Numérique
Plan
Haut de pageTexte intégral
1Margo Bernelin
2Chargée de recherche au CNRS, UMR 6297 Droit et changement social, Nantes Université
3Jessica Eynard
4Maître de conférences, Faculté de droit, Université Toulouse 1 Capitole
5William Letrone
6Chercheur post-doctorant, UMR 6297 Droit et changement social, Nantes Université
7Ludovica Robustelli
8Chercheur post-doctorant, UMR 6297 Droit et changement social, Nantes Université
9Comme à l’accoutumée, l’activité juridique est dense en matière de numérique, ne ménageant pas les auteurs de ces lignes. Le panorama s’intéresse plus particulièrement aux actualités juridiques en matière d’intelligence artificielle, de services en ligne et de traitement des données personnelles. Le focus, lui, traite du thème du numérique en santé.
I.Panorama
10Publication du Règlement européen sur l’intelligence artificielle (RIA ou AI Act). Le 1er août dernier, le RIA est entré en vigueur, instituant ainsi officiellement le premier cadre législatif contraignant de nature supra-étatique dédié à l’IA. Particulièrement attendu, le RIA a vocation à s’appliquer à tout fournisseur et déployeur (comprendre utilisateur professionnel) de systèmes d’IA opérant sur le territoire de l’Union européenne ou dont les résultats et systèmes produisent des effets sur le territoire européen (article 2). De ce fait, le texte aura également une portée extraterritoriale.
- 1 A. Boutet, J. Sénéchal, M. Bernelin, W. Letrone, « L’AI Act, ou comment encadrer les systèmes d’IA (...)
- 2 M. Ebers, « Truly Risk-Based Regulation of Artificial Intelligence - How to Implement the EU’s AI A (...)
11Le texte instaure un régime juridique différencié selon une logique de limitation du risque. En dehors des cas d’interdiction spécifiques mentionnés à l’article 5, le texte instaure des obligations proportionnelles au risque engendré par le déploiement et l’utilisation des systèmes d’IA (voir notamment récital 26)1. Parmi ces obligations, on trouve une obligation transversale de transparence applicable à tous les systèmes d’IA dès lors qu’ils ont vocation à interagir avec une personne physique. L’approche de l’IA par le risque n’est pas inédite, loin de là, puisque des initiatives comme la Déclaration de Bletchley, la nouvelle Convention-cadre sur l’IA du Conseil de l’Europe ou encore la récente loi canadienne « AIDA » adoptent une stratégie similaire2. L’idée est avant tout d’éviter une réglementation trop lourde qui serait de nature à entraver le progrès scientifique.
- 3 « Shaping Europe’s digital future » (1er août 2024) Commission européenne, Politiques, <https://dig (...)
12Il est encore trop tôt pour juger de l’efficacité du RIA, qui ne sera pleinement applicable qu’à l’issue d’une longue période transitoire. L’article 113 détaille les conditions de son implémentation, qui se fera par étape, pour être intégralement applicable 36 mois après son entrée en vigueur. Jusque-là, les acteurs concernés sont invités à initier leur mise en conformité. Afin d’anticiper la mise en œuvre du RIA, la Commission européenne a établi le Pacte sur l’IA (AI Pact), dont une ébauche a été présentée en juillet 2024. Supervisé par le bureau de l’IA, le Pacte s’articule entre deux piliers, le premier visant à favoriser la mise en contact des acteurs de l’IA dans l’Union, et le second à obtenir des acteurs concernés des déclarations d’engagement sur leur mise en conformité3.
- 4 « Rapport explicatif de la Convention-cadre du Conseil de l’Europe sur l’intelligence artificielle, (...)
- 5 Comité ad hoc sur l’intelligence artificielle (CAHAI), « Éléments potentiels d’un cadre juridique s (...)
13Adoption de la Convention-cadre sur l’IA du Conseil de l’Europe. Autre texte majeur portant sur l’IA (aux côtés du RIA), la Convention-cadre du Conseil de l’Europe sur l’intelligence artificielle et les droits de l’homme, la démocratie et l’État de droit (Convention cadre) a été adoptée le 17 mai 2024 par le Conseil de l’Europe4. Le texte, qui s’impose comme la toute première convention à portée internationale et à valeur contraignante portant sur l’IA, a vocation à s’appliquer aux « activités menées dans le cadre du cycle de vie des systèmes d’intelligence artificielle qui sont susceptibles de porter atteinte aux droits de l’homme, à la démocratie et à l’État de droit » (article 3 § 1). Il est le fruit du travail du Comité sur l’intelligence artificielle (CAI), qui s’appuyait sur une recherche préliminaire réalisée par le Comité ad hoc sur l’intelligence artificielle (CAHAI)5. Sa rédaction a impliqué les 46 États membres du Conseil ainsi que 11 États observateurs, dont le Japon et les États-Unis, et 68 représentants de la société civile. La Convention-cadre est ouverte à signature depuis le 5 septembre.
14En tant que Convention-cadre, le texte cherche en priorité à poser les bases d’une réglementation internationale plus poussée à l’avenir. Afin de garantir l’évolutivité de la Convention, un mécanisme de suivi est prévu sous forme d’une « Conférence des parties » (article 23).
15À l’instar du RIA, la Convention vise à promouvoir une IA respectueuse des droits de l’homme et des principes démocratiques en adoptant une logique de limitation du risque (article 1 § b). Pour autant, la Convention ne crée pas de nouveaux droits, mais énonce plusieurs principes généraux déjà émis par l’OCDE, tels que ceux de la dignité humaine et de l’autonomie personnelle (article 7), de transparence et de contrôle (article 8), ou encore d’égalité et de non-discrimination (article 10).
- 6 EDPS statement in view of the 10th and last Plenary Meeting of the Committee on Artificial Intellig (...)
- 7 L. Bertuzzi, « Tug of war continues on international AI treaty as text gets softened further » (1er(...)
