Données personnelles et IA : comment reprendre la main sur ce que vous partagez

Le succès des assistants conversationnels a rendu un geste banal : copier un texte dans une fenêtre, poser une question précise, joindre un document et attendre une réponse. Le 19 octobre 2024, cette commodité pose une question beaucoup moins anodine : que devient l’information fournie à ces services, et qui décide de ses usages ? La réponse ne tient ni dans une formule alarmiste, ni dans une promesse absolue de confidentialité. Elle dépend du service choisi, de ses paramètres, du contrat applicable et des droits que les utilisateurs font valoir.

L’intelligence artificielle générative ne crée pas à partir de rien. Elle est développée à partir de très grands ensembles de données et peut aussi traiter des informations transmises pendant son utilisation. Les plateformes proposées par OpenAI, Google, Microsoft, Meta ou LinkedIn ne répondent pas toutes aux mêmes règles opérationnelles. Confondre l’entraînement d’un modèle, le stockage d’un historique et l’usage technique d’une requête pour délivrer une réponse conduit pourtant à mal évaluer les risques.

Quelles données une IA peut-elle réellement traiter ?

Une donnée personnelle est toute information se rapportant à une personne identifiée ou identifiable. Un nom et une adresse e-mail en sont des exemples évidents. Mais un identifiant de compte, une adresse IP, une localisation approximative, l’historique de navigation ou une combinaison d’informations permettant de reconnaître quelqu’un peuvent aussi entrer dans cette catégorie.

Dans un service d’IA, les données ne se limitent donc pas au texte d’un prompt. Elles peuvent provenir du compte, de l’appareil employé, des fichiers importés et de la manière dont le service est utilisé. Un document de travail peut contenir bien davantage qu’une simple demande : noms de clients, informations salariales, coordonnées, résultats médicaux ou éléments couverts par le secret des affaires.

Une précaution essentielle consiste à ne pas confondre donnée personnelle et donnée publique. Un message publié sur un réseau social peut être publiquement accessible, sans cesser pour autant de concerner une personne. Sa réutilisation éventuelle, notamment pour développer des systèmes d’IA, soulève donc des questions de transparence et de droit d’opposition.

De la conversation à l’entraînement : trois usages à distinguer

Dire qu’une entreprise « prend les données » masque des mécanismes différents. D’abord, une requête doit généralement être traitée pour produire une réponse : c’est l’usage nécessaire à la fourniture du service. Ensuite, certaines informations peuvent être conservées pour lutter contre les abus, maintenir le service, résoudre des incidents ou respecter des obligations légales. Enfin, selon les conditions du produit et les préférences activées, des échanges peuvent contribuer à l’amélioration de systèmes d’IA.

Cette dernière possibilité concentre une grande partie des inquiétudes. Elle ne signifie pas automatiquement qu’un modèle reproduira mot pour mot un document soumis par un utilisateur. Les modèles apprennent des régularités statistiques dans de vastes corpus. Néanmoins, la mémorisation involontaire de certains contenus, le risque de réidentification et l’opacité sur les jeux de données font de ce sujet un enjeu réel de protection de la vie privée.

Il faut aussi distinguer les offres grand public des outils fournis aux organisations. Une entreprise, un hôpital ou une administration qui confie des données à un prestataire ne peut pas se satisfaire d’un bouton de confidentialité. Les clauses contractuelles, les durées de conservation, le lieu de traitement, les sous-traitants et l’éventuelle utilisation des contenus pour améliorer les modèles doivent être examinés avant tout déploiement.

Les paramètres changent selon les produits et évoluent avec le temps. Pour un même éditeur, une application gratuite, un abonnement individuel, une interface professionnelle et une interface de programmation peuvent prévoir des modalités différentes. Il n’existe donc pas de réponse universelle valable pour toutes les IA.

Ce que le RGPD impose aux entreprises d’IA

En Europe, le Règlement général sur la protection des données, ou RGPD, ne disparaît pas parce qu’une technologie est nouvelle. Une entreprise qui traite des données personnelles doit notamment expliquer ce qu’elle collecte, pour quelles finalités, pendant combien de temps et sur quelle base juridique. Elle doit limiter la collecte au nécessaire, protéger les informations et permettre aux personnes d’exercer leurs droits.

Le consentement est important, mais il n’est pas l’unique fondement juridique possible. Un service peut invoquer l’exécution d’un contrat, une obligation légale ou, dans certains cas, un intérêt légitime. Cela ne lui donne pas carte blanche. La finalité doit être définie, l’information doit être intelligible, et les droits des personnes doivent être pris en compte.

Concrètement, une personne peut notamment demander :

• l’accès aux données qu’une organisation détient à son sujet ;
• la rectification d’informations inexactes ;
• l’effacement dans les conditions prévues par la loi ;
• la limitation d’un traitement ou son opposition dans certaines situations ;
• la portabilité des données fournies, lorsque ce droit s’applique.

Le RGPD prévoit par ailleurs des garanties particulières face aux décisions entièrement automatisées produisant des effets juridiques ou affectant significativement une personne. Un outil d’IA qui intervient dans le recrutement, le crédit, l’assurance ou l’accès à certains services appelle donc une vigilance renforcée.

