Le Conseil de l'Europe rédige des règles de confidentialité pour l'IA à destination de 55 nations

Un nouveau cadre de confidentialité pour l'IA au-delà du RGPD

Le Conseil de l'Europe a publié un projet de lignes directrices dans le cadre de son traité Convention 108+ qui établirait des exigences en matière de confidentialité de l'IA dans 55 pays, une portée qui s'étend bien au-delà du RGPD de l'Union européenne. Si le RGPD reste la loi sur la protection des données la plus connue au monde, la Convention 108+ est un traité international contraignant distinct qui couvre les États membres du Conseil de l'Europe, y compris les pays non membres de l'UE. Cette portée plus large signifie que le nouveau projet de lignes directrices pourrait façonner la manière dont les systèmes d'IA traitent les données personnelles dans des pays qui échappent entièrement à la juridiction du RGPD.

Le projet aborde trois domaines spécifiques de risque pour la confidentialité lié à l'IA : les paramètres de mémoire des chatbots, l'étendue des autorisations accordées aux agents d'IA, et la vulnérabilité des modèles d'IA aux attaques par extraction de données d'entraînement. Chacun de ces points reflète une préoccupation réelle et croissante à mesure que les outils d'IA s'intègrent davantage dans les usages quotidiens des consommateurs et des entreprises.

Ce que le projet de lignes directrices exige réellement

Selon le projet, les chatbots d'IA devraient avoir leurs fonctionnalités de mémoire désactivées par défaut. Cela signifie que, sauf si l'utilisateur choisit activement d'y adhérer, un chatbot ne conserverait pas les détails des conversations précédentes. Les fonctionnalités de mémoire sont devenues populaires car elles permettent aux assistants IA de personnaliser leurs réponses au fil du temps, mais elles créent également un enregistrement permanent d'informations potentiellement sensibles partagées lors d'une conversation informelle. Un paramètre désactivé par défaut transfère la charge aux entreprises pour qu'elles obtiennent le consentement de l'utilisateur plutôt que de le présumer.

Les lignes directrices appellent également à ce que les agents d'IA, ces outils de plus en plus courants qui peuvent agir au nom d'un utilisateur, comme réserver des rendez-vous ou gérer des comptes, soient dotés des identifiants minimaux nécessaires pour accomplir une tâche. Il s'agit d'un principe de sécurité connu sous le nom d'accès au moindre privilège, appliqué spécifiquement aux systèmes d'IA. Au lieu d'accorder à un agent d'IA un accès large aux données ou aux comptes d'un utilisateur, les identifiants seraient limités à ce qui est nécessaire pour la tâche spécifique en cours, réduisant ainsi les dommages potentiels si un agent est compromis ou utilisé à mauvais escient.

Le troisième domaine couvert est celui des attaques par extraction de données d'entraînement, une technique par laquelle des acteurs malveillants tentent d'extraire des informations sensibles ou personnelles d'un modèle d'IA en fonction de la manière dont il répond à certaines invitations. Le projet de lignes directrices note que ces attaques peuvent être menées à faible coût, ce qui en fait une préoccupation pressante pour les régulateurs. Si l'extraction de données d'entraînement privées ne nécessite pas de ressources importantes ni une sophistication technique poussée, l'incitation pour les acteurs malveillants à tenter ces attaques augmente considérablement.

Pourquoi la Convention 108+ est importante pour la conformité mondiale en matière d'IA

L'un des aspects les plus négligés de ce projet est le traité sous lequel il est placé. La Convention 108+ est souvent décrite comme le premier instrument international contraignant au monde sur la protection des données, et elle précède le RGPD. Ses signataires comprennent des pays bien au-delà des frontières de l'UE, ce qui signifie que les entreprises opérant avec des produits d'IA à l'international peuvent devoir se conformer à deux cadres qui se chevauchent mais restent distincts : le RGPD pour les opérations dans l'UE et la Convention 108+ pour l'ensemble plus large des 55 nations.

Ce paysage de conformité à double voie reflète un schéma qui se joue déjà ailleurs. Comme évoqué dans un récent article sur la manière dont les amendes RGPD et les règles sur l'IA remodèlent la conformité, les entreprises traitent de plus en plus la protection des données comme une priorité opérationnelle centrale plutôt qu'une simple case à cocher juridique. De même, les amendes RGPD allant jusqu'à 20 millions d'euros ont montré que la conformité et la posture de sécurité réelle ne sont pas la même chose, une distinction qui comptera tout autant sous les orientations spécifiques à l'IA de la Convention 108+. D'autres régions évoluent également en parallèle : l'application de la loi sur la protection des données par la POTRAZ au Zimbabwe à partir de septembre 2026 est un autre exemple de l'extension de l'application de la protection des données au-delà de la portée réglementaire traditionnelle de l'UE.

Ce que cela signifie pour vous

Pour les utilisateurs quotidiens de chatbots et d'agents d'IA, ce projet de lignes directrices signale une évolution vers une conception respectueuse de la confidentialité par défaut. S'il est adopté, vous pourriez voir davantage de produits d'IA avec des fonctionnalités de mémoire désactivées, sauf si vous les activez spécifiquement, et des agents d'IA qui demandent des autorisations plus restreintes plutôt qu'un accès large aux comptes. Pour les entreprises qui construisent ou déploient des outils d'IA, en particulier celles qui opèrent dans plusieurs pays, le projet rappelle que la conformité en matière de confidentialité de l'IA en Europe en 2026 ne sera pas un standard unique et unifié. Les entreprises devront suivre les exigences à la fois dans les juridictions du RGPD et de la Convention 108+, et concevoir des systèmes capables de répondre à la norme la plus stricte des deux partout où elles opèrent.

Points clés à retenir

• La Convention 108+ lie 55 nations, une portée significativement plus large que celle du RGPD limité à l'UE, donc la planification de la conformité en matière d'IA devrait tenir compte des deux cadres.
• Le projet de lignes directrices appelle à ce que la mémoire des chatbots soit désactivée par défaut, donnant aux utilisateurs plus de contrôle sur les données conversationnelles conservées.
• Les agents d'IA devraient être dotés d'identifiants limités à l'accès minimum nécessaire, limitant l'exposition si un agent est compromis.
• Les attaques par extraction de données d'entraînement sont signalées comme étant à faible coût et à haut risque, soulignant pourquoi la conformité en matière de confidentialité de l'IA en Europe en 2026 devient une priorité pour les régulateurs.
• Les entreprises opérant à l'international devraient commencer à examiner les paramètres de leurs produits d'IA dès maintenant, plutôt que d'attendre la finalisation des lignes directrices.