16Les rédacteurs ont choisi de ne pas se référer à des activités spécifiques et la Convention-cadre laisse une marge de manœuvre considérable aux États pour atteindre les objectifs visés, ce qui lui a valu des critiques, notamment de la part du Comité européen de la protection des données (EDPB)6. Notons en effet que plusieurs États ont œuvré pour alléger les obligations du texte lors de la rédaction7. Sa plus grande faiblesse tient sûrement au fait qu’il exclut de son champ d’application les usages de l’IA à des fins de sécurité nationale (articles 3 § 2 et 4) et qu’il ne prend pas en compte le secteur privé par défaut, quand bien même les risques de violation sont les plus importants dans ces contextes. En réalité, la formulation générale de ses dispositions est une conséquence de son ouverture, le CAI cherchant à réunir des États aux traditions juridiques parfois très différentes, notamment en matière de régulation de l’IA, ce qui exige des concessions significatives. Par conséquent, la Convention-cadre n’arbore pas la technicité de la plupart des cadres nationaux et européens traitant de la question de l’IA. Notons tout de même que la Convention-cadre renvoie à d’autres instruments portant sur la protection des données et de la vie privée dès son préambule, sans les nommer directement. L’on pense inévitablement à la Convention « 108 + » relative à la protection des données personnelles, mais aussi aux influents Règlement général sur la protection des données (RGPD) et au RIA.
17Vidéosurveillance algorithmique dans le cadre des JO de Paris. À l’occasion des JO 2024, les responsables politiques français ont légalisé pour la première fois le recours à la vidéosurveillance algorithmique (VSA), à titre expérimental, jusqu’au 31 mars 2025. Concrètement, le système utilise un algorithme pour analyser les images capturées et alerter les autorités en cas de détection d’un événement anormal prédéfini tel que la présence d’objets abandonnés, un départ de feu ou un mouvement de foule (voir liste complète à l’article 3). Il n’est donc pas question de reconnaissance faciale, expressément exclue à l’article 2 de la loi 2023-380, et qui fait également l’objet d’une exclusion dans la proposition de loi Sûreté dans les transports présentée en février 2024 prévoyant un dispositif similaire.
- 8 L. no 2023-380, 19 mai 2023, relative aux Jeux olympiques et paralympiques de 2024 et portant diver (...)
- 9 Cons. const., 17 mai 2023, no 2023-850 DC.
- 10 CNIL, délibération no 2022-118, 8 déc. 2022, portant avis sur un projet de loi portant sur les Jeux (...)
18Appelé « systèmes de vidéoprotection » à l’article 9 de la loi no 2023-380 du 19 mai 2023 relative aux Jeux olympiques et paralympiques de 20248, le dispositif a fait l’objet d’une déclaration de constitutionnalité par le Conseil constitutionnel9 et d’un avis favorable de la Commission nationale informatique et libertés (CNIL)10, qui a souligné l’envergure des enjeux pour la vie privée, et la nécessité d’une période d’expérimentation. La CNIL a estimé que les limites prévues par la loi (déploiement limité dans le temps, absence d’identification biométrique…) satisfaisaient les conditions d’une mise en place légale et respectueuse des droits et libertés fondamentaux.
- 11 K. Roux, « JO 2024 : de la vidéosurveillance algorithmique à la reconnaissance faciale, il n’y a qu (...)
19Malgré cela, des organisations ont fait part de leurs inquiétudes concernant le risque de dérives, notamment la systématisation du recours à la reconnaissance faciale par les autorités, une pratique encore peu répandue en France, mais extrêmement problématique du point de vue de la vie privée. Par anticipation, Amnesty International a demandé à ce que les techniques de reconnaissance faciale fassent d’office l’objet d’une interdiction claire afin de « ne pas mettre entre les mains de nos dirigeants d’aujourd’hui et de demain des outils de contrôle de tous et toutes, pour garantir un environnement favorable à l’exercice et la réalisation des libertés fondamentales11 ». Rappelons à titre d’information que le nouveau RIA limite grandement l’utilisation des systèmes d’IA les plus intrusifs, ce qui concerne notamment la reconnaissance d’émotions et la reconnaissance faciale en temps réel, dont l’utilisation n’est autorisée que sous des conditions très strictes énumérées en son article 5§1.
20Avis préliminaire de la Commission européenne sur le modèle publicitaire « Payer ou consentir » des grandes plateformes (en anglais Pay or Consent). Début juillet 2024, la Commission européenne a rendu un avis préliminaire sur le modèle « payer ou consentir » adopté par l’entreprise Meta en 2023, qu’elle juge non conforme au règlement européen sur les marchés numériques (DMA). Entré en vigueur en mars 2024, le DMA instaure un régime de protection pour les consommateurs et usagers des grandes plateformes en ligne. L’avis préliminaire de la Commission fait suite à l’ouverture d’une enquête le 25 mars 2024 à l’encontre de la société Meta pour violation du DMA et s’inscrit dans la volonté de véritablement contrôler les pratiques de grandes plateformes digitales en matière de collecte et de croisement des données personnelles.
- 12 S. Zuboff, « Big Other : Surveillance Capitalism and the Prospects of an Information Civilization » (...)
- 13 « La Commission envoie des constatations préliminaires à Meta concernant son modèle « “payer ou co (...)
21Symptôme du capitalisme de surveillance, le modèle du « payer ou consentir » désigne la pratique visant à subordonner l’utilisation gratuite d’un service au seul consentement à la collecte de données à des fins de publicité comportementale. Cette dernière s’appuie sur le croisement des données collectées, et éventuellement l’inférence de nouvelles données, afin de cibler les utilisateurs et de leur proposer le contenu le plus pertinent possible. La quantité immense de données détenues par les grandes plateformes numériques leur assure une position dominante sur le marché. Par ailleurs, la pratique est jugée particulièrement invasive pour la vie privée, ses conséquences affectant jusqu’à l’autonomie des usagers12. En l’espèce, la Commission européenne déplore l’absence d’alternative au modèle de recueil du consentement employé par Meta, qui devrait, selon elle, permettre « aux utilisateurs d’opter pour un service qui utilise moins de leurs données à caractère personnel » et « d’exercer leur droit de consentir librement à la combinaison de leurs données à caractère personnel13 ». Concrètement, une solution pourrait être de prendre la forme d’un accès gratuit au site, conditionné à de la publicité contextuelle non ciblée, qui ne nécessiterait donc pas la collecte et le croisement de données personnelles à des fins de publicité comportementale.
- 14 « Opinion 08/2024 on Valid Consent in the Context of Consent or Pay Models Implemented by Large Onl (...)
