A l’occasion de la publication de son rapport annuel 2023, la Cnil monte que le nombre de plaintes reçues a fortement augmenté. La Cnil insiste également sur le rôle qu’elle souhaite absolument jouer dès maintenant dans la régulation de l’IA (suite…)
Priorité de la stratégie nationale de prévention et de lutte contre la pauvreté, les Start-up d’Etat du Groupement d’intérêt public (GIP) “Plateforme de l’inclusion” se sont pleinement engagées dans la transformation numérique du service public de l’insertion. Les Emplois de l’inclusion, Immersion Facilitée, Dora et bien d’autres, ont pour objectif de former un écosystème cohérent pour faciliter la vie des acteurs de l’insertion et des usagers !
Les enjeux de notre accompagnement ont été doubles, une mise en conformité rapide et complète, comme nous le faisons classiquement avec les Start-up d’Etat, et la pérennisation de ces solutions numériques dans des structures juridiques adaptées.
Accompagner la conformité des SE du GIP Plateforme de l’inclusion : une mission délicate mais passionnante
Amorcée dès 2020, la conformité des Start-up de l’inclusion s’est poursuivie avec nos experts en 2023. Pour rappel l’entrée en vigueur du RGPD en 2018 exige désormais un travail d’accountability, c’est-à-dire de suivi et de mise en œuvre de documentation et procédure interne (politique de confidentialité, fiche de registre de traitement, audit et Privacy by design), permettant de démontrer la mise en conformité du service numérique.
Le point commun de ces Start-up et du travail de conformité ?
Les deux visent à aider des usagers en situation délicate sur le plan de l’insertion. Pour la CNIL, cela suppose une analyse des risques juridiques et techniques sur leur vie privée et sur leurs données, notamment eu égard aux types de données traitées : la situation économique ou encore l’accompagnement lié à une situation spécifique comme le handicap.
Pour Numéricité, cela signifie un travail de co-construction de l’argumentaire juridique se fondant sur les besoins métiers ou utilisateurs. Tout ça dans notre grande spécialité : la rédaction des terribles… mais passionnantes analyses d’impact sur la protection des données (AIPD) et ce dans un temps record !
Établir et sécuriser le service public numérique dans la durée !
Cet enjeu s’est manifesté dans la création d’un Groupement d’intérêt public « Plateforme de l’inclusion ». Nos experts en conformité l’ont notamment accompagnée sur les questions relatives au droit du numérique.
L’échange des données au sein des administrations, déjà affirmé par la loi de 2016 pour une République numérique a été renforcé au sein de la loi 3DS. Cet engagement législatif, formalisé dans le code de l’action sociale et des familles, devrait être un facilitateur pour les équipes des start-up d’États et pour nos experts. L’ouverture et la mise en commun de la donnée demeurent des éléments essentiels à l’amélioration des services publics numériques.
Le GIP, une instance dont l’objectif est de favoriser une gouvernance agile et plurielle, répond à ces problématiques, tout en conservant une composante « publique ».
L’objectif et la structure juridique du GIP permettent la mise en œuvre d’une politique publique numérique, conservant l’idée des start-up d’Etat : une co-construction au service des usagers dans le respect des sujets de conformité au RGPD, dont les citoyens se saisissent de plus en plus.
La CNIL a publié ce 8 avril ses premières recommandations sur l’application du RGPD au développement des systèmes d’IA. Elaborées après une consultation publique de deux mois et une série de rencontres avec des acteurs publics et privés pour recueillir leurs interrogations sur le sujet, elles visent à éclairer les décisions stratégiques de développement ou d’utilisation que ces derniers devront prendre dans les prochains mois.
Pour la CNIL, le RGPD a vocation à s’appliquer à l’ensemble des traitements de données personnelles, à la fois dans le secteur public et le secteur privé, à l’exception toutefois des traitements relevant du régime spécifique aux secteurs “police-justice” ou du régime intéressant la défense nationale ou la sûreté de l’État.
Les principaux acteurs français de l’IA, qu’il s’agisse d’entreprises, de laboratoires ou encore des pouvoirs publics, rencontrés par la CNIL, ont fait remonter un fort besoin de sécurité juridique mais aussi des inquiétudes liées au RGPD : selon certains, ses principes de finalité, de minimisation, de conservation limitée et de réutilisation restreinte freineraient voire empêcheraient certaines recherches ou applications de l’intelligence artificielle.
