Protection vie privée et IA

L'essentiel

L'intelligence artificielle (IA) promet de transformer nos vies en contribuant à nous rendre plus efficaces, productifs, en meilleure santé et innovants. Cette technologie d’avenir est déjà utilisée dans les secteurs privés comme publics, exploitant le potentiel des données pour affiner les prévisions, créer de meilleurs produits et services, réduire les coûts et soulager les employés de leurs tâches routinières.

Toutefois, comme pour toute technologie émergente et comme nous l’avions soulevé dans nos articles précédents, elle n’est pas sans risques. L'utilisation généralisée et non régulée des applications d’IA pose la question de son impact en matière de droits et de respect de la vie privée des utilisateurs. C'est particulièrement vrai pour l'IA générative (GenAI), qui capitalise sur des algorithmes d'apprentissage et des modèles de base puissants entraînés grâce à des quantités astronomiques de données non propriétaires pour produire des résultats.

Le troisième sujet de notre série dédiée à l’IA se penche sur les risques pour le respect de la vie privée d’une adoption massive de l'IA. Il s’intéresse aux conséquences de cette tendance pour les entreprises et aborde les principales démarches que les organisations peuvent entreprendre pour utiliser l'IA de manière responsable. En se tenant informées des implications de l’utilisation de l’IA en matière de protection des données personnelles et en prenant des mesures proactives pour limiter les risques, les entreprises pourront explorer la richesse de cette technologie tout en préservant la vie privée des individus.

Comment la protection des données personnelles peut donner confiance en l’IA.

Recevoir l'étude

Découvrez les cinq étapes clés pour aider l’entreprise à développer sa confiance dans l'IA

Les législateurs, les responsables politiques et les régulateurs mettent tous l’accent sur l'alignement des systèmes d'IA avec des standards reconnus. Il est donc essentiel de déterminer quelles réglementations s'appliquent à votre secteur d’activité, de déterminer celles auxquelles votre IA devra se conformer et d’organiser le développement et le déploiement de votre IA dans ce cadre. Établissez un référentiel pour l'utilisation de l’IA qui satisfasse les différentes exigences réglementaires et adaptez en conséquence votre déploiement de l’IA ou d’activités commerciales liées à l’IA.

Évaluez l'impact sur la protection des données personnelles et traiter les enjeux de conformité dès le premier jour, et tout au long du cycle de vie de l’IA, par une évaluation systématique de son impact sur la vie privée (PIA). La "Privacy by Design", telle que décrite dans la norme ISO 31700 et dans le référentiel d'évaluation "Privacy by Design" de KPMG, peut aider les organisations à intégrer la brique de la protection des données personnelles dans les systèmes d’IA.

Même si vous pensez que votre système d’IA n'utilise que des données anonymisées ou non personnelles, il subsiste des risques d’atteinte à la vie privée. On peut par exemple citer la réidentification à partir de données d'entraînement ou d’IA, ou l’utilisation de données non personnelles pour entraîner des IA qui affectent des personnes et des groupes de personnes.

Une évaluation solide comprendra la modélisation de menaces sur la sécurité et à la protection des données personnelles tout au long du cycle de vie de l'IA et une consultation des parties prenantes lorsque nécessaire. Il faudra tenir compte de questions plus larges comme l’équité des données (le traitement équitable des personnes du fait de l’utilisation de leurs données).

Évaluez les risques en matière de protection des données personnelles associés au développement de solutions IA en interne ou à l'utilisation d’IA publiques entrainées sur des données publiques. Assurez-vous que ces IA respectent les normes, réglementations, meilleures pratiques et codes de conduite les plus récents pour opérationnaliser les exigences (par exemple, NIST, ISO, directives réglementaires). De telles règles s'appliquent que vous soyez le développeur ou un client qui développe ou se procure et intègre un système d’IA.

Si vous êtes un client, demandez au développeur la documentation justifiant de son analyse d’impact sur la vie privée (ou « PIA ») et les évaluations complémentaires des risques sur la vie privée liés à l’usage de l’IA. S'ils ne peuvent pas vous fournir ce type de documentation, envisagez d’utiliser un autre fournisseur. Dans de nombreuses juridictions, y compris au Royaume-Uni et dans l'UE, un PIA constitue déjà souvent une obligation légale. La réalisation d’un PIA devrait tenir compte de l’utilisation première de l’IA et de considérations liées à sa conception. Concentrez-vous sur l'articulation du besoin, sur l’échelle de la collecte de données, ainsi que sur le consentement.

Que vous soyez un développeur de systèmes d'IA ou un tiers/fournisseur d'IA, il faudra assurer à vos clients et aux régulateurs que vous avez pris les précautions nécessaires pour produire une IA digne de confiance. Une façon de faire est de mener un audit sur la base des normes reconnues, des cadres réglementaires en vigueur et des meilleures pratiques, en y intégrant une évaluation de l'impact algorithmique.

Par exemple, vous pouvez mettre le système d’IA à l’épreuve en appliquant des scripts de test correspondant à scenarii réels pour récolter les retours des utilisateurs. Cela permettra de valider l’efficacité, la fiabilité, l’équité et l’acceptabilité globale de l’IA avant son déploiement. Cela inclut notamment la capacité à expliquer quelles données ont été utilisées, comment elles ont été appliquées à l'utilisateur final et de quels moyens dispose l'utilisateur final pour contester ou remettre en question l'utilisation de l'IA à des fins de prise de décision automatisée.

Soyez prêt à répondre aux questions et à gérer les décisions des personnes impactées par le développement ou l'utilisation de systèmes d'IA. Il sera attendu des entreprises souhaitant utiliser l'IA pour automatiser la prise de décision qu’elles soient capables d'expliquer en des termes simples de quelle manière l’IA est susceptible d’impacter les utilisateurs finaux.

L'explicabilité est la capacité à exposer les raisons qui ont conduit un système d’IA à aboutir à une décision, une recommandation ou une prédiction particulière. Soyez prêt à répondre aux questions et à gérer les volontés des personnes sur lesquelles le développement ou l’utilisation de solutions d’IA auront des conséquences. Envisagez l’élaboration de processus documentés pour décrire et justifier le choix des données utilisées, la façon dont elles le seront et les moyens à la disposition de l'utilisateur final pour questionner ou contester l’usage de l’IA pour une prise de décision.