22De toute évidence, la pression s’est accrue sur la société Meta, qui risque une amende s’élevant à 10 % de son chiffre d’affaires mondial en cas de violation avérée du DMA. Plus tôt, c’est le Comité européen de la protection des données qui rendait un avis très critique sur ces mêmes pratiques, cette fois-ci sous l’angle du consentement valide tel que défini dans le RGPD14. En juillet 2024, le réseau de coopération en matière de protection des consommateurs (CPC) a également fait part de ses préoccupations à Meta, estimant que le modèle du « payer ou consentir » viendrait à l’encontre du droit européen en matière de protection des consommateurs. Du côté de la Commission, il faudra attendre le 25 mars 2025 pour connaître les conclusions de l’enquête.
- 15 Règl. (UE) 2016/679 du PE et du Conseil, 27 avr. 2016, relatif à la protection des personnes physiq (...)
- 16 Proposition de règlement du Parlement européen et du Conseil établissant des règles de procédure su (...)
23Application du RGPD. Rapport de la Commission européenne. La Commission européenne a publié le 25 juillet 2024 son deuxième rapport sur la mise en œuvre du RGPD (COM(2024) 357 final), conformément à l’article 97 de ce règlement, qui exige l’adoption d’un rapport tous les quatre ans15. Dans ce texte, la Commission constate une augmentation du nombre d’affaires transfrontalières, ainsi que le recours accru aux outils d’assistance mutuelle et de coopération entre les autorités chargées de la protection des données personnelles. Près de 1 000 demandes d’assistance mutuelle ont été déclenchées depuis 2020 et les demandes informelles s’élèvent à 12 300. En revanche, les opérations conjointes s’élèvent à cinq seulement, en raison des divergences entre les procédures nationales, qui font obstacle à leur mise en œuvre. Pour répondre à ces difficultés, la Commission encourage les législateurs à adopter rapidement sa proposition de règlement sur les règles de procédure du RGPD16.
- 17 La Commission avait en effet adopté un premier rapport en juin 2020 : La protection des données : u (...)
24Le rapport relate également que les autorités en charge de la protection des données personnelles ont renforcé leurs mesures coercitives à l’encontre des grandes multinationales, en leur infligeant des amendes administratives conséquentes. L’Espagne et l’Allemagne sont en tête des pays de l’UE en nombre de mesures correctrices adoptées (774 et 3 261 respectivement pendant la seule année 2022). Malgré cela, les autorités nationales de protection des données personnelles désignent le manque de ressources et d’expertise technique et juridique comme facteurs affaiblissant leur capacité d’action. Par ailleurs, leur indépendance est menacée par des ressources humaines et financières insuffisantes et cela alors même que leurs effectifs et budgets ont été renforcés entre 2020 et 2024 dans presque tous les pays de l’UE. Ces nouvelles ressources ne leur permettent toujours pas de faire face à une charge de travail trop importante, aggravée par l’engorgement de réclamations souvent infondées. Les divergences interprétatives entre les différentes autorités sont aussi problématiques en ce qu’elles remettent en cause l’application uniforme du RGPD et engendrent de l’insécurité juridique, notamment pour les entreprises, confrontées à des exigences administratives différentes selon les États membres. À cet égard, la Commission réitère sa demande, déjà formulée en 202017, d’accompagner davantage les PME en leur donnant des outils pratiques et des modèles de mise en conformité avec le RGPD.
25Depuis 2020, la boîte à outils pour les transferts internationaux des données personnelles a été mise à jour. De plus, le nombre de décisions d’adéquation reconnaissant qu’un État tiers offre des garanties similaires à celles du RGPD s’est accru. Néanmoins, la Commission poursuit le dialogue avec les États tiers, y compris dans les enceintes multilatérales, pour une harmonisation du droit de la protection des données personnelles au niveau mondial.
- 18 Art. 56 « Compétences de l’autorité de contrôle chef de file »
- 19 Ce n’est plus le cas depuis l’ouverture d’un bureau à Dublin, annoncé par Open AI dans un billet du (...)
- 20 V. not. Règl. (UE) 2016/679 du PE et du Conseil, 27 avr. 2016, relatif à la protection des personne (...)
26Application du RGPD aux systèmes d’intelligence artificielle à usage général (SIAG). L’application du RGPD aux SIAG relève de la gageure. C’est ce qui ressort du rapport intermédiaire publié par la Task Force Chat GPT le 23 mai 2024. Les autorités nationales de la protection des données personnelles ont été saisies de nombreuses plaintes à l’encontre d’Open AI en raison des multiples violations du droit de la protection des données personnelles commises par Chat GPT. Afin de remédier à l’absence d’un établissement sur le territoire de l’UE de la part d’Open AI, le mécanisme du guichet unique permettant de désigner une autorité chef de file, coordonnant la réponse de toutes les autorités impliquées dans des affaires transfrontalières18, une Taskforce a été mise en place sous la supervision du Contrôleur européen de la protection des données personnelles en collaboration avec les autorités nationales, pour donner une réponse unanime et cohérente aux violations perpétrées par Open AI à l’échelle de l’UE19. Le rapport précise tout d’abord que les violations du droit de la protection des données personnelles ne sont pas justifiées par les limites techniques des systèmes d’IAG (point 7). De ce fait, l’impossibilité technique de corriger des données incorrectes (hallucinations) ne rentre pas dans les dérogations prévues à l’article 16 du RGPD, reconnaissant un droit à la rectification de ses données personnelles (point 34). D’autres plaintes visent la collecte des données par moissonnage, c’est-à-dire l’utilisation des données présentes sur le web à des fins d’entraînement du modèle. La base légale choisie par Open AI pour traiter ces données personnelles est l’intérêt légitime, à savoir le développement de son modèle économique. Cet intérêt doit cependant être mis en balance avec la protection des droits et libertés fondamentaux de la personne concernée par le traitement20. Même si des investigations sont toujours en cours, la Taskforce considère qu’Open AI doit choisir soigneusement les données « moissonnées » et qu’elle doit s’abstenir de traiter les profils publics des utilisateurs des réseaux sociaux (point 17). De plus, pour que des données sensibles puissent être traitées, l’entreprise doit s’assurer que l’utilisateur les a publiées avec l’intention de les mettre à disposition du grand public (point 18).
