RGPD et IA générative : que recommande la CNIL aux entreprises qui déploient un outil ?

La CNIL a publié le 18 juillet 2024 des questions-réponses consacrées au déploiement de systèmes d'IA générative par les organismes. Le message central : partir d'un besoin précis, choisir un mode de déploiement adapté à la sensibilité des données, encadrer les usages et former les utilisateurs. Voici ces recommandations, regroupées en décisions concrètes pour une PME.

1. Partir du besoin, pas de l'outil

La CNIL invite à ne pas déployer une IA générative sans objectif précis, et à tenir compte des risques propres à chaque usage. Elle distingue par exemple un outil d'aide à la rédaction, moins risqué, d'un outil d'aide à la décision concernant des clients, des candidats ou des usagers.

Action : pour chaque usage envisagé, écrivez en une phrase ce qu'il doit apporter et quelles données il traitera.

2. Choisir le mode de déploiement selon les données

Action : rangez vos usages dans ce tableau. La plupart des PME n'iront pas jusqu'au déploiement sur site, mais cela oblige à exclure certaines données des outils en ligne.

3. Clarifier qui est responsable de quoi

Le RGPD impose de déterminer les rôles : votre entreprise est-elle responsable de traitement, et le fournisseur sous-traitant ? La CNIL recommande de formaliser cette relation par contrat. Elle précise aussi qu'une entreprise qui connecte l'outil à sa propre base documentaire contenant des données personnelles, ou qui l'ajuste avec ses données, devient responsable de ce traitement.

Action : lisez les conditions d'utilisation de l'outil, en particulier sur la réutilisation des données saisies, et associez votre DPO ou la personne en charge du RGPD. Selon le traitement, une analyse d'impact (AIPD) peut être nécessaire.

4. Encadrer les usages par écrit

La CNIL recommande une analyse des risques préalable, une stratégie de gouvernance et une charte interne listant les usages autorisés et interdits. Elle cite notamment l'interdiction de saisir des données personnelles ou des informations confidentielles (secret des affaires, secret professionnel), selon le mode de déploiement. Elle renvoie aussi aux recommandations de sécurité de l'ANSSI pour les systèmes d'IA générative.

Action : rédigez une charte courte, et désignez un point de contact pour les questions et signalements.

5. Former les utilisateurs et vérifier les résultats

C'est le point le plus opérationnel. La CNIL recommande de former les utilisateurs au fonctionnement et aux limites du système, de vérifier les contenus produits (exactitude, plagiat, biais ou discriminations) et de se prémunir contre le biais d'automatisation, c'est-à-dire la tendance à faire confiance par défaut à la machine. Elle conseille de ne jamais reprendre telles quelles les sorties de l'outil.

Action : intégrez ces points dans la formation de vos équipes, avec des exemples tirés de leurs propres documents.

6. Organiser la gouvernance dans la durée

Associer le DPO et, si nécessaire, la personne responsable de la sécurité informatique ; recueillir régulièrement l'avis des utilisateurs ; pour les usages sensibles, envisager un référent ou un comité consulté avant le déploiement. Ces recommandations sont proportionnées : une PME peut les mettre en œuvre avec une ou deux personnes identifiées.

Les recommandations de la CNIL évoluent : consultez régulièrement la rubrique « Intelligence artificielle » de son site pour suivre les nouvelles publications.

Former les utilisateurs est l'une des recommandations les plus directes de la CNIL. Notre formation « L'IA appliquée à votre métier » aborde les données à protéger et la vérification des résultats, sur vos cas concrets.