Cependant pour la CNIL :
“L’idée reçue selon laquelle le RGPD empêcherait l’innovation en intelligence artificielle en Europe est fausse. En revanche, il faut avoir conscience que les bases d’entraînement comprennent parfois des « données personnelles », des informatiques sur des personnes réelles. L’utilisation de ces données fait courir des risques aux personnes, qu’il faut prendre en compte, afin de développer des systèmes d’IA dans des conditions qui respectent les droits et libertés des personnes, et notamment leur droit à la vie privée”.
Les 7 premières recommandations de la CNIL
Ces premières recommandations, élaborées en prenant en compte le RGPD mais également l’AI Act, concernent la phase de développement de systèmes d’IA, (conception du système, constitution de la base de données et entraînement) et non celle de déploiement. Les systèmes d’IA concernés sont ceux qui impliquent un traitement de données personnelles, à savoir :
Les systèmes fondés sur l’apprentissage automatique (machine learning) ;
Les systèmes dont l’usage opérationnel est défini dès la phase de développement et les systèmes à usage général qui pourront être utilisés pour nourrir différentes applications (« general purpose AI »).
Les systèmes dont l’apprentissage est réalisé « une fois pour toutes » ou de façon continue, par exemple en utilisant des données d’utilisation pour son amélioration.
Définir une finalité pour le système d’IA
Le principe de finalité exige de n’utiliser des données personnelles que pour un objectif précis défini à l’avance, ce qui permet de limiter les données personnelles que l’on va pouvoir utiliser pour l’entraînement d’un système d’IA. Il doit également être légitime, c’est-à-dire compatible avec les missions de l’organisme.
Alors qu’il est parfois objecté que l’exigence de définir une finalité est incompatible avec l’entraînement d’IA, qui peut développer des caractéristiques non anticipées, la CNIL estime qu’il n’en est rien et que l’exigence de définition d’une finalité doit être adaptée au contexte de l’IA, sans disparaître pour autant.
Elle identifie trois types de situations qu’elle éclaire par des exemples:
Lorsque l’usage opérationnel d’un système d’IA est clairement défini, la définition de finalité va guider les phases de développement, de déploiement et d’utilisation. Par exemple, si un organisme constitue une base de données de photos de rames de trains en service pour entraîner un algorithme mesurant l’affluence et la fréquentation des trains à quai dans les gares, l’objectif est déterminé, explicite et légitime en phase de développement.
Pour les SIA à usage général, où le système pourrait être utilisé dans divers contextes et applications, ou pour des fins de recherche scientifique, la définition de la finalité est plus complexe.
Dans le cas des systèmes d’IA à usage général, par exemple, la constitution d’une base de données pour l’entraînement d’un modèle de classification d’images sans usage opérationnel spécifique prévu, la CNIL recommande de ne pas définir la finalité de manière trop générale mais plutôt de spécifier le type de système développé et ses fonctionnalités et capacités potentielles. Elle invite également à préciser les capacités prévisibles les plus à risque, les fonctionnalités exclues par conception, ainsi que les conditions d’utilisation du système d’IA, comme les cas d’usage connus ou les modalités de diffusion ;
Pour les SIA développés à des fins de recherche scientifique, l’objectif peut être moins détaillé au début du projet, mais elle recommande de documenter la démarche scientifique et de fournir des informations complémentaires au fur et à mesure de l’avancement du projet.
Déterminer ses responsabilités
Les développeurs doivent déterminer leur rôle conformément au RGPD et au règlement européen sur l’IA.
Selon le RGPD, les développeurs de SIA sont soit responsables de traitement (RT) s’ils déterminent les objectifs et les moyens de traitement des données personnelles, soit sous-traitants (ST) s’ils traitent ces données pour le compte d’un responsable du traitement. L’AI Act distingue de son côté les fournisseurs de système d’IA des importateurs, distributeurs et utilisateurs (ou déployeurs) de ces systèmes.
Le degré de responsabilité (RT ou ST) des fournisseurs de SIA dépend d’une analyse au cas par cas en fonction de leur implication dans le développement du système.
Définir la base légale autorisant le traitement des données personnelles
Les développeurs de SIA utilisant des données personnelles doivent disposer d’une base légale autorisant leur traitement. Le RGPD prévoit six bases légales possibles : le consentement, le respect d’une obligation légale, l’exécution d’un contrat, l’exécution d’une mission d’intérêt public, la sauvegarde des intérêts vitaux et la poursuite d’un intérêt légitime.
Selon la base légale retenue, leurs obligations et les droits des personnes pourront varier, d’où l’importance de la déterminer en amont et de l’indiquer dans la politique de confidentialité des données.
En pratique, le choix de la base légale dépend de la manière dont les données sont collectées et de leur nature. Par exemple, le consentement est souvent approprié lorsque les personnes fournissent directement leurs données et peuvent accepter ou refuser sans préjudice. Cependant, dans d’autres cas, par exemple lors de la collecte de données en ligne ou l’utilisation de bases de données open source, d’autres bases légales sont plus adaptées.