27Quelques plaintes ont aussi concerné le respect du principe de transparence. En effet, les prompts (données communiquées par l’utilisateur dans les invites) sont aussi utilisés à des fins d’entraînement du modèle. La Taskforce estime à cet égard que l’information préalable de l’utilisateur est incontournable pour pouvoir utiliser ses prompts à des fins d’entraînement (point 28). En outre, il n’y a pas de transfert de risques à l’égard de l’utilisateur dès lors que le traitement des prompts entraîne la production de données incorrectes (points 24 et 25).
- 21 Règl. (UE) 2024/1689 du PE et du Conseil, 13 juin 2024, établissant des règles harmonisées concerna (...)
28Le rôle des autorités de protection des données personnelles dans l’AI Act. Toujours dans la continuité des enjeux soulevés par les systèmes d’IA pour la protection des données personnelles, le Comité européen de la protection des données personnelles a adopté le 17 juillet 2024 une déclaration sur le rôle des autorités nationales de protection des données personnelles dans le cadre de la législation sur l’intelligence artificielle. Conformément au Règlement sur l’IA (RIA) (EDPB, statement 3/2024), les États membres doivent désigner avant le 2 août 2025 des autorités nationales de surveillance du marché (ASM) en charge de contrôler l’application de la législation sur l’IA21. Le Comité considère que les autorités nationales de protection des données personnelles ont déjà acquis une certaine expertise en matière de protection des droits fondamentaux. Leur contribution est nécessaire au déploiement de systèmes d’IA sûrs (point 6), d’autant que le traitement des données personnelles est très présent tout au long du cycle de vie des systèmes d’IA, y compris ceux présentant un risque élevé (point 4).
29Dans sa déclaration, le Comité recommande en particulier que les autorités nationales de protection des données personnelles (ADP) soient désignées en tant qu’autorités de surveillance du marché pour les systèmes d’IA à haut risque, utilisés à des fins répressives, d’administration de la justice, de gestion des frontières et des processus démocratiques (point 8). Le choix des ADP en tant qu’ASM est aussi préconisé pour d’autres systèmes d’IA à haut risque soulevant des enjeux importants pour la protection des droits et libertés des personnes, en particulier lorsque des données personnelles sont traitées (point 9). Les autorités nationales de protection des données personnelles, désignées en tant qu’autorités de surveillance du marché, deviennent le point de contact unique autant pour le grand public que pour leurs homologues (point 10). Des procédures de coopération entre les autorités de surveillance du marché, celles en charge du contrôle des systèmes d’IA, ainsi que les autorités de protection des données personnelles doivent être établies conformément au principe de coopération loyale (point 11). Le Comité appelle aussi à l’établissement d’une coopération étroite entre le Comité, les autorités de protection des données personnelles et l’Office de l’UE pour l’IA (point 13).
- 22 CJUE, 27 mars 2024, Commission c. Amazon Services Europe, aff. C-639/23 P(R).
- 23 Décision C(2023) 2746 final.
- 24 Règl. (UE) 2022/2065 du PE et du Conseil, 19 oct. 2022, relatif à un marché unique des services num (...)
30CJUE et application du DSA. Parmi les décisions rendues par la Cour de justice, l’ordonnance du vice-président de la Cour de justice du 27 mars 202422 mérite l’attention. Elle s’inscrit dans la suite du contentieux opposant Amazon à la Commission depuis que celle-ci avait qualifié Amazon Store de « grande plateforme23 » au sens du Règlement sur le marché unique des services numériques24. Cette qualification obligeait l’entreprise appartenant au groupe Amazon à mettre à la disposition du grand public des informations détaillées sur sa publicité en ligne.
- 25 TUE, 27 sept. 2023, Amazon Services Europe c. Commission, aff. T-367/23.
31Amazon avait alors saisi le Tribunal d’une demande en annulation de la décision, assortie d’une demande en référé, en invoquant que la mise en conformité avec le DSA lui portait un préjudice grave et irréparable (point 21). Le 27 septembre 2023, le président du Tribunal de l’Union a ordonné la suspension de la décision de la Commission25 dans l’attente de la décision au fond. Le président du Tribunal de l’UE a en effet constaté que la Commission n’a pas été en mesure de présenter sa position en réponse aux arguments invoqués par Amazon devant le Tribunal, ce qui constitue une violation du principe du contradictoire (points 52 à 57). De plus, il considère que les arguments d’Amazon affirmant que la divulgation de données détaillées sur ses publicités porte atteinte au secret des affaires, à la vie privée, à la liberté d’entreprise et au droit de propriété (points 69 et 70), présentent un caractère sérieux sans être décisifs (point 107) dans la mesure où ils doivent être mis en balance avec d’autres intérêts (points 109 et 150). À cet égard, si la divulgation de ces informations est susceptible de porter un préjudice financier à Amazon, car des vendeurs tiers pourraient quitter la plateforme (points 136 et 137), il n’est pas démontré qu’en l’absence de mesures provisoires Amazon serait exposé à un risque de cessation de ses activités (point 152) ou à une perte importante de ses parts de marché (point 153). De surcroît, la suspension de la décision de la Commission retarderait la réalisation des objectifs du règlement sur le marché unique des services numériques (point 157) et placerait Amazon sous un régime différent de celui des autres acteurs du secteur, en altérant ainsi la situation concurrentielle dans le secteur numérique (point 163). De ce fait, le président du Tribunal conclut que, dans la mesure où les intérêts matériels défendus par Amazon ne l’emportent pas sur ceux du législateur de l’UE, la demande en référé doit être rejetée (point 165).
32L. R. et W. L.
II.Focus : le numérique en santé
33Le domaine de la santé est un terrain d’application particulièrement intéressant du droit du numérique. En effet, les propositions, rapports et textes se multiplient pour construire un ensemble cohérent qui permettrait de soutenir le déploiement des outils numériques en santé à des fins de meilleure prise en charge des patients et de recherche en santé. Dans ce cadre stimulant, la question de l’accès aux données de santé pour la recherche a fait, de nouveau, l’objet de critiques récentes, mais également de proposition nouvelles (A). Des inquiétudes ont, elles, été formulées à l’égard de l’utilisation de systèmes d’intelligence artificielle générative (IAG) en santé. Ces systèmes permettent de générer des contenus nouveaux, mais sont gourmands en données personnelles sensibles lorsque utilisés en santé, créant à la fois des opportunités, mais également des risques à encadrer (B). Dans ce contexte, la place des droits des patients est difficile à identifier (C).
