Après la vague d’enthousiasme des premiers jours, et notamment par l’introduction de l’IA générative ChatGPT, c’est sans surprise qu’un certain nombre d’inquiétudes et de questions ont surgies quant au respect de la règlementation applicable en matière de protection des données personnelles. En effet, si les IA génératives présentent un fort potentiel créatif et innovant, elles soulèvent également des préoccupations en matière de responsabilité, d’éthique et de protection de la vie privée.
Naturellement, une question essentielle se pose, à savoir : comment obtenir des systèmes d’IA respectueux de la vie privée des individus, sans pour autant impacter son développement et son innovation en Europe ?
Si le 31 mars dernier, l’autorité italienne de protection des données avait privilégié l’interdiction temporaire d’utiliser ChatGPT sur son territoire ; la CNIL française a quant à elle décidé « d’encadrer, plutôt que d’interdire ». En effet, considérant que la protection des données personnelles est un enjeu majeur pour la conception et l’utilisation de ces outils, la CNIL a dévoilé le 16 mai dernier son plan d’action sur l’intelligence artificielle, et notamment sur l’encadrement du développement des IA génératives.
Qu’est-ce qu’une IA générative ?
De manière très synthétique, il s’agit d’un système capable de créer du texte, des images, des musiques, des vidéos, d’effectuer des calculs mathématiques… à partir d’une requête (ou « prompt ») donnée par un utilisateur humain.
Et ChatGPT ?
ChatGPT est un modèle d’intelligence artificielle générative fonctionnant sur un langage pré-entraîné appelé GPT (Generative Pre-trained Transformer). Conçu pour communiquer avec les utilisateurs par le biais de conversations textuelles, ChatGPT répond à une grande variété de sujets, allant des questions factuelles aux discussions plus générales. Il peut également fournir des explications, des suggestions et des informations sur divers domaines de connaissances, sous réserve de lui communiquer un prompt approprié.
Quel plan d’action pour la CNIL ?
Les objectifs de régulation de la CNIL se matérialisent en un plan d’action composés de 4 volets :
Appréhender le fonctionnement des systèmes d’IA et leurs impacts pour les personnes concernées
- Loyauté et transparence.
- Protection des données publiquement accessibles sur le Web.
- Protection des données transmises par les utilisateurs lorsqu’ils utilisent ces outils.
- Conséquences sur les droit des personnes concernées (utilisateurs).
- Protection contre les biais d’utilisation et les discriminations potentielles.
- Enjeux de sécurité inédits.
Encadrer le développement d’IA respectueuses de la vie privée
- Une rubrique dédiée à l’IA sur son site, déjà disponible.
- Plusieurs documents sont en cours d’élaboration, et devraient être disponibles courant été 2023, notamment :
- Guide sur les règles applicables au partage et à la réutilisation des données librement accessibles sur internet et utilisées pour l’apprentissage de nombreux modèles d’IA : prochainement soumis à la consultation du public.
- Travaux sur la conception de systèmes d’IA et la constitution de bases de données pour l’apprentissage automatique.
Fédérer et accompagner les acteurs innovants de l’écosystème IA en France et en Europe
- Les « bacs à sable » sur la santé en 2021 et sur l’éducation en 2022 ont ainsi permis de fournir des conseils adaptés à des acteurs innovants de l’IA dans ces domaines. La CNIL ouvrira bientôt un nouvel appel à projet pour l’édition de 2023, qui concernera notamment l’usage de l’intelligence artificielle dans le secteur public.
- Programme d’accompagnement spécifique des fournisseurs de vidéosurveillance « augmentée » dans le cadre de l’expérimentation prévue par la loi relative aux Jeux olympiques et paralympiques de 2024.
- Nouveau programme « d’accompagnement renforcé » pour assister des entreprises innovantes dans leur conformité au RGPD : les premiers lauréats de cet accompagnement renforcé sont des entreprises innovantes dans le domaine de l’IA.
- Plus généralement, la CNIL souhaite engager un dialogue nourri avec les équipes de recherche, centres de R&D et entreprises françaises développant, ou souhaitant développer, des systèmes d’IA : ces équipes et entreprises peuvent prendre contact avec la CNIL à l’adresse ia@cnil.fr
Auditer et contrôler les systèmes d’IA et protéger les personnes
L’action de contrôle de la CNIL portera notamment en 2023 sur :
- Le respect de la position sur l’usage de la vidéosurveillance « augmentée », publiée en 2022, par les acteurs publics et privés.
- L’usage de l’intelligence artificielle pour la lutte contre la fraude, par exemple pour la lutte contre la fraude à l’assurance sociale, au regard des enjeux liés à l’usage de tels algorithmes.
- L’instruction de plaintes déposées auprès de la CNIL : la CNIL a en particulier reçu plusieurs plaintes à l’encontre de la société OpenAI qui gère le service ChatGPT, et a ouvert une procédure de contrôle. En parallèle, un groupe de travail dédié a été créé au sein du Comité européen de la protection des données ou CEPD (en anglais), en vue d’assurer une démarche coordonnée des autorités européennes et une analyse harmonisée des traitements de données mis en œuvre par l’outil d’OpenAI.