Pour les acteurs privés, l’intérêt légitime peut être utilisé sous réserve de certaines conditions, notamment que l’intérêt soit légal et défini, que les données soient réellement nécessaires et que l’atteinte à la vie privée soit proportionnée. La CNIL publiera d’ailleurs prochainement une analyse spécifique à la base légale de l’intérêt légitime.
Pour les acteurs publics, le traitement des données doit s’inscrire dans leur mission d’intérêt public définie par la loi et contribuer de manière pertinente et appropriée à cette mission.
Les bases légales du contrat et de l’obligation légale peuvent être mobilisées de manière exceptionnelle, lorsque le traitement des données est nécessaire pour l’exécution d’un contrat ou pour respecter une obligation légale précise.
Vérifier s’il est possible de réutiliser certaines données personnelles
La réutilisation de bases de données par un fournisseur de SIA est possible dans de nombreux cas, sous réserve de certaines conditions, notamment qu’elles n’aient pas été collectées de manière manifestement illicite (données open source) et, pour les données acquises auprès d’un tiers, que la finalité de réutilisation soit compatible avec la collecte initiale. Il revient aux responsables de traitement d’effectuer certaines vérifications complémentaires afin de garantir que cette utilisation est légale.
Minimiser les données personnelles utilisées
Le principe de minimisation n’interdit pas l’utilisation de vastes bases de données, mais les données doivent être sélectionnées de manière à optimiser l’entraînement de l’algorithme tout en évitant l’utilisation de données personnelles inutiles. Il est important de respecter ce principe et l’appliquer de manière rigoureuse lorsque les données traitées sont sensibles (données concernant la santé, données relatives à la vie sexuelle aux opinions religieuses ou politiques…).
La CNIL recommande de mettre en œuvre des moyens techniques pour ne collecter que les données réellement utiles au développement du SIA, de mener une étude pilote avec des données fictives, synthétiques, anonymisées pour valider les choix de conception et de consulter un comité éthique pour garantir que les enjeux en matière d’éthique et de protection des droits et libertés des personnes sont bien pris en compte.
Pour la collecte des données, elle suggère entre autres de mettre en œuvre dès la conception des mesures de protection des données : anonymisation, généralisation, randomisation…Elle conseille également d’analyser régulièrement les données pour assurer leur suivi et leur mise à jour et de garantir la traçabilité des jeux de données utilisés en tenant une documentation à jour.
Définir une durée de conservation
Le RGPD impose de définir une durée au bout de laquelle les données doivent être supprimées ou, dans certains cas, archivées.
Pour la phase de développement, la conservation des données doit être planifiée à l’avance et suivie dans le temps. Les personnes concernées doivent être informées de la durée de conservation des données, par exemple dans les mentions d’information.
Une fois que les données ne sont plus nécessaires pour les tâches quotidiennes liées au développement du système d’IA, elles doivent en principe être supprimées. Cependant, elles peuvent être conservées pour la maintenance ou l’amélioration du produit, à condition que des garanties appropriées soient mises en place, telles que des restrictions d’accès aux personnes habilitées.
Il est à noter que la conservation prolongée des données d’apprentissage peut être justifiée dans certains cas, comme pour effectuer des audits ou mesurer certains biais. Cependant, cette conservation doit être limitée aux données strictement nécessaires et accompagnée de mesures de sécurité renforcées.
Réaliser une analyse d’impact sur la protection des données
L’analyse d’impact sur la protection des données (AIPD) est une démarche essentielle pour évaluer et réduire les risques liés au traitement des données personnelles dans le développement des SIA.
La CNIL recommande de réaliser une AIPD lorsque des critères spécifiques sont remplis, tels que la collecte de données sensibles ou à grande échelle, la combinaison de différents ensembles de données, ou l’utilisation de nouvelles solutions technologiques.
Le périmètre de l’AIPD dépend de l’objectif du système d’IA. Si l’usage opérationnel est clair, une AIPD générale pour l’ensemble du cycle de vie (développement et déploiement) est recommandée. Pour les systèmes d’IA à usage général, seule une AIPD pour la phase de développement est nécessaire.
En fonction des résultats de l’AIPD, des mesures doivent être prises pour réduire les risques, telles que des mesures de sécurité (chiffrement, environnement sécurisé), de minimisation des données, d’anonymisation ou de pseudonymisation, de protection des données dès le développement, d’exercice des droits pour les personnes, d’audit et de validation, ainsi que des mesures organisationnelles, de gouvernance et de traçabilité.