A.L’accès aux données de santé pour la recherche : critiques et propositions
- 26 V. la Chronique des CDST no 18.
34Les mois passent, mais les crispations demeurent au sujet de la mise à disposition des données de santé pour la recherche26. En cause : les dysfonctionnements relevés du système national des données de santé (SNDS) lequel doit assurer cette mise à disposition. Le système est décrié par un nouveau rapport, celui de la Cour des comptes (1). Dans ce cadre, le gouvernement propose de modifier substantiellement le droit pour pallier une partie des insuffisances mises en lumière (2). Le vote récent du règlement européen relatif à l’espace européen des données de santé permet d’entrevoir de nouvelles évolutions à venir (3).
1.Le rapport de la Cour des comptes sur le SNDS : un système plein de limites
• Cour des comptes, Le système national des données de santé : un vaste gisement d’informations à mieux exploiter, Paris, mai 2024.
35Dans son rapport de mai 2024 sur le SNDS, la Cour des comptes lance une nouvelle charge contre cette infrastructure technique et juridique qui doit permettre la mise à disposition, pour la recherche en santé, de nombreuses bases de données à l’image de celle de l’assurance maladie sur les remboursements des soins, mais également de toute autre base de données dont la collecte s’est faite lors de soins remboursés par l’assurance maladie. Les constats sont alors les mêmes que ceux évoqués lors des précédentes chroniques : des délais trop longs pour accéder aux données qui conduisent les chercheurs en santé à privilégier des bases de données étrangères, des données non accessibles au sein du SNDS faute de capacités d’hébergement et de mise à disposition de ces bases par leurs détenteurs. La Cour des comptes dresse donc un bilan critique de l’activité du SNDS et préconise quelques aménagements.
- 27 Arrêté du 20 déc. 2018 portant approbation de la convention constitutive du groupement d’intérêt pu (...)
- 28 <https://www.cnil.fr/fr/la-cnil-et-le-casd-publient-de-nouvelles-fiches-pratiques-circuits-dapparie (...)
36Revenant sur la controverse médiatique et juridique relative à l’hébergement des données de santé des Français par l’entreprise américaine Microsoft, hébergement pouvant conduire au transfert de certaines données outre-Atlantique, et surtout à l’accès par des autorités américaines aux données, la Cour des comptes propose de changer de cap. Elle suggère de se pencher sur des solutions nationales publiques. Pour la Cour, il convient de financer rapidement des espaces d’hébergement des données en France grâce à la création d’entrepôts de données de santé hospitaliers. Ainsi, les données seraient maintenues en « local » plutôt que transférées dans leur intégralité au SNDS. Ces entrepôts seraient financés par la facturation de l’accès aux données aux équipes de chercheurs. L’accès aux données pourrait alors prendre appui sur le Centre d’accès sécurisé aux données (CASD) créé en 201827, lequel mettrait à disposition les données sélectionnées au sein de bulles sécurisées. Le CASD est déjà investi dans la mise à disposition des données de santé pour la recherche. Dans ce cadre, le centre a publié en juin 2024 avec la CNIL des fiches présentant des exemples d’appariement entre des bases de données de santé et détaillant le circuit de leur mise à disposition28.
- 29 L. no 2024-449, 21 mai 2024, visant à sécuriser et à réguler l’espace numérique.
37Les propositions de la Cour des comptes semblent pertinentes. Si elles sont retenues, elles conduiront à modifier quelque peu le rôle du Health Data Hub, plateforme nationale des données de santé assurant la gestion, notamment matérielle, du SNDS et de sa mise à disposition. Par ailleurs, ces propositions auront également pour conséquence d’alourdir financièrement les projets de recherche en imposant aux chercheurs de prévoir un financement particulier pour l’accès aux données. En complément de ces propositions il est à noter que le législateur est intervenu en mai 2024 pour encadrer davantage le recours à des prestataires étrangers pour l’hébergement en nuage (cloud computing) des données de santé. En effet, la loi visant à sécuriser et à réguler l’espace numérique du 21 mai 202429 (SREN) a modifié l’article L. 1111-8 du Code de la santé publique pour ajouter qu’un décret adopté en Conseil d’État viendra dorénavant détailler ce qui est attendu d’une prestation d’hébergement des données de santé. La nouvelle formulation de l’article précise ainsi que le décret portera sur :
« la nature des prestations d’hébergement […], les rôles et les responsabilités de l’hébergeur et des personnes physiques ou morales pour le compte desquelles les données de santé à caractère personnel sont conservées, les obligations de l’hébergeur en matière de stockage de ces données sur le territoire d’un État membre de l’Union européenne ou partie à l’accord sur l’Espace économique européen ainsi que les stipulations devant figurer dans le contrat […], y compris concernant les mesures prises face aux risques de transfert de ces données ou d’accès non autorisé à celles-ci par des États tiers à l’Union européenne ou à l’Espace économique européen ».
De plus, la loi SREN impose dorénavant aux opérateurs, administrations de l’État ainsi qu’aux GIP de veiller :
« à ce que le service d’informatique en nuage fourni par le prestataire privé mette en œuvre des critères de sécurité et de protection des données garantissant notamment la protection des données traitées ou stockées contre tout accès par des autorités publiques d’États tiers non autorisé par le droit de l’Union européenne ou d’un État membre » (article 31 I.).
Ainsi, la loi SREN entend contrôler plus directement le recours à des prestataires étrangers pour l’hébergement des données de santé et répondre efficacement au problème « Microsoft » dans le domaine de la santé.
2.Projet de réforme de l’accès aux données de santé
• Projet de loi de simplification de la vie économique (texte no 550 (2023-2024), déposé au Sénat le 24 avril 2024)
38Présenté en avril 2024 par le ministre de l’Économie du précédent gouvernement, le projet de loi de simplification de la vie économique est un texte brassant large et contenant, à la marge, certaines règles relatives aux données de santé. Toutefois, il ne faut pas se méprendre : ces dispositions entendent véritablement réformer l’accès aux données de santé en France. Pour ce faire, le projet entend modifier la loi Informatique et Liberté afin d’insuffler de la souplesse quant à l’accès aux données de santé pour la recherche.
