La Commission de l’Intelligence Artificielle (IA), installée par le Gouvernement en septembre dernier, recommande « la suppression des procédures d’autorisation préalable d’accès aux données de santé » (cf. Espace européen des données de santé : les instances européennes signent un accord provisoire). Cette « évolution » devrait selon elle s’accompagner d’une réforme du mandat confié à la CNIL, pour y intégrer un « objectif d’innovation ». Elle a remis son rapport à l’Exécutif le 13 mars.
Des contraintes « excessives » ?
Pour la Commission, l’IA est « une révolution technologique incontournable ». Ainsi, « l’Europe et la France doivent relever le défi de l’IA », « faute de quoi nous n’aurons pas la maîtrise de notre avenir ». Pour ce faire, elle indique six « grandes lignes d’actions ». Parmi elles, « réorienter structurellement l’épargne vers l’innovation et créer, à court terme, un fonds « France & IA » de 10 milliards d’euros », « promouvoir une gouvernance mondiale de l’IA », mais aussi « faciliter l’accès aux données » et « assumer le principe d’une « exception IA » dans la recherche publique ».
« Dans un contexte d’évolution technologique rapide et de concurrence accrue », l’accès aux données doit pouvoir être ouvert « rapidement » et « les données être utilisées sans contraintes excessives », considère la Commission. Or, « l’accès aux données est souvent compliqué et les contraintes sont considérées comme excessives par les acteurs de l’IA ».
Ainsi, l’instance déplore que « certaines règles et pratiques françaises » soient « plus contraignantes que le cadre européen en matière de traitement de données personnelles ». « Si le RGPD a, avec les principes de liberté et de responsabilité, renversé complètement la logique du droit qui prévalait en France depuis la loi “Informatique et Libertés” du 6 janvier 1978 » (cf. Un premier bilan pour la stratégie d’accélération « Santé numérique »)[1], les contraintes seraient « encore trop fortes » dans le secteur de la santé. « Il demeure des procédures d’autorisation préalables non prévues par le droit européen, déplore-t-elle. C’est en particulier le cas pour l’accès aux données de santé pour la recherche ».
La fin des « données personnelles » ?
Par ailleurs, selon la Commission de l’Intelligence Artificielle, il existe « un décalage croissant entre la logique centrée sur la protection de l’individu et l’évolution des modes d’utilisation collective des données ». Ainsi, « plusieurs notions clés du RGPD sont peu adaptées face au fonctionnement de l’IA ».
Parmi les notions incriminées, celles de « responsable du traitement », « pour laquelle la répartition des responsabilités entre le développeur qui a procédé à l’entraînement d’une IA générative et qui la met à disposition de tiers et l’utilisateur final du système pour ses propres besoins n’apparaît pas forcément aller de soi », ou celle de « finalité du traitement » « qui conditionne la nature des données pouvant légalement être utilisées et sur laquelle porte le consentement des personnes concernées ».
Même la notion de « donnée personnelle » serait problématique. « Clé d’application du RGPD, [elle] suscite des interrogations dans un contexte croissant d’utilisation de données collectives ». Leur anonymisation, qui permet de s’extraire du régime de protection des données personnelles du RGPD, ne semble pas non plus adaptée car « la technologie ouvre de plus en plus loin des possibilités de réidentification de données anonymisées » (cf. L’anonymisation des données, insuffisante pour protéger notre vie privée).
Pour la Commission de l’IA, une « gouvernance collective » de la donnée pourrait poser « les jalons d’une évolution du cadre juridique qui prendrait mieux en considération l’évolution des modes d’utilisation des données ».
[1] « en application de laquelle les traitements des données à caractère personnel reposaient sur des procédures d’autorisation ou de déclaration préalables auprès de la CNIL »
Source : DSIH, Alexandre Fievée et Alice Robert, (18/03/2024)
