Quel est le rôle de la CNIL dans la régulation de l’IA ?

L'IA est désormais omniprésente dans l'écosystème numérique. Elle représente une innovation majeure et ouvre le champ des possibles dans de nombreux domaines. Toutefois, son usage et les dérives dont elle a déjà fait preuve posent questions. Chaque nation se voit donc dans l'obligation de réfléchir à la mise en place d’un cadre strict pour évaluer et sécuriser cette technologie. En France, c’est en partie la CNIL (Commission nationale de l’informatique et des libertés) qui se charge d’encadrer l’IA. Voici son rôle et les différentes mesures qu’elle a déjà prises.

La CNIL surveille l’IA depuis quelques années déjà

Cela fait déjà plusieurs années que la CNIL suit de près l’arrivée de l’intelligence artificielle dans nos vies. Dès 2017, la commission a publié un rapport sur les enjeux éthiques des algorithmes et de l’intelligence artificielle. Dans ce rapport, elle posait les bases d’une réflexion qui anime toujours les débats aujourd'hui, à savoir : les enjeux éthiques de cette technologie. Sont ressortis de ce rapport deux principes fondamentaux que se doit de respecter l’IA : le principe de loyauté envers les utilisateurs et celui de vigilance. Depuis, la CNIL ne cesse de faire évoluer son action pour répondre aux défis posés par l’essor des technologies basées sur l’intelligence artificielle.

Un premier plan d’action de la CNIL en 2023

Après l’apparition des IA générative et au vu de l'accélération des usages de l’IA, la CNIL a fait adopter en 2023 un plan d’action structuré autour de quatre grands objectifs. Le premier vise à mieux comprendre le fonctionnement de ces systèmes et leurs impacts sur les utilisateurs. Derrière les prouesses techniques des IA se cachent en effet des enjeux majeurs liés à la transparence des algorithmes, à la collecte massive de données et à la manière dont les droits des individus sont pris en compte. Le deuxième axe du plan consiste à encadrer un développement de l’IA respectueux de la vie privée. Pour ce faire, la CNIL propose des guides, organise des consultations et publie des recommandations concrètes à destination des acteurs de l’écosystème. Le troisième volet a pour ambition d'accompagner les entreprises innovantes françaises et européennes, notamment à travers des dispositifs comme les “bacs à sable” réglementaires. Enfin, le dernier objectif consiste à auditer et à contrôler les systèmes d’IA afin de s’assurer du respect effectif des règles.

2025 : vers un RGPD adapté à l’IA

La CNIL propose d’adapter les principes du RGPD (Règlement général sur la protection des données) aux spécificités de l’IA. Une adaptation qui semble plus que nécessaire, notamment lorsque des données personnelles des utilisateurs sont utilisées dans les modèles d'apprentissages (LLM). La CNIL rappelle ainsi que les grands principes du RGDP en matière de finalité, de minimisation, de durée de conservation et de réutilisation des bases de données restent valables. Ils doivent toutefois être adaptés aux spécificités de l’IA. L’utilisation de grandes bases de données pour l’entraînement des algorithmes reste permise si les données sont nettoyées et justifiées. La conservation longue est également autorisée si certaines conditions de sécurité sont respectées. Quant à la réutilisation de bases en ligne, elle reste possible si elle respecte les règles de collecte initiale.

Deux nouvelles recommandations de la CNIL pour l’IA

En février 2025, la CNIL a également publié deux nouvelles recommandations qui viennent renforcer l’application du RGPD dans le contexte de l’intelligence artificielle. Ces recommandations ciblent deux problématiques majeures : comment informer clairement les utilisateurs lorsque leurs données sont utilisées pour entraîner une IA, et comment leur permettre d’exercer leurs droits d’accès, de rectification, ou d’opposition.

Pour informer les utilisateurs de l'utilisation de leurs données, la CNIL propose de faire apparaître des informations adaptées selon le niveau de risque pour les personnes et les contraintes techniques. Le RGPD peut autoriser, dans certains cas, une information plus générale (ex. : via le site web), notamment quand les données proviennent de sources tierces et qu’il est difficile de contacter chaque personne. Pour les modèles d’IA à usage général, une information globale sur les types ou les principales sources de données utilisées peut suffire.

En ce qui concerne le droit d’accès, d’opposition, de rectification ou de suppression des données, la CNIL invite les concepteurs d’outils utilisant l’IA à prendre en compte le respect des données des utilisateurs dès la conception de leurs outils. Elle invite notamment à rendre les modèles anonymes dès que possible et à développer des solutions qui permettent d’éviter toute fuite de données personnelles. La CNIL rappelle aussi que les utilisateurs bénéficient des mêmes droits en matière d’IA que ceux exposés dans le RGDP (droit d’accès, de rectification, d’effacement, d’opposition, de limitation, de portabilité des données et de retrait de consentement).