- 30 Ces MR, aussi dénommées référentiels, visent des questions diverses : création d’entrepôts de donné (...)
39Le projet modifie véritablement la donne en renversant les règles d’accès aux données de santé. Le principe actuel est le suivant : le traitement des données de santé à des fins de recherche doit faire l’objet d’une autorisation, laquelle peut être longue à obtenir. Elle permet de vérifier que le droit est appliqué, que les données seront traitées en toute sécurité et visant des objectifs légitimes et légaux. Le droit en vigueur autorise la CNIL à adopter des MR, méthodologies de référence qui permettent aux responsables de traitement qui les respectent de pouvoir se passer d’une autorisation de la CNIL. Surnommées également « fast track » et au nombre de 1330, ces procédures allègent considérablement les contraintes pesant sur les équipes de recherche. Le projet de loi entend renverser la vapeur et faire de ces MR le principe et de l’autorisation de la CNIL une exception. Pour ce faire, le nombre de MR doit être multiplié pour couvrir davantage d’hypothèses de recherche et, à cette fin, le projet introduit la possibilité que ces MR soient rédigées par d’autres auteurs que la CNIL. En effet, le projet indique que ces référentiels puissent aussi être « élaborés […] sur proposition du ministre chargé de la Santé ou d’organismes publics ou privés représentatifs des acteurs concernés, dans des conditions prévues par décret en Conseil d’État ». Les MR seront alors relues et validées par la CNIL qui devra adopter un programme de travail en la matière. Par ailleurs, si un projet de recherche n’est pas compatible avec une MR et qu’il doit obtenir une autorisation, le responsable de traitement pourra éviter de solliciter le Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé, lequel prononce un avis sur le projet avant autorisation de la CNIL. Le simple recours à un comité « scientifique et éthique local » sera suffisant dès lors que ce dernier répondra à un cahier des charges qui sera établi au niveau national.
40Ce projet entend donc réduire les délais dans l’accès aux données en prévoyant que la conformité à un référentiel technique suffise à assurer du respect du RGPD.
3.Le Règlement sur l’Espace européen des données de santé
• Proposition de Règlement relatif à l’espace européen des données de santé de 2022, votée par le Parlement européen le 24 avril 2024
- 31 Les États membres pourront adopter des dispositions pour déroger si besoin et de manière restreinte (...)
41Les propositions formulées en France devront être articulées avec l’Espace européen des données de santé (EEDS). L’EEDS s’appuie sur un règlement adopté par le Parlement européen en avril 2024 mais dont on attend encore la publication au Journal officiel. Le texte prévoit la numérisation des données de santé des patients européens ainsi que leur mise à disposition à des fins de recherche. Cette mise à disposition se fera au travers de points de contacts nationaux. Les détenteurs matériels des données auront l’obligation de mettre ces dernières à disposition de la recherche31. Les données devront préalablement être anonymisées ou à tout le moins pseudonymisées afin de protéger la vie privée des patients concernés.
42Pour assurer cette mise à disposition, un catalogue des données disponibles sera constitué. Chaque État membre devra alors nommer un point de contact pour réguler en pratique cet accès aux données. Toutefois, les prérogatives de ces points de contrôle pourront être réparties entre plusieurs institutions. Ainsi, en France, le gâteau devrait être partagé entre la Plateforme nationale des données de santé (Health data Hub), la CNIL et le Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé. Partant, la question de l’articulation des compétences et des délais induits par le recours à trois opérateurs devra être soulevée.
- 32 Communication de la Commission au Parlement européen et au Conseil, Deuxième rapport sur l’applicat (...)
43Il est à noter que le tableau présenté sera encore complété dans les mois à venir par l’adoption par le Comité européen de la protection des données de nouvelles lignes directrices relatives à l’application du Règlement général de protection des données (RGPD) à la recherche scientifique et aux questions d’anonymisation et de pseudonymisation32.
B.L’intelligence artificielle en santé
- 33 Rapport d’information sur les défis de l’intelligence artificielle générative en matière de protect (...)
44Le droit du numérique connaît aujourd’hui un sous-domaine d’application reconnu qu’est le droit de l’IA, c’est-à-dire le droit relatif aux outils d’intelligence artificielle. Celui-ci est en pleine effervescence depuis quelques années, comme en témoigne de nouveau le panorama de cette chronique. Dans le domaine de la santé, elle a été marquée en 2021, en France, par le vote de la loi de bioéthique consacrant des dispositions spécifiques aux IA déployées en santé et, au sein de l’Union européenne, par la publication de la proposition de règlement sur l’IA (RIA). En 2024, le mouvement s’accélère encore par la publication au Journal officiel du RIA. Malgré ces avancées législatives, la matière reste complexe, certains outils d’IA dévoilant peu à peu leurs lots de risques ainsi que des besoins d’encadrement supplémentaires. C’est le cas des IA génératives, c’est-à-dire des systèmes d’IA qui ont « pour caractéristique de produire rapidement des contenus originaux, visuels, sonores ou écrits, parfois grâce à une interface simple n’exigeant pas de compétences informatiques particulières33 ». Alors que l’Académie nationale de médecine leur a consacré un rapport ainsi que la Commission des lois de l’Assemblée nationale en 2024 (1), la CNIL multiplie les efforts pour guider les déployeurs (utilisateurs) de ces derniers (2).
1.L’IA générative au cœur des discussions
• Mission d’information, Commission des lois constitutionnelles, de la législation et de l’administration générale de la République, Rapport d’information sur les défis de l’intelligence artificielle générative en matière de protection des données personnelles et d’utilisation du contenu généré (rapport no 2207, 14 février 2024)
• Académie nationale de médecine, Systèmes d’UA générative en santé : enjeux et perspectives (rapport), 5 mars 2024.
- 34 Pour une autre description de ces risques, v. également le rapport du National Institute of Standar (...)
