L'innovation AI en Europe exige une interprétation équilibrée et fondée sur les risques du RGPD
Le 5 novembre, ITI a participé à l'atelier sur les modèles d'IA organisé par le Comité européen de protection des données (EDPB). L'atelier était destiné à informer l'avis de l'EDPB sur l'utilisation des données personnelles pour les modèles d'IA, qui est attendu avant la fin de l'année. Avant l'atelier, ITI a rejoint 14 autres associations de l'industrie une déclaration commune (s’ouvre dans un nouvel onglet), demandant à l'EDPB d'adopter une approche équilibrée, fondée sur le risque et favorable à l'innovation dans le traitement des données pour le développement et le déploiement de l'IA.
Les entreprises doivent pouvoir accéder aux données à caractère personnel et les utiliser pour développer et déployer des technologies d'IA innovantes et transformatrices en Europe. Cet accès est crucial pour les objectifs de transformation numérique et de compétitivité de l'UE. L'avis doit reconnaître que cela peut être fait d'une manière proportionnée, fondée sur le risque et alignée sur le RGPD.
Pour ce faire, ITI a fait part des recommandations suivantes :
- L'intérêt légitime est une base juridique appropriée pour la formation de modèles d'IA
L'EDPB devrait reconnaître que l'intérêt légitime est une base juridique appropriée et solide pour le traitement des données à caractère personnel pour la formation de modèles d'IA, comme d'autres régulateurs européens comme l'Autorité française de protection des données l'ont déjà reconnu.
Les modèles d'IA peuvent grandement profiter à la société, aux entreprises et aux particuliers. L'IA peut augmenter la productivité, stimuler la croissance économique, soutenir la découverte scientifique et les soins de santé, et permettre des cas d'utilisation transformatrice. Ces considérations peuvent aider à mettre en balance les intérêts légitimes en faveur du contrôleur.
Bien entendu, cela sera possible si les circonstances du traitement sont évaluées et si les mesures de protection appropriées sont mises en oeuvre au besoin. Fait important, l'avis devrait noter que l'objectif commercial consistant à élaborer un modèle d'IA ne devrait pas empêcher un intérêt légitime. Comme l'a estimé la Cour de justice de l'UE, un large éventail d'intérêts peuvent être considérés comme légitimes, y compris ceux de nature commerciale.
Enfin, l'avis ne devrait pas considérer le consentement comme une base juridique privilégiée. Compte tenu de l'ampleur des données nécessaires pour la plupart des modèles d'IA, l'obtention du consentement serait peu pratique, disproportionnée et conduirait à une représentativité réduite des ensembles de données.
- Les modèles AI ne sont pas des bases de données à caractère personnel consultables
Les modèles d'IA sont une représentation mathématique des schémas statistiques. Ils ne sont pas conçus pour mémoriser l'information sur des individus spécifiques, et une fois formés, ils ne sont pas base de données consultable des données personnelles.
L'avis de l'EDPB devrait refléter cette réalité technique. Lorsqu'un modèle d'IA est formé, les données de formation sont ventilées en jetons numériques. Par exemple, dans le cas d'un LLM, les jetons représenteraient des mots, leur signification et leurs relations (par exemple, le mot chien est associé à «animal» mais pas à «plant»). Le modèle effectue des opérations mathématiques pour corréler ces jetons, et il apprend les corrélations sous forme de poids numériques. Lorsqu'il est demandé, le modèle fournira alors une sortie qui prédise la réponse la plus probable à l'invite d'un utilisateur, en fonction des modèles et des corrélations qu'il a appris. Par exemple, dans le cas d'un LLM, les jetons représenteraient des mots, leur signification et leurs relations (par exemple, le mot chien est associé à «animal» mais pas à «plant»).
En tant que tel, le modèle lui-même ne traite pas les données à caractère personnel au sens de l'article 4 du RGPD, comme l'a également reconnu le Document de travail (s’ouvre dans un nouvel onglet) sur les grands modèles linguistiques (LLM) du Commissaire à la protection des données de Hambourg. Si des données à caractère personnel sont traitées pendant la formation ou le déploiement du modèle, cela doit être fait conformément au RGPD.
- L'accès à une grande variété de données est nécessaire pour une AI robuste
L'avis devrait reconnaître que traiter un large éventail de données – y compris des données sur des sujets sensibles – est fondamental pour réaliser des modèles d'IA robustes et représentatifs qui reflètent la diversité culturelle, géographique et linguistique de l'Europe.
La capacité de traiter légalement des données sur des sujets sensibles – c'est-à-dire des informations relatives à des attributs sensibles (comme le sexe ou la religion), mais en dehors du champ d'application de l'article 9 du RGPD – sera essentielle pour permettre aux entreprises d'identifier et d'atténuer les biais potentiels, comme l'exige la loi sur l'IA de l'UE.
Plutôt que de se concentrer sur la limitation de l'utilisation des données, qui aura des conséquences négatives pour les entreprises et les particuliers, l'avis devrait se concentrer sur l'identification et la mise en œuvre de mesures de sauvegarde pour garantir le traitement sûr et licite des données à caractère personnel.
- Reconnaître la diversité des modèles d'IA et la complexité des chaînes de valeur
Les garanties exactes appliquées à un projet d'IA spécifique dépendront de la nature du modèle et de la nature des données traitées. Les acteurs de toute la chaîne de valeur de l'IA – tels que les déployeurs et les développeurs – auront également des rôles et des responsabilités de gestion des risques différents. C'est pourquoi l'avis ne devrait pas être normatif et devrait maintenir une approche souple.
Les entreprises peuvent mettre en œuvre différentes garanties à différents stades de la chaîne de valeur pour assurer le traitement légal des données. Par exemple, des mesures de gouvernance des données, de dédoublement, de minimisation ou de pseudonymisation peuvent être utiles pour aborder les risques spécifiques de protection des données au stade de la formation. D'autre part, des mesures telles que des filtres rapides et des filtres de sortie peuvent aider à gérer les risques d'IA génératifs au stade du déploiement.
L'industrie travaille continuellement à l'amélioration des garanties appropriées, et nous espérons poursuivre notre collaboration avec les régulateurs pour expliquer davantage l'état de la technique. Une approche rigide et normative pourrait compromettre les efforts déployés pour élaborer et déployer de nouvelles garanties.
- Les droits de la personne concernée peuvent être soumis à des limitations
Les droits des personnes concernées revêtent une importance fondamentale pour la protection des personnes concernées. Toutefois, l'avis devrait reconnaître que les droits de la personne concernée peuvent être soumis à des limitations, tant du point de vue technique que juridique.
Par exemple, il serait techniquement impossible de mettre en œuvre un droit de rectification ou d'effacement des données après la formation du modèle, sans le recycler. Ce serait disproportionné, coûteux et exigeant des ressources. De même, il serait techniquement impossible de localiser et de supprimer les données sur une personne donnée une fois que les données ont été transformées et qu'elles font partie d'un ensemble de données de formation.
D'autres mesures de protection des personnes concernées devraient être envisagées dans ces cas. Les filtres de niveau de sortie, par exemple, peuvent être une solution efficace et proportionnée pour supprimer le contenu que les personnes concernées.