La CNIL publiera prochainement de nouvelles fiches permettant d’expliquer comment concevoir et entraîner des modèles dans le respect du RGPD : récupération de données sur internet, comment mobiliser l’intérêt légitime comme base légale, exercice des droits d’accès, de rectification et d’effacement, recours ou non à des licences ouvertes…
Ces fiches seront soumises à consultation publique. Retrouver les fiches concernant ses premières recommandations ici
Nous sommes Numéricité, un collectif d’experts qui accompagne les acteurs publics et privés, en France et à l’étranger, pour réussir leur transformation numérique en faisant en sorte que cette transition soit aussi un plaisir.
Numéricité s’organise autour de 3 pôles qui travaillent ensemble et s’enrichissent mutuellement :
Coaching & consultance : accompagner, transformer et pérenniser les organisations et leurs projets à l’ère du tout numérique
Design & technologies : imaginer, concevoir, développer et délivrer des produits numériques d’excellence
Intelligence juridique & conformité : instruire le cadre légal de la transition numérique et designer le volet juridique des projets digitaux – C’est ce pôle que tu rejoindras !
Pour renforcer nos équipes mobilisées auprès de clients ayant des enjeux fort d’intérêt général tels que le GIP de l’Inclusion,Expertise-France ou encore la communauté des Startups d’Etat, nous recrutons un(e) stagiaire Juriste en droit du numérique et protection des données.
Être chez Numéricité, c’est croire qu’un autre numérique est possible et agir concrètement, à travers les missions que l’on nous confie, pour le rendre plus utile, frugal, ouvert, responsable, protecteur, vertueux et universel.
Si tu te retrouves dans ces valeurs : rejoins nous !
Missions
Conseil, audit et assistance pour la mise en conformité et le suivi de la conformité de nos clients (startup, grands comptes et organisations gouvernementales) en matière de protection de la vie privée et des données à caractère personnel (RGPD, Loi Informatique & Libertés, Règlement ePrivacy, NIS² etc) ;
Analyse, audit et stratégie de mise en conformité de produits numériques dans une approche privacy by design (rédaction des éléments indispensables à la conformité : mentions légales, AIPD, politique de confidentialité, CGU…) ;
Audit “façon CNIL” : dans le cadre de notre offre, audit sur pièce et sur site de la conformité d’organisations variées puis contribution à l’élaboration du plan d’actions et des mesures afférentes (tenue du registre, AIPD, procédures internes) ;
Etude de droit comparé sur les cadres juridiques relatifs au droit du numérique, notamment lors de missions auprès d’administrations ou de gouvernements étrangers ;
Veille juridique & technique, recherche et droit comparé.
A la suite de la controverse sur son opération « Cash Reward », la place de marché de e-commerce chinoise Temu via son agence de communication Hard Numbers annonce avoir mis à jour les conditions générales de sa campagne « Cash Reward ». ➔ (suite…)
Randstad, leader mondial du recrutement, des services en Ressources Humaines et en intérim, entend absolument protéger les masses de données personnelles qu’il collecte et qui peuvent servir à entraîner ses intelligences artificielles. Enorme collecte de données personnelles Les solutions souveraines sont une voie explorée par Randstad pour les IA et les IA génératives personnalisées. Ce […]
Ce contenu est disponible sur abonnement.
Découvrez nos abonnements
Les plus populaires
Accès immédiat
Abonnement 1 an 380 € ht
Règlement par CB ou Paypal
Accès à l'ensemble des articles, 2 newsletters par semaine, information en continu
La décision de la Cnil d’autoriser l’hébergement de certaines données de santé de Français dans le Cloud de Microsoft continue de faire des remous. Des entreprises, dont Cleyrop et Clever Cloud et des associations saisissent le Conseil d’Etat contre la (suite…)
L’AFCDP, l’Association française des correspondants à la protection des données à caractère personnel, regroupe plus de 6 000 professionnels de la conformité au RGPD et à la Loi Informatique et Libertés, dont les Délégués à la Protection des Données (DPD ou DPO, pour Data Protection Officer). Elle vient de publier la 10ème édition de son Baromètre trimestriel.
Si l’AFCDP est l’association représentative des DPO, elle rassemble largement au-delà des professionnels de la protection des données et des DPO désignés auprès de la CNIL. Elle regroupe toutes les personnes intéressées par la protection des données à caractère personnel. La richesse de l’association réside – entre autres – dans la diversité des profils des adhérents : DPD, délégués à la protection des données, juristes et avocats, spécialistes des ressources humaines, informaticiens, professionnels du marketing et du e-commerce, RSSI et experts en sécurité, qualiticiens, archivistes et Record Manager, déontologues, consultants, universitaires et étudiants.
