Les ambassadeurs des Vingt-Sept ont approuvé la reprise des négociations sur un amendement au RGPD qui permettrait aux modèles d’intelligence artificielle de s’entraîner sur les données personnelles des utilisateurs, sans leur consentement. L’association noyb y voit une « expropriation numérique ». Le texte n’en est qu’à l’étape des discussions.
- Les ambassadeurs des Vingt-Sept ont approuvé la reprise des négociations sur un amendement au RGPD.
- Cet amendement permettrait aux IA d’utiliser des données personnelles sans consentement, au nom de l’« intérêt légitime ».
- Les données sensibles collectées par accident ne seraient pas sanctionnées si l’entreprise fait un effort sérieux pour les éviter.
- Le texte reste au stade des discussions, et aucun calendrier officiel n’est fixé.
Le 21 octobre, le Comité des représentants permanents de l’Union européenne, plus connu sous le nom des ambassadeurs des Vingt-Sept, a donné son feu vert à la reprise des négociations sur cet amendement, qui vise à l’inscrire dans le règlement général sur la protection des données (RGPD). Dès le mois de septembre, l’association européenne basée à Vienne noyb s’était opposée au projet du Conseil européen, qu’elle décrivait comme « rien d’autre que l’expropriation numérique des Européens ». Après l’annonce de la reprise des discussions, l’association s’est montrée encore plus critique. Max Schrems, président d’honneur de noyb, y voit « la remise totale des données européennes aux multinationales ».
Un « intérêt légitime » comme point d’appui
Concrètement, le nouvel article 88 bis du RGPD permettrait d’invoquer l’ »intérêt légitime » pour développer et exploiter des IA à partir de données personnelles, sans le consentement de la personne concernée. Ce principe repose sur un consentement présumé : en d’autres termes, « qui ne dit mot consent ». Selon ce même article, les seules exceptions seraient les cas où le droit de l’Union européenne ou celui du pays concerné exige explicitement un consentement. Lorsque la personne est un enfant, le traitement de ses données nécessiterait en revanche le consentement.
Le texte du Conseil mentionne aussi l’article 9, dont le deuxième paragraphe évoque les données sensibles, comme celles relatives à une maladie. Or, pour entraîner un modèle, son exploitant aspire d’énormes quantités de textes et de photos, parmi lesquelles figurent forcément des informations sensibles. Il est impossible de tout trier à la main, et le Conseil européen entend encadrer ce type de données utilisées par des entreprises comme OpenAI ou Anthropic.
Le Conseil propose que, si de telles données se retrouvent par accident dans les calculs d’entraînement, l’entreprise ne soit ni considérée comme fautive ni passible de sanctions au titre du droit européen. Elle devrait toutefois faire un effort sérieux pour les éviter, par exemple en les filtrant dès la collecte. Le texte ne quantifie ni ne définit clairement les limites de cet effort. Si l’entreprise repère des données sensibles, elle doit les effacer sans tarder.
Ce texte, qualifié de polémique, reste au stade des négociations au sein du Conseil européen, et aucun calendrier officiel n’a encore été établi.
