Security Think Tank : pourquoi le RGPD ne parvient pas à suivre le rythme de l'IA

RGPD et IA : une réglementation conçue pour une autre époque

Lorsque le RGPD est devenu applicable au Royaume-Uni et dans l'Union européenne, l'intelligence artificielle telle que nous la connaissons aujourd'hui existait à peine dans les outils métiers courants. Le règlement a été rédigé pour encadrer la manière dont les organisations collectent, traitent et stockent les données personnelles, avec des principes fondamentaux comme la limitation des finalités, la minimisation des données et le droit à l'effacement. Ces principes avaient du sens dans un monde de bases de données et de flux de données bien définis.

L'IA, en particulier les systèmes génératifs et d'apprentissage automatique, ne fonctionne pas ainsi. Les modèles sont entraînés sur des ensembles de données massifs qui peuvent inclure des informations personnelles extraites, sous licence ou provenant d'innombrables sources. Une fois ces données intégrées dans les poids d'un modèle, il devient extrêmement difficile d'isoler, de corriger ou de supprimer les informations d'une seule personne, ce que le droit à l'effacement du RGPD suppose pourtant possible. Ce décalage entre la manière dont la loi a été conçue et le fonctionnement réel des systèmes d'IA est au cœur de l'analyse continue du Security Think Tank de Computer Weekly, qui examine comment les normes de protection des données au Royaume-Uni et en Europe peinent à suivre le nouveau paradigme introduit par l'IA.

Où les fissures apparaissent

La tension n'est pas seulement théorique. Elle se manifeste de manière pratique et quotidienne pour les organisations qui tentent de déployer l'IA de manière responsable tout en restant conformes. La limitation des finalités, l'idée que les données collectées pour une raison ne devraient pas être réutilisées sans consentement, devient floue lorsque les fournisseurs d'IA réutilisent des données d'entraînement dans plusieurs produits ou affinent des modèles sur des données initialement collectées pour quelque chose de tout à fait différent.

Les exigences de transparence sont également mises à rude épreuve par la complexité de l'IA. Le RGPD attend des organisations qu'elles expliquent comment les données personnelles sont traitées et qu'elles donnent aux individus des informations significatives sur la prise de décision automatisée qui les affecte. Mais de nombreux systèmes d'IA, en particulier les grands modèles de langage, fonctionnent comme des boîtes noires même pour leurs propres développeurs. Expliquer exactement pourquoi un modèle a produit un résultat particulier, ou quels points de données spécifiques l'ont influencé, n'est souvent pas quelque chose que même le fournisseur peut pleinement élucider. Comme l'explore un article connexe du Think Tank de Computer Weekly sur la manière dont l'IA met à l'épreuve les règles fondamentales du RGPD, il ne s'agit pas d'une note technique mineure. Cela touche au cœur même de ce que le RGPD était censé garantir : que les personnes disposent d'une visibilité et d'un contrôle réels sur leurs propres données.

Ces lacunes importent autant du point de vue de la sécurité que de celui de la conformité. La protection des données et la cybersécurité ont toujours été étroitement liées, et lorsque le cadre juridique censé imposer une bonne hygiène des données ne correspond pas clairement à la manière dont les systèmes d'IA traitent réellement l'information, les organisations peuvent se retrouver avec des angles morts. Des données sensibles peuvent être ingérées dans des outils d'IA sans inventaire clair de leur destination, de qui peut y accéder ou de leur durée de conservation, créant exactement le type de prolifération de données non gérée que les équipes de sécurité passent des années à tenter d'éliminer.

Repenser la conformité à l'ère de l'IA

L'analyse du Security Think Tank suggère que rapiécer le RGPD pièce par pièce pourrait ne pas suffire. Au contraire, les organisations comme les régulateurs doivent repenser ce à quoi ressemble la conformité lorsque les données ne reposent pas dans une base de données statique mais circulent à travers des pipelines d'entraînement, des mises à jour de modèles et des plateformes d'IA tierces. Cela implique une gouvernance des données plus robuste avant même que l'information n'atteigne un système d'IA : savoir quelles données personnelles existent, classifier leur sensibilité et limiter ce qui est injecté dans les outils d'IA en premier lieu.

Pour les régulateurs britanniques et européens, cela soulève également des questions d'application. Les principes du RGPD restent solides dans l'esprit, mais les appliquer à l'IA nécessite de nouvelles orientations interprétatives, et possiblement de nouvelles règles, pour traiter des questions comme la provenance des données d'entraînement, le réentraînement des modèles après des demandes d'effacement, et la responsabilité lorsque les fournisseurs d'IA et leurs clients partagent la responsabilité de la conformité.

Ce que cela signifie pour vous

Si votre organisation utilise des outils d'IA, qu'il s'agisse d'un chatbot, d'une plateforme d'analyse interne ou d'un service tiers construit sur des grands modèles de langage, la conformité au RGPD et à l'IA n'est pas quelque chose que vous pouvez supposer être géré par défaut. Même les petites entreprises utilisant des produits d'IA prêts à l'emploi peuvent être exposées si des données personnelles finissent par être traitées d'une manière que la politique de confidentialité du fournisseur n'explique pas clairement.

Pour les individus, la conclusion est un rappel que les données partagées avec des services alimentés par l'IA peuvent ne pas être aussi faciles à récupérer ou à supprimer que les données stockées dans un compte traditionnel. Une fois que l'information est utilisée pour entraîner ou affiner un modèle, l'exercice de droits comme l'effacement devient bien plus compliqué en pratique que la loi ne le suppose.

Points clés à retenir

Avant d'adopter ou de continuer à utiliser des outils d'IA qui touchent à des données personnelles, envisagez ces étapes :

• Demandez directement aux fournisseurs si vos données sont utilisées pour l'entraînement des modèles et si elles peuvent être entièrement supprimées par la suite.
• Cartographiez les données personnelles qui circulent dans tout système d'IA utilisé par votre organisation, y compris les outils tiers.
• Examinez les politiques de confidentialité des produits d'IA avec la même rigueur que celle que vous appliqueriez à tout autre sous-traitant de données.
• Restez informé des orientations en évolution, car les règles de conformité au RGPD et à l'IA sont susceptibles de continuer à changer à mesure que les régulateurs rattrapent leur retard.

L'écart entre le RGPD et l'IA ne va pas disparaître de lui-même. Jusqu'à ce que la réglementation rattrape son retard, rester prudent et informé est la meilleure protection dont disposent les individus et les organisations.