IA et RGPD : les premières recommandations de la CNIL

La CNIL se positionne de façon très active dans le domaine de l’IA. Elle le rappelle encore dans le rapport annuel 2023 (publié le 23 avr. 2024) en indiquant que depuis deux ans elle s’attache à clarifier de façon concrète l’application du règlement général sur la protection des données (RGPD) dans le cas des traitements de données personnelles reposant sur des systèmes d’IA (Rapp., p. 66). Elle a lancé un plan IA en mai 2023 et s’est dotée d’un service dédié à l’IA constitué d’analystes, de juristes et d’ingénieurs. Il doit permettre de clarifier le cadre juridique applicable aux systèmes d’IA. L’objectif de permettre l’émergence d’acteurs français et européen dans le domaine de l’IA est clairement affiché.

Cet activisme intervient alors que le rapport du comité sur l’IA générative publié le 14 mars 2024 se montre plutôt critique sur le rôle de la CNIL : il évoque des contraintes excessives pour l’accès et l’utilisation des données personnelles, contient différentes réserves quant à l’application du RGPD aux systèmes d’IA et invite à transformer la CNIL pour favoriser le développement de l’IA. Le projet de loi de simplification administrative, présenté le 24 avril en Conseil des ministres, prévoit d’ailleurs de modifier le mandat de la CNIL pour qu’elle prenne en compte les enjeux d’innovation. Elle devrait « promouvoir dans le cadre de ses missions, la juste prise en compte des enjeux d’innovation associés aux traitements des données à caractère personnel ». Le Conseil d’État néanmoins a, dans son avis sur le projet de loi que le gouvernement a choisi de rendre public, estimé que cette disposition imprécise et « redondante » est dépourvue de normativité. Il est vrai que le Conseil a déjà plaidé en faveur de la reconnaissance du rôle de la CNIL dans le cadre de la régulation de l’IA, sans considérer que...