Avec son Observatoire trimestriel, l’Association souhaite estimer l’évolution de la conformité des organisations, et évaluer la perception des DPO sur des sujets techniques et d’actualité.
Paul-Olivier Gibert, Président de l’AFCDP, commente :
“L’AFCDP étant au plus proche des préoccupations quotidiennes des DPO, l’association propose avec ce Baromètre de prendre un peu de recul sur 3 questions clés par trimestre : le sentiment de l’évolution de la conformité des organisations, une question technique et une question d’actualité. Avec 275 répondants, nous sommes heureux de partager à nouveau ces résultats et d’en étudier l’évolution”.
Le 1er baromètre trimestriel 2024
Pour ce baromètre, l’AFCDP a mené une enquête en ligne auprès de ses 6000 membres entre le 28 décembre 2023 et le 19 janvier 2024, via le réseau social privé de l’association (178 répondants) et sa page LinkedIn (211 répondants).
Avez-vous confiance dans la protection des données privées au sein de vos organisations ?
L’association constate que le sentiment des DPO d’être écoutés et d’être en conformité, avec une stratégie de protection des données personnelle agile, continue d’augmenter (44% des répondants vs 37% en octobre 2023). De plus, les réglementations changeantes (DMA, DSA, DA, Privacy Shield/DPF, Cookies Wall, etc.) semblent moins perturber les stratégies de protection des données personnelles mises en place (16% vs 20 % des répondants en octobre 2023) en ce début 2024.
Paul-Olivier Gibert souligne :
“Nous sommes ravis de constater que le sentiment des professionnels de la protection des données personnelles s’améliore en cette édition anniversaire de notre observatoire, qui correspond en termes de timing avec les 20 ans de l’association. 20 ans à soutenir les acteurs de la protection des données personnelles dans leurs défis et challenges, 20 ans à partager avec les institutions législatives et réglementaires, françaises et européennes, les constats, les succès et les limites que nos membres rencontrent au quotidien au sein de leurs organisations. Et nous avons pour ambition aujourd’hui de participer à une meilleure harmonisation entre les exigences réglementaires et les réalités pratiques du terrain”.
Quel est votre sentiment sur la maturité de la mise en œuvre du RGPD ?
En vigueur depuis mai 2018, le Règlement général sur la protection des données (RGPD) de l’Union européenne a été conçu pour renforcer la protection des données personnelles des citoyens de l’UE et réglementer leur traitement par les organisations. L’AFCDP constate auprès de ses membres combien la mise en œuvre et la conformité varient d’une organisation à l’autre. De nombreuses entreprises ont investi des ressources importantes pour s’assurer qu’elles respectent les exigences du RGPD, tandis que d’autres travaillent encore à atteindre une conformité totale.
Paul-Olivier Gibert assure :
“Nous avons le sentiment global que l’application du RGPD arrive à un premier stade de maturité : celui d’une sensibilisation générale de l’opinion sur l’importance de la protection des données personnelles. Et les chiffres le confirment avec l’avis de 57% des professionnels de la protection des données personnelles répondants qui partagent ce sentiment. Il reste de nombreux challenges à relever pour nos DPO, tant dans la mise en œuvre au quotidien et l’objectif de conformité totale, que dans les nouveaux défis qui apparaissent, comme l’introduction de l’Intelligence Artificielle dans nos organisations à court et/ou moyen termes”.
Pensez-vous être impacté(e) dans votre métier par le futur règlement européen sur l’Intelligence Artificielle (AI Act) ?
Il est manifeste que la grande majorité des professionnels de la protection des données personnelles (67%) se sent concernée par la réglementation européenne autour de l’IA. Celle-ci représente des défis en matière de protection des données personnelles : en raison de sa capacité à traiter d’énormes quantités de données, l’IA peut potentiellement accéder, analyser et utiliser des informations sensibles sur les individus. Ce qui soulève des préoccupations quant à la confidentialité et à la sécurité des données personnelles.
Paul-Olivier Gibert rappelle :
“Il semble effectivement nécessaire d’avoir un encadrement des pratiques et usages de l’IA pour permettre aux organisations de rester en conformité avec le RGPD et, plus globalement, de s’assurer du respect de la protection des données personnelles de chacun. Revient ici la difficulté déjà rencontrée maintes fois par nos membres, d’accorder l’innovation technologique qui bouleverse et optimise les pratiques, et la conformité réglementaire, voire l’éthique. Protéger sans freiner le développement et l’innovation. Le challenge ne va, encore une fois, pas être simple”.