Vie privée, désinformation et pouvoir de marché : des risques qui se cumulent

La collecte à grande échelle n’est pas qu’une affaire de publicité ciblée. Des données trop nombreuses, mal sécurisées ou utilisées hors du contexte compris par l’utilisateur peuvent faciliter le profilage, exposer des secrets professionnels et accroître les conséquences d’une fuite de données. Les systèmes génératifs ajoutent un risque particulier : des contenus faux mais plausibles peuvent circuler très vite.

Une étude récente mentionnée à propos de Grok AI a ainsi mis en lumière l’emploi du robot pour créer de faux visuels d’élections. Le sujet relève d’abord de la désinformation, mais il rejoint la question des données : les services les plus utiles et les plus personnalisés reposent souvent sur une connaissance accrue des comportements, des centres d’intérêt et des interactions des utilisateurs.

L’enjeu démocratique ne consiste pas à supposer qu’un algorithme contrôle mécaniquement les opinions. Il consiste à exiger que les mécanismes de recommandation, de ciblage et de génération de contenus soient compréhensibles, contestables et soumis à des règles. Plus l’accès à l’information, au travail ou aux services dépend de quelques plateformes, plus leurs pratiques de données ont des effets collectifs.

Les gestes concrets pour mieux protéger ses informations

La protection des données commence par une question simple avant chaque utilisation : cette information doit-elle vraiment être communiquée à un assistant d’IA ? Si la réponse est non, il est souvent possible d’anonymiser le texte, de retirer les noms, les numéros de dossier et les éléments permettant une identification indirecte.

Quelques pratiques réduisent sensiblement l’exposition :

• consulter les rubriques consacrées à la confidentialité, aux contrôles des données et à l’amélioration des modèles dans les paramètres du service ;
• désactiver l’utilisation des conversations pour l’entraînement lorsqu’une option claire est proposée, tout en lisant ce qu’elle couvre réellement ;
• éviter de saisir des données de santé, des coordonnées bancaires, des mots de passe, des documents d’identité et des informations confidentielles sur des tiers ;
• vérifier les autorisations accordées aux applications, notamment l’accès aux fichiers, au microphone, aux contacts ou à la localisation ;
• utiliser une adresse e-mail distincte si l’on souhaite séparer des usages personnels et professionnels ;
• conserver une copie des échanges importants et demander l’accès ou l’effacement de ses données lorsque cela est nécessaire.

Pour les équipes de travail, la règle doit être collective. Un salarié ne devrait pas avoir à deviner seul si un contrat, un code source ou un compte rendu de réunion peut être transmis à une IA. Une charte interne, une solution validée par l’organisation et une formation minimale évitent que le gain de productivité se transforme en divulgation involontaire.

Pourquoi la course à l’IA renforce la question des données

La concurrence technologique repose sur des ressources considérables : données, puissance de calcul, ingénieurs, centres de données et énergie. Des modèles de plus de 70 milliards de paramètres illustrent l’ampleur atteinte par certains systèmes. Le nombre de paramètres ne dit toutefois ni si un modèle respecte mieux la vie privée, ni s’il est plus fiable dans tous les usages. Il indique surtout la dimension de l’infrastructure nécessaire à son développement.

Cette infrastructure a aussi un coût énergétique. Les projets de Google liés à l’approvisionnement électrique, y compris les pistes nucléaires évoquées par l’entreprise, montrent que l’essor de l’IA dépasse largement les seules applications sur écran. Au Royaume-Uni, 6,3 milliards de livres sterling ont été annoncés pour renforcer les infrastructures de données. Ces investissements illustrent la volonté des États et des entreprises de disposer de capacités de calcul et de stockage stratégiques.

La question n’est donc pas seulement de savoir quelles données un utilisateur partage individuellement. Elle porte aussi sur la concentration des moyens techniques chez un nombre limité d’acteurs, ainsi que sur les conditions dans lesquelles chercheurs, entreprises, pouvoirs publics et citoyens peuvent contrôler ces infrastructures.

Ce qu’il faut surveiller après octobre 2024

Le cadre européen évolue. L’AI Act, règlement européen sur l’intelligence artificielle, est entré en vigueur le 1er août 2024 et s’appliquera progressivement selon les catégories de systèmes et les obligations concernées. Il ne remplace pas le RGPD : les deux textes ont des objets différents et sont appelés à se compléter. La protection des données personnelles reste donc une responsabilité immédiate, même avant l’application de nouvelles obligations propres à l’IA.

Les éléments les plus importants à suivre sont la clarté des politiques de confidentialité, l’existence de réglages réellement accessibles, le respect effectif des demandes d’opposition ou d’effacement, et les contrôles des autorités compétentes. Les entreprises devront également démontrer que l’innovation ne sert pas à contourner les règles de minimisation, de sécurité et de transparence.

Pour les utilisateurs, la meilleure protection reste une combinaison de vigilance et d’exigence : partager moins lorsqu’une donnée est sensible, lire les paramètres plutôt que les accepter par défaut, et demander des comptes lorsque les usages annoncés restent flous. L’IA peut apporter des bénéfices concrets, y compris dans des domaines sensibles comme l’aide aux médecins. Mais ces bénéfices ne dispensent ni les plateformes de leurs obligations, ni les citoyens de leur droit à comprendre ce qu’ils livrent en échange du service.