueille et traite les données personnelles.

« Face aux enjeux liés à la protection des libertés, à l’accélération de l’IA et à l’actualité liée aux IA génératives, la régulation de l’intelligence artificielle constitue un axe principal de l’action de la CNIL », peut-on lire dans l’annonce.

Fin mars, l’organisme de surveillance italien Garante a sanctionné OpenAI, fournisseur de ChatGPT, pour violation de la protection des données. Le service a ensuite été rétabli en Italie en avril après que des mesures correctives ont été apportées.

La décision de la Garante a ouvert la voie à une approche fragmentée dans l’ensemble de l’UE. Le Comité européen de la protection des données (CEPD), qui regroupe tous les régulateurs de données de l’UE, a créé un groupe de travail pour assurer une application cohérente de la législation.

Le rôle de la CNIL

Au niveau européen, l’autorité française est déjà considérée comme l’une des plus influentes de l’UE, ce qui signifie que le plan pourrait influencer la manière dont les régulateurs européens abordent la question de ChatGPT et autres IA génératives.

Au niveau national, une source bien informée sur le sujet a confié à EURACTIV sous couvert d’anonymat que l’autorité française de protection des données se positionne pour mettre en œuvre l’application nationale de la législation sur l’IA (AI Act), une législation européenne historique visant à règlementer l’IA sur base de sa capacité à causer des dommages.

Cette ambition est inscrite dans le plan d’action qui précise que « ces travaux permettront également de préparer l’entrée en application du projet de règlement européen sur l’IA ».

Une approche en quatre étapes

Les quatre étapes du plan d’action consistent à comprendre la technologie, à encadrer son développement, à créer un écosystème de l’IA et à contrôler les systèmes d’IA.

La première étape a pour objectif d’apporter des réponses aux questions liées à la protection des données. Elles concernent notamment les sujets de transparence et de traitements des données d’entraînement, de protection des données accessibles publiquement, de règlementation du moissonnage (scraping) de données, de protections contre les biais et les discriminations et des enjeux de sécurité.

Ces aspects étant prioritaires dans l’UE et en France, la CNIL a consacré des ressources internes pour répondre à ces questions et a déjà publié un dossier présentant son avis quant aux réponses à apporter sur les sujets de la protection des données.

Le volet d’encadrement du développement de l’IA souhaite orienter les entreprises d’IA générative vers des développements techniques respectant les données personnelles en publiant des documents d’orientation et en partageant les bonnes pratiques et en rappelant les règles applicables.

Le volet « écosystème » comporte trois niveaux. Il vise à étendre le champ d’application de la règlementation existante de l’autorité de régulation aux projets innovants basés sur l’IA.

La CNIL a également lancé un concours pour aider les entreprises à se conformer aux règles européennes de protection des données. En outre, l’autorité française a lancé un projet pour les fournisseurs de « vidéosurveillance renforcée » dans le cadre de l’expérimentation par le gouvernement français de ces outils prévus dans la loi sur les Jeux olympiques et paralympiques de Paris en 2024.

Le dernier volet du plan d’action de la CNIL concerne ses missions constitutives : l’audit et le contrôle des systèmes numériques. Le régulateur de la vie privée se concentrera sur le respect de l’utilisation de la vidéosurveillance renforcée, l’utilisation de l’IA dans la lutte contre la fraude et l’instruction des plaintes déposées à l’encontre d’IA génératives.

Sur ce dernier point, le régulateur français note qu’il a déjà reçu plusieurs plaintes contre OpenAI, qu’il instruira en coordination avec ses homologues du CEPD.

[Édité par Anne-Sophie Gayet]