Il a fallu plusieurs tentatives et réunions au niveau technique pour que les ambassadeurs des Vingt-Sept décident de donner leur feu vert à la position négociatrice sur les nouvelles règles numériques communautaires. Les derniers détails du paquet avec lequel Bruxelles entend simplifier le cadre réglementaire technologique et, en même temps, "stimuler l'innovation" avaient rencontré des résistances parmi certaines capitales, l'Allemagne étant l'un des pays qui bloquait l'accord.
C'est cette semaine que les derniers ajustements du dit "omnibus numérique" ont reçu l'aval du Conseil de l'UE pour commencer les négociations avec le Parlement européen en vue de son adoption définitive.
Il est certain que le texte introduit des modifications clés au Règlement général sur la protection des données (RGPD), à la Loi sur les données et à la Loi sur l'intelligence artificielle. Des sources communautaires affirment que l'objectif central "est d'éliminer la complexité", bien que les plus sceptiques avertissent que la réforme ouvrirait la porte à l'utilisation d'informations particulièrement protégées lors de l'entraînement des systèmes d'IA.
"La présidence irlandaise a travaillé pour parvenir à un accord opportun au Conseil, afin que ces améliorations puissent commencer à générer des bénéfices réels le plus tôt possible", affirmait la ministre des Affaires étrangères d'Irlande, Helen McEntee.
L'intérêt légitime entre dans l'entraînement de l'IA
Enfin, le projet sur lequel commencera à se négocier l'accord définitif établit des règles spécifiques pour habiliter et réguler l'utilisation de données personnelles tout au long du cycle de vie des systèmes d'intelligence artificielle. Cela inclut depuis leur entraînement jusqu'aux phases de test, de validation et de fonctionnement ultérieur.
Les États membres ont convenu de clarifier explicitement que le développement et le fonctionnement des systèmes d'IA, y compris les grands modèles de langage et les systèmes de vidéo générative, peuvent se fonder sur l'intérêt légitime du responsable du traitement, l'une des bases juridiques prévues par le RGPD. De même, les autorités et organismes publics pourront s'appuyer sur la base juridique de l'intérêt public ou de l'exercice de pouvoirs publics lorsqu'ils développent ou entraînent leurs propres modèles d'intelligence artificielle.
Cependant, le développement d'un modèle d'IA ne constituera pas, à lui seul, un intérêt légitime automatique. Son application devra être évaluée au cas par cas, en pesant la finalité poursuivie par le développeur par rapport aux droits et libertés des utilisateurs.
Cette base juridique ne pourra pas être utilisée lorsque les droits des personnes concernées prévalent, en particulier s'il s'agit de mineurs, ou lorsque une disposition légale exige expressément le consentement pour effectuer un traitement particulier.
Que se passe-t-il avec les données sensibles ?
Une des principales nouveautés techniques de l'accord réside dans la manière d'aborder la présence imprévue de données particulièrement sensibles, telles que celles relatives à la santé, à l'origine ethnique ou aux opinions politiques, dans les grands volumes d'informations utilisés pour entraîner des modèles d'intelligence artificielle.
Le Conseil propose d'introduire un nouveau cas d'exception pour permettre le traitement incident et résiduel de catégories spéciales de données lorsque celles-ci ne constituent pas l'objectif du responsable du traitement. Autrement dit, la flexibilisation ne suppose pas une autorisation générale pour collecter délibérément des informations sensibles dans le but d'entraîner des systèmes d'IA, mais vise à offrir une réponse juridique à ces cas où ces données apparaissent de manière imprévue dans les ensembles d'entraînement.
Pour cela, les développeurs devront appliquer au préalable des mesures techniques et organisationnelles, telles que des mécanismes de filtrage pendant la phase de collecte, destinés à éviter l'incorporation d'informations particulièrement protégées.
Cependant, si, malgré ces précautions, des données sensibles sont détectées dans les ensembles d'entraînement, lors de la validation ou dans le système lui-même, le responsable sera obligé de les supprimer sans délai indu.