45Les IA génératives, capables de générer divers contenus, sont au cœur de l’actualité numérique et juridique. Au printemps 2023, c’est la mise sur le marché de ChatGPT qui a conduit les colégislateurs européens à revoir la proposition de règlement européen sur l’IA pour penser l’encadrement de ces outils. Ils sont entraînés le plus souvent sur des données en volumes importants, provenant de sources variées, dont il est parfois difficile de tracer finement la provenance. Les outils sont souvent conçus pour créer des contenus (textes, images, paroles, etc.) sans qu’un champ particulier de déploiement ne soit identifié. Par exemple, chat GPT peut aussi bien être utilisé par des étudiants pour la rédaction de leur mémoire que par des médecins désireux de tester une hypothèse. Entrant dans la catégorie des « modèles généraux » (sans application précise identifiée) du RIA, les IAG posent des questions particulières. La Commission des lois de l’Assemblée nationale leur a consacré un rapport en février 2024. Le rapport détaille les risques soulevés par ces outils : risques d’usages détournés, d’amplification des discriminations, de désinformation, d’appauvrissement culturel, risques pour la vie privée ou encore d’hallucinations, c’est-à-dire de la génération de contenus erronés mais à l’apparence véridique piégeant les utilisateurs34.
- 35 V. not. les recommandation nos 5 et 7 du rapport.
46Dans le domaine de la santé, outre les risques d’erreurs liés au fait que les outils déduisent des réponses et peuvent se tromper, ceux pesant sur les données de santé sont significatifs. En effet, les données de santé des patients sont entrées dans l’outil afin, par exemple, d’obtenir un compte rendu médical détaillé ou encore un diagnostic. L’outil peut alors mémoriser ces données, les réutiliser pour son entraînement ou encore les « régurgiter », c’est-à-dire les divulguer à d’autres occasions et auprès d’autres utilisateurs. Malgré ces risques, le rapport de la Commission ne préconise pas un encadrement plus strict de ces outils, mais plutôt l’inverse. En effet, le rapport appelle de ses vœux une lecture des règles relatives aux droits des données personnelles souple pour ne pas empêcher l’entraînement de ces outils sur les données personnelles et leur déploiement. Ainsi, le rapport tente avec ambiguïté de souligner les besoins de protection des données tout en argumentant en faveur d’un encadrement au soutien de l’innovation35.
47De son côté l’Académie nationale de médecine a également proposé un rapport dédié à l’IA générative, mais cette fois-ci appliquée à la santé. Ce dernier décrit en détail les cas d’usages des IA génératives en santé : diagnostics, rédaction de comptes rendus, création d’imagerie médicale à des fins de formation notamment. Le rapport met également en lumière les risques associés aux IA génératives et préconise d’assurer une supervision humaine de leur déploiement en santé, mais également de mettre en place des dispositifs permettant d’identifier les documents rédigés par l’homme de ceux générés par la machine. Le rapport propose 10 recommandations. Les auteurs appellent notamment de leur vœux la rédaction de règles claires permettant de déterminer la responsabilité des différents acteurs impliqués dans le développement, mais aussi le déploiement des outils (recommandation no 5). De plus, le rapport souhaite que l’application des droits de propriété intellectuelle soit garantie pour les publications scientifiques qui seraient utilisées pour l’entraînement des modèles.
2.Les travaux de la Commission nationale informatique et libertés (CNIL)
• CNIL, Les questions-réponses de la CNIL sur l’utilisation d’un système d’IA générative, 18 juillet 2024a.
a. <https://www.cnil.fr/fr/les-questions-reponses-de-la-cnil-sur-lutilisation-dun-systeme-dia-generative> (dernier accès le 2 sept. 2024).
- 36 Le terme de « déployeur » a été consacré par le RIA et vise « une personne physique ou morale, une (...)
48La CNIL multiplie ses efforts pour accompagner les acteurs de l’IA. En effet, consciente du nécessaire traitement des données personnelles nécessaires au déploiement des outils, la CNIL s’est dotée d’un département IA en 2023 déployant une expertise aussi bien technique que juridique. Après la publication de son guide « IA : Comment être en conformité avec le RGPD ? » le 5 avril 2022 et de ses fiches sur l’utilisation de données personnelles pour l’entraînement des SIA, la CNIL plante un clou supplémentaire en publiant, le 18 juillet 2024, un guide sous forme de questions-réponses pour guider les déployeurs (utilisateurs publics ou professionnels)36 d’IA génératives.
49Les dix questions traitées ne touchent pas nécessairement l’application du droit :
- Quels sont les bénéfices de l’IA générative ?
- Quels sont les limitations et risques des systèmes d’IA générative ?
- Quelles sont les approches disponibles aujourd’hui pour utiliser l’IA générative (modèles sur étagères, fine-tuning, RAD, etc.) ?
- Comment choisir sur systèmes d’IA générative ?
- Quel mode de déploiement privilégier (on premise, API, cloud) ?
- Comment mettre en œuvre et encadrer l’utilisation d’un système d’IA générative ?
- Comment former et sensibiliser les utilisateurs finaux de ces systèmes ?
- Quelle gouvernance de ces systèmes mettre en œuvre ?
- Comment s’assurer de la conformité de l’utilisation d’un système d’IA générative au RGPD ?
- Comment s’assurer de la conformité de l’utilisation d’un système d’IA générative au règlement européen sur l’IA ?
50Toutefois, les fiches mettent en lumière la question du traitement des données personnelles, de la sécurité informatique. In fine, les réponses offertes préconisent de mettre en place des procédures claires concernant les possibilités de traiter des données personnelles lors de l’usage professionnel de ces IA particulières, de confier la gouvernance interne de ce cadre au délégué à la protection des données, ainsi que d’interroger le fournisseur de l’outil (celui qui l’a mis sur le marché) sur la conformité de son développement avec le RGPD. Ces recommandations généralistes sont pédagogiques et pertinentes. Elles doivent faire l’objet d’une attention particulières des déployeurs de l’IAG en santé. Enfin elles permettent de faire de la CNIL l’institution incontournable dans le domaine de l’IA.
