Application du RGPD au développement des systèmes d’intelligence artificielle

Le document rassemble des fiches pratiques portant sur la détermination du régime juridique applicable, la définition de la finalité, la qualification des acteurs, la licéité du traitement et le choix d’une base légale. Il traite également de la réutilisation des données, des vérifications nécessaires, de l’analyse d’impact, de la protection des données dès la conception et de la collecte et gestion des données.

La délibération adopte la recommandation en annexe et prévoit sa publication au Journal officiel. D’autres thèmes pourront être ajoutés ultérieurement après consultation publique.

⬇️Télécharger la décision version officielle

Elle a élaboré une première recommandation composée de fiches pratiques. Celles-ci abordent le régime juridique applicable, la finalité du traitement, la qualification des acteurs, la base légale, la réutilisation des données, l’analyse d’impact, la protection des données dès la conception ainsi que la collecte et la gestion des données.

La délibération adopte cette recommandation en annexe et prévoit sa publication au Journal officiel. Son contenu pourra être complété après consultation publique.

• Déterminer le régime juridique applicable au système d’intelligence artificielle
• Définir précisément la finalité du traitement
• Qualifier juridiquement les acteurs concernés
• Établir une base légale assurant la licéité du traitement
• Effectuer les vérifications nécessaires en cas de réutilisation des données
• Réaliser une analyse d’impact lorsqu’elle est nécessaire
• Intégrer la protection des données dès la conception

• Le texte du règlement (UE) 2016/679 cité par la délibération
• L’article 8-I-2°-b) de la loi n° 78-17 cité comme fondement
• Les questionnements transmis à la CNIL par de nombreux acteurs
• Les fiches pratiques annexées à la recommandation

• Identifier le régime juridique applicable au projet d’intelligence artificielle
• Définir la finalité et qualifier les acteurs du traitement
• Documenter la base légale et les réutilisations de données
• Examiner la nécessité d’une analyse d’impact
• Intégrer la protection des données dans la conception et la gestion

À faire

• Déterminer le régime juridique applicable
• Définir la finalité du traitement
• Qualifier les acteurs concernés
• Vérifier la base légale du traitement
• Évaluer la nécessité d’une analyse d’impact

À éviter

• Négliger la qualification juridique des acteurs
• Réutiliser des données sans vérifications préalables
• Omettre la définition de la finalité
• Reporter la protection des données après la conception
• Négliger la documentation du jeu de données

Le périmètre des fiches pratiques sur l’intelligence artificielle

La recommandation porte sur l’application du règlement général sur la protection des données au développement des systèmes d’intelligence artificielle. Elle comprend notamment des fiches relatives au régime juridique, à la finalité, aux acteurs, à la licéité, à l’analyse d’impact, à la conception et à la gestion des données.

La licéité des traitements de données d’intelligence artificielle

Les fiches pratiques traitent de la définition d’une base légale et des vérifications nécessaires en cas de réutilisation des données. La recommandation rattache ainsi l’examen de la licéité aux conditions applicables au traitement et à la réutilisation des données.

La protection des données dès la conception des systèmes

La recommandation invite à tenir compte de la protection des données dès les choix de conception du système, ainsi que dans la collecte et la gestion des données. Elle prévoit également la réalisation d’une analyse d’impact lorsque celle-ci est nécessaire.