Risques IA / RGPD

L’IA pose des questions auxquelles le RGPD avait déjà bien des difficultés à répondre… On n’est pas sortis des risques pour nos droits et libertés…

• Le RGPD avait déjà posé les bonnes questions : d’où viennent les données, pourquoi ont-elles été collectées, et leur utilisation actuelle reste-t-elle compatible avec cette finalité ? Beaucoup d’organisations étaient déjà incapables d’y répondre correctement avant l’IA.
• La base légale de l’entraînement des IA reste problématique. L’« intérêt légitime » est souvent envisagé, mais le test de mise en balance devient difficile lorsqu’un modèle est entraîné sur les données de millions de personnes avec lesquelles l’entreprise n’a aucune relation directe.
• Le droit à l’effacement (art. 17 RGPD) se heurte à une difficulté technique majeure. Supprimer une ligne d’une base de données est relativement simple ; supprimer l’influence d’une donnée ayant servi à entraîner un modèle est beaucoup plus complexe. Le machine unlearning existe comme domaine de recherche, mais il n’existe pas encore de solution fiable et généralisable permettant de garantir cet effacement.
• Il existe donc un écart entre les promesses de conformité et la réalité technique. Certaines organisations affirment pouvoir respecter le droit à l’effacement sans avoir réellement démontré qu’elles peuvent retirer l’influence des données d’un modèle déjà entraîné.
• Deuxième problème : l’IA agentique/autonome. Le RGPD, notamment son article 22, a été pensé autour d’une « décision » identifiable et de la possibilité d’une intervention humaine. Avec des agents IA capables d’analyser → décider → agir automatiquement, le moment où l’humain peut réellement intervenir devient beaucoup moins évident.
• Deux enjeux deviennent donc centraux : la traçabilité des données et le contrôle humain. Pour l’auteur, le data lineage est essentiellement un problème de gouvernance que l’on peut résoudre ; garantir une véritable supervision humaine dans une boucle autonome est beaucoup plus difficile, puisque l’objectif même de l’automatisation est précisément de retirer l’humain de certaines étapes.
• RGPD et AI Act deviennent complémentaires. Le RGPD demande essentiellement : « D’où viennent les données et pourquoi les utilisez-vous ? » ; l’AI Act ajoute notamment : « Qui contrôle encore le système lorsqu’il commence à décider ? » Pour les systèmes à haut risque, gouvernance des données et supervision humaine doivent être intégrées dès la conception.

#RGPD #GDPR #IA

https://www.computerweekly.com/opinion/AI-has-exposed-the-cracks-GDPR-was-already-trying-to-fix