La Cnil clarifie l'usage de données personnelles pour l'IA au titre de l'intérêt légitime
Suite à une consultation publique, la Cnil a mis à jour sa fiche pratique sur la mobilisation de "l'intérêt légitime" comme base juridique pour déployer des systèmes d'IA (SIA) utilisant des données personnelles. Si les prescriptions concernent surtout les acteurs privés – les structures publiques peuvent aussi s'appuyer sur l'intérêt public pour leurs SIA – on notera plusieurs cas d'usage susceptibles d'intéresser les collectivités.
D'une façon générale, la Cnil identifie trois conditions pour invoquer l'intérêt légitime :
- la légitimité de l'objectif poursuivi ;
- la nécessité du traitement pour atteindre cet objectif ;
- l'équilibre entre les intérêts poursuivis et les droits des personnes.
Elle recommande aussi d'utiliser des données pseudonymisées/anonymisées quand c'est possible et d'examiner les alternatives possibles à l'IA. Les personnes doivent aussi pouvoir s'opposer à l'usage de leurs données.
Dans les nombreux cas d'usages mentionnés, on signalera la possibilité d'utiliser des forums, requêtes ou autres données d'utilisateurs/usagers pour proposer un service d'agent conversationnel, améliorer un service ou faciliter l'accès à certaines informations. On notera aussi la possibilité d'exploiter la voix qui n'a le statut de donnée sensible / biométrique que dans certains cas (authentification par exemple). Cela confirme la possibilité d'utiliser des IA "voice to text" capables d'identifier les locuteurs pour générer un compte-rendu de réunion. Idem pour l'usage de la voix en tant que vecteur d'accessibilité d'un service public, pour remplir par exemple un formulaire administratif.
Des éclaircissements qu'il ne faut pas interpréter comme un blanc-seing. La Cnil insiste sur la nécessité de documenter chaque cas et de faire une analyse de risques, notamment sur les possibilités de détournement d'usage des données collectées.
