Ce que la CNIL dit vraiment sur l’IA
· 4 min
La CNIL n’interdit pas l’intelligence artificielle : elle demande que les données qui la nourrissent soient collectées loyalement, réduites au nécessaire, et que les personnes concernées soient informées. Depuis 2023, elle publie des recommandations écrites pour les développeurs comme pour les entreprises utilisatrices. Et elle a déjà sanctionné lourdement des usages jugés disproportionnés.
Le rôle de la CNIL face à l’IA
La CNIL est l’autorité française de protection des données, au titre de la loi Informatique et Libertés et du règlement européen. Elle ne juge donc pas l’intelligence artificielle en tant que technologie : elle intervient dès qu’un système traite des données personnelles, celles qui ont servi à l’entraîner comme celles qu’un salarié y saisit.
Début 2023, elle s’est dotée d’un service dédié à l’intelligence artificielle et a publié un plan d’action, avec l’idée de construire une doctrine lisible plutôt que d’attendre les contentieux. La méthode n’a pas changé depuis : appel à contributions, consultation publique, texte définitif.
S’y ajoute le règlement européen sur l’IA, entré en vigueur en 2024, qui classe les systèmes par niveau de risque. Les deux textes ne se remplacent pas : l’un encadre les données personnelles, l’autre la mise sur le marché des systèmes. La CNIL s’est positionnée pour figurer parmi les autorités françaises chargées de cette surveillance.
Ses recommandations pratiques
Le socle tient en quelques gestes répétés depuis deux ans. Définir une finalité précise avant de collecter quoi que ce soit. Vérifier sur quelle base juridique on s’appuie. Ne garder que les données utiles, et pas « au cas où ». Documenter ces choix : en cas de contrôle, la preuve de la conformité incombe à celui qui met en œuvre le traitement.
Point souvent ignoré, la CNIL a reconnu que l’intérêt légitime peut fonder l’entraînement d’un système, sous conditions. Il faut mettre en balance les droits des personnes, rester dans ce qu’elles pouvaient raisonnablement attendre et prévoir des garanties concrètes, à commencer par la possibilité de s’opposer.
Elle s’est aussi prononcée sur la collecte automatisée de contenus en ligne. Une donnée publiquement accessible n’est pas pour autant librement réutilisable : il faut écarter les catégories sensibles et respecter les oppositions. C’est là que plusieurs affaires ont basculé.
Les sanctions marquantes et leurs leçons
Clearview AI reste le cas d’école. Cette société américaine avait aspiré des milliards de photos sur le web pour alimenter un moteur de reconnaissance faciale. La CNIL lui a infligé 20 millions d’euros d’amende en octobre 2022, puis une astreinte de plusieurs millions faute de mise en conformité. Les données biométriques figurent parmi les plus protégées, et « accessible en ligne » ne veut pas dire « à disposition ».
L’autre dossier marquant vise Amazon France Logistique, sanctionnée de 32 millions d’euros début 2024 pour un suivi jugé excessif de l’activité des préparateurs de commandes : des indicateurs mesurant en continu les temps d’inactivité et la vitesse de travail, conservés trop longtemps. Pas l’outil de mesure en cause, mais la finesse de la surveillance.
Le fil rouge est net : ce qui est sanctionné n’est presque jamais la technologie, mais la disproportion des moyens et le silence entretenu envers les personnes concernées.
Ce que ça change pour un pro au quotidien
Utiliser un assistant comme ChatGPT pour reformuler un texte n’a rien d’interdit. Ce qui compte, c’est ce qu’on y colle. Fichier client, CV, compte rendu médical, contrat nominatif : dès qu’une personne est identifiable, les règles s’appliquent aussi dans la fenêtre de discussion. Anonymisez avant d’envoyer, et vérifiez dans les réglages si les échanges servent à améliorer le service : ces paramètres évoluent souvent depuis la date de publication.
Pour un agent conversationnel installé sur son site, trois points reviennent toujours. Dire au visiteur qu’il s’adresse à une machine. Indiquer ce que deviennent les conversations et combien de temps elles sont conservées. Garder un chemin vers un humain. Et ne pas laisser le système trancher seul une décision aux conséquences réelles, refus de dossier ou tarif différencié : les décisions entièrement automatisées sont encadrées.
Reste l’administratif, moins spectaculaire mais contrôlé : inscrire l’outil au registre des traitements, l’évoquer dans la politique de confidentialité, informer les salariés s’il touche à leur travail. Sur un cas précis, recrutement, santé, suivi d’équipe, mieux vaut lire les fiches sectorielles de la CNIL ou interroger un délégué à la protection des données que trancher au jugé.
Où trouver les ressources officielles
Tout est sur cnil.fr, gratuitement et en français. La rubrique consacrée à l’intelligence artificielle rassemble des fiches pratiques, des questions-réponses sur les IA génératives et des guides d’auto-évaluation pensés pour des équipes sans juriste.
Deux précautions de lecture. Regarder la date de chaque publication, car la doctrine s’étoffe encore d’une année sur l’autre. Et distinguer la recommandation de l’obligation : la CNIL le signale, mais la nuance se perd dans les résumés qui circulent.
Pour le reste, service-public.fr couvre les démarches administratives et les textes européens sont consultables dans leur version officielle. Une question précise mérite un professionnel du droit ou le délégué à la protection des données de votre structure ; ces pages suffisent à ne pas partir de zéro.