La proposition prend également en compte les scénarios où la suppression s'avérerait techniquement impossible ou exigerait un effort manifestement disproportionné. Par exemple, lorsque certaines informations ont été "mémorisées" dans les poids du modèle et que leur suppression nécessiterait un nouveau processus d'entraînement. Dans ces cas, le responsable devra garantir une protection efficace des données concernées, empêchant qu'elles continuent d'être traitées, évitant leur utilisation pour générer des inférences et prenant des mesures pour qu'elles ne puissent pas être révélées à des tiers.
Plus de flexibilité, mais aussi de nouvelles sauvegardes
Pour compenser cette flexibilisation des bases juridiques, le texte incorpore une série d'obligations supplémentaires destinées aux développeurs d'intelligence artificielle. Tout d'abord, ils devront appliquer le principe de minimisation des données dès la propre sélection des sources d'information, en plus de mettre en œuvre des instruments destinés à prévenir les fuites ou divulgations indésirables.
Avec ces garanties, la proposition reconnaît aux utilisateurs le droit inconditionnel de s'opposer au traitement de leurs données personnelles pour le développement de ces technologies.
Un autre des changements pertinents concerne la propre interprétation du concept de donnée personnelle. Les États membres ont voulu clarifier que, suivant la jurisprudence de la Cour de Justice de l'Union Européenne (CJUE), une information ne doit pas être considérée nécessairement comme une donnée personnelle pour toute entité simplement parce qu'un tiers peut identifier l'utilisateur.
De cette manière, lorsque qu'une organisation ne dispose pas de moyens raisonnables pour identifier une personne, cette information pourra cesser d'être considérée comme une donnée personnelle du point de vue de cette entité. Cette interprétation affecte également les données pseudonymisées transmises à des tiers, qui pourront être exclues de cette considération pour le récepteur lorsque la possibilité de réidentification est insignifiante ou techniquement impossible.
De plus, le projet introduit des ajustements dans l'exercice des droits d'accès prévus par le RGPD. Les responsables du traitement pourront rejeter ou facturer les demandes qui s'avèrent manifestement abusives ou excessives, y compris les demandes automatisées massives lancées par des agents d'IA malveillants.
Une réorganisation de l'écosystème réglementaire européen
Au-delà de la protection des données, l'ombudsman numérique propose une restructuration de l'écosystème normatif européen avec un impact direct sur la compétitivité du secteur technologique de l'Union.
La proposition prévoit l'abrogation de chapitres entiers de la Loi sur la Gouvernance des Données et l'intégration des dispositions de la Directive sur les Données Ouvertes dans la Loi sur les Données. Ce faisant, Bruxelles entend concentrer une bonne partie du cadre réglementaire en deux grands instruments normatifs, réduisant la fragmentation législative et les charges administratives pour les entreprises.
Selon les institutions communautaires, cette réorganisation permettra de simplifier les procédures nécessaires pour accéder aux données publiques et de recherche, facilitant leur réutilisation par les opérateurs économiques. De plus, les registres de services d'intermédiation de données et d'organisations d'altruisme de données deviendront volontaires, accompagnés d'un label de reconnaissance de l'UE.
Le texte incorpore également des dispositions destinées à renforcer la position des petites et moyennes entreprises face aux grandes plateformes technologiques. En particulier, les autorités publiques pourront établir des conditions spéciales et des tarifs plus élevés pour les gatekeepers, c'est-à-dire les gardiens d'accès désignés en vertu de la Loi sur les Marchés Numériques, lorsqu'ils demanderont à réutiliser certaines données ouvertes ou protégées.
Enfin, le Conseil introduit un soi-disant "mécanisme de frein à main" destiné à protéger les secrets commerciaux et industriels face aux demandes d'accès provenant de pays tiers. Cet outil permettra d'établir des restrictions lorsque des risques de fuite d'informations commerciales sensibles existent ou lorsque les juridictions demandeuses n'offrent pas de garanties légales suffisantes pour assurer leur protection.
Avec cet ensemble de modifications, les Vingt-Sept cherchent à progresser vers un cadre numérique moins fragmenté et plus favorable au développement technologique européen. Cependant, l'équilibre entre la simplification réglementaire, la compétitivité de l'industrie et la protection effective des droits fondamentaux sera de nouveau au centre des négociations avec le Parlement européen, notamment en ce qui concerne le usage des données personnelles et des catégories spéciales d'informations pour l'entraînement de l'intelligence artificielle.