Le RGPD appliqué à l'IA.

Oui. Le RGPD ne vise pas une technologie mais tout traitement de données personnelles. Dès qu'une IA collecte, analyse ou conserve des informations permettant d'identifier une personne — directement ou indirectement — le règlement s'applique, que ce soit lors de l'entraînement du modèle ou de son utilisation quotidienne. Il n'existe pas d'exception « IA » au RGPD ; la CNIL l'a rappelé à plusieurs reprises. Vérifiez toujours l'analyse au cas par cas auprès de sources officielles.

Le RGPD prévoit six bases légales possibles : le consentement, l'exécution d'un contrat, une obligation légale, la sauvegarde des intérêts vitaux, une mission d'intérêt public et l'intérêt légitime. Pour l'entraînement de modèles, les fournisseurs invoquent souvent l'intérêt légitime ou le consentement, mais ce choix doit être justifié et documenté. La base retenue conditionne vos droits, notamment le droit d'opposition. Consultez la politique de confidentialité du service concerné.

Le RGPD vous reconnaît notamment un droit d'accès, de rectification, d'effacement (droit à l'oubli), de limitation, d'opposition et de portabilité. Vous pouvez donc demander quelles données sont détenues, les faire corriger ou supprimer, vous opposer à certains usages comme l'entraînement, et récupérer vos données dans un format réutilisable. Ces droits s'exercent auprès du responsable de traitement, souvent via un formulaire ou une adresse dédiée. En cas de refus, vous pouvez saisir la CNIL.

Les données sensibles sont des catégories particulières définies par l'article 9 du RGPD : origine, opinions politiques, convictions religieuses, appartenance syndicale, données de santé, vie ou orientation sexuelle, données génétiques et biométriques. Leur traitement est en principe interdit, sauf exceptions strictes comme le consentement explicite. Concrètement, évitez de saisir de telles informations dans une IA grand public, car elles sont plus difficiles à encadrer. Vérifiez toujours les conditions du service.

Le responsable de traitement est celui qui détermine les finalités et les moyens du traitement. Pour un compte personnel, le fournisseur de l'IA est généralement responsable pour ses propres finalités. Si une entreprise déploie une IA pour ses salariés ou clients, elle devient souvent responsable de traitement, le fournisseur agissant alors comme sous-traitant encadré par un contrat. La qualification exacte dépend du contexte et mérite une analyse juridique.

Oui, c'est fréquent car beaucoup de fournisseurs d'IA hébergent leurs serveurs aux États-Unis ou ailleurs. Le RGPD n'interdit pas ces transferts mais les encadre par des garanties : décision d'adéquation, clauses contractuelles types ou règles d'entreprise contraignantes. La politique de confidentialité du service doit préciser les lieux d'hébergement et les mécanismes utilisés. Vérifiez ces informations directement auprès du fournisseur.

La minimisation impose de ne collecter que les données strictement nécessaires à la finalité poursuivie : une IA ne devrait pas conserver plus que ce qui est utile. La transparence exige que les personnes soient informées de façon claire des traitements, de leurs finalités et de leurs droits. Pour l'IA, cela suppose une politique de confidentialité lisible et une information sur l'usage éventuel des données pour l'entraînement. La CNIL insiste sur ces deux principes.

Vous pouvez en général supprimer vos conversations et votre compte depuis les paramètres, et adresser une demande d'effacement au responsable de traitement, qui doit répondre en principe sous un mois. Attention : effacer une conversation ne retire pas toujours une information déjà mémorisée par le modèle ou conservée pour des raisons légales. Certaines données peuvent être conservées un temps pour des obligations comptables ou de sécurité. En cas de difficulté, saisissez la CNIL.