L'UE adopte des règles sur les données de l'IA

Le mercredi 21 octobre, les États membres de l'UE ont signé un accord qui pourrait élargir l'utilisation des données personnelles par les entreprises d'IA, selon des informations de presse. L'accord comprend l'article 88 bis du règlement général sur la protection des données (RGPD), qui fait partie de l'« Omnibus numérique », un ensemble de mesures visant à alléger les règles numériques de l'UE.

Un nouvel article autorise le traitement des données pour l'IA

L'article 88 bis permet aux entreprises de traiter des données personnelles « dans le cadre du développement et de l'exploitation » d'un système ou d'un modèle d'IA, sur la base de leur intérêt légitime ou de celui d'un tiers. Cela pourrait permettre de se passer du consentement si l'intérêt de l'entreprise est jugé supérieur aux droits des personnes concernées.

Ajout d'une règle sur la pseudonymisation

Le Conseil a également créé l'article 25 bis sur la pseudonymisation, qui consiste à remplacer le nom d'une personne par un identifiant. En vertu de cette règle, une entreprise tierce qui ne peut pas retrouver l'identité de la personne ne traiterait plus de données personnelles.

Inquiétudes concernant le suivi des données

Selon l'association Noyb, la plupart des systèmes informatiques fonctionnent avec ce type d'identifiant, comme les identifiants de suivi ou les adresses IP, si bien que le suivi en ligne pourrait échapper au champ d'application du RGPD. Il appartiendrait surtout aux entreprises elles-mêmes de décider si une donnée reste personnelle.

Les règles strictes du RGPD sur les données

Depuis le 25 mai 2018, le RGPD oblige les entreprises à justifier chaque traitement de données par une finalité précise, comme la lutte contre la fraude. Noyb affirme que l'article 88 bis autorise une technologie entière, quel que soit son usage. L'association prend l'exemple de la publicité personnalisée sans consentement, actuellement interdite dans l'UE, mais qui pourrait devenir légale si elle est réalisée grâce à l'IA.

Les grandes entreprises technologiques pourraient en tirer le plus profit

Cette mesure profiterait d'abord à ceux qui ont déjà accumulé d'énormes volumes de données européennes, comme Google, Meta, Microsoft, OpenAI, Anthropic ou SpaceX. L'Europe dépend déjà d'acteurs américains sur des sujets sensibles, de récents reportages indiquant que des messages privés d'Européens transitent par le logiciel américain Palantir.

Des contestations juridiques en perspective

Le texte n'est pas encore une loi. Les États membres doivent négocier sa version finale avec le Parlement européen, qui ne s'est pas encore prononcé. Si le texte est adopté en l'état, l'association compte sur la Cour de justice de l'UE, qui a déjà annulé des textes européens pour des infractions pourtant moins graves, comme la conservation des données ou leur transfert vers les États-Unis.