C.Les droits des patients face au numérique en santé
51Si la circulation des données de santé et le déploiement d’outils d’IA sont au cœur de toutes les discussions, qu’en est-il de la place des patients ? Alors que les dispositifs juridiques s’alignent pour permettre le développement du numérique en santé autour de deux grands blocs que sont les données et l’IA, la place réservée aux patients est moins facilement lisible dans cette actualité. Tantôt les droits des patients sont réaffirmés notamment par le règlement sur l’Espace européen des données de santé (1). Toutefois, en pratique, les violations du droit ne donneront pas toujours lieu à des sanctions des acteurs du numérique en santé, ce qui limite considérablement la portée des droits des personnes (2).
1.Les droits des patients réaffirmés au sein de l’Espace européen des données de santé
• Proposition de Règlement relatif à l’espace européen des données de santé de 2022, votée par le Parlement européen le 24 avril 2024
52Présenté plus haut, l’Espace européen des données de santé (EEDS) a vocation à accélérer le passage du numérique en santé en imposant aux États membres de lancer la numérisation des dossiers patients et, aux professionnels de santé, de participer à cet effort. L’idée est que ces données numérisées permettront une meilleure prise en charge des patients lors de soins transfrontaliers, les dossiers médicaux étant plus facilement accessibles en ligne. Par ailleurs, les données de santé numérisées seront utiles à la recherche en santé, l’utilisation secondaire des données étant un chantier important lancé par ce règlement. Afin, de parfaire cet ensemble, le texte voté par le Parlement européen créée des droits particuliers et bienvenus pour les patients :
- Droit d’accéder gratuitement aux données numérisées ;
- Droit de pouvoir enrichir leur dossier médical numérisé avec des informations qu’ils souhaitent inscrire dans ce dernier ;
- Droit à la portabilité des données ;
- Droit de limiter l’accès à leurs dossiers ;
- Droit d’obtenir des informations sur les modalités d’accès aux données ;
- Droit d’interdire l’accès du dossier au format électronique (sauf en cas de nécessité vitale) ;
- Droit de s’opposer au traitement de ses données à des fins secondaires.
53Ces droits sont cruciaux pour les patients, leur donnant un contrôle effectif sur leurs données et leur accès. En effet, si la machine qu’est la numérisation des dossiers patients et les cyber-risques qui l’accompagnent ne peut plus être arrêtée, la création de nouveaux droits pour les citoyens européens est à saluer.
2.La jurisprudence du Conseil d’État sur la marge d’appréciation dont dispose la CNIL
• Conseil d’État, 12 juillet 2024, no 488687
54Le 12 juillet 2024 le Conseil d’État a rendu une décision intéressante concernant la marge d’appréciation dont dispose la CNIL quant à l’administration des plaintes qu’elle reçoit et surtout aux sanctions qu’elle adopte. L’intérêt ne réside pas tant dans les principes offerts, ces derniers faisant l’objet de rappel, mais dans les conséquences qu’ils ont pour les personnes concernées par une violation des données. Dans l’espèce en cause, un assureur avait mandaté un médecin pour contrôler l’état de santé d’une cliente. Le médecin transféra les données de santé de la cliente à l’assureur, sur le fondement desquelles l’assureur cessa les remboursements effectués auprès de sa cliente. La cliente saisit alors la CNIL d’une plainte fondée sur le fait qu’elle n’avait pas consenti à ce transfert de données sensibles et qu’elle n’avait pas pu exercer son droit d’accès pourtant prévu par le Règlement général de protection des données, ce droit correspondant à l’accès à toutes les informations relatives au traitement des données comme l’identité du responsable, l’étendue des collectes, leur objectif. La CNIL instruit la demande, relève bien les manquements au RGPD et effectue un simple rappel à l’ordre de l’assureur et du médecin avant de clôturer la plainte. L’absence de sanction est contestée par la cliente qui saisit alors le Conseil d’État d’un recours pour excès de pouvoir contre la décision de clôture de la plainte de la CNIL.
55Devant le CE, la cliente fait valoir de nombreux arguments, dont certains peinent à convaincre, comme le non-respect par la CNIL des dispositions relatives au procès équitable protégé par la Convention européenne des droits de l’homme, alors même que la CNIL n’est pas une cour de justice, mais une autorité indépendante. Toutefois, la cliente met en exergue le fait qu’il n’y ait pas eu de sanction face aux violations du RGPD relevées. Le CE rappelle alors sa jurisprudence en la matière : la CNIL dispose d’une marge d’appréciation importante à la fois pour l’appréciation des faits, mais aussi quant aux sanctions qu’elle prononce. En ce sens, elle a tout loisir de tenir compte de la gravité des manquements au droit, du sérieux des faits, mais aussi des « intérêts généraux dont elle a la charge ». Le CE, relève que le rappel à la loi opéré par la CNIL a conduit l’assureur à modifier sa politique d’information quant au traitement des données personnelles, et le médecin à modifier ses pratiques, ce qui justifie l’absence de sanction. Si ces arguments sont logiques, ils conduisent toutefois à ne pas sanctionner les manquements au RGPD, envoyant un signal aux responsables de traitement que les violations du droit pourront être excusées avec un peu de bonne volonté, peu importe les conséquences pour les personnes physiques concernées.
56M. B.
Notes
1 A. Boutet, J. Sénéchal, M. Bernelin, W. Letrone, « L’AI Act, ou comment encadrer les systèmes d’IA en Europe » (10 avr. 2024), The Conversation, <https://theconversation.com/lai-act-ou-comment-encadrer-les-systemes-dia-en-europe-226980>.
2 M. Ebers, « Truly Risk-Based Regulation of Artificial Intelligence - How to Implement the EU’s AI Act », <http://dx.doi.org/10.2139/ssrn.4870387> (19 juin 2024).
3 « Shaping Europe’s digital future » (1er août 2024) Commission européenne, Politiques, <https://digital-strategy.ec.europa.eu/en/policies/ai-pact>.
4 « Rapport explicatif de la Convention-cadre du Conseil de l’Europe sur l’intelligence artificielle, les droits de l’homme, la démocratie et l’État de droit », Série des traités du Conseil de l’Europe, no 225.
5 Comité ad hoc sur l’intelligence artificielle (CAHAI), « Éléments potentiels d’un cadre juridique sur l’intelligence artificielle, fondés sur les normes du Conseil de l’Europe en matière de droits de l’homme, de démocratie et d’État de droit », 1425e réunion, 16 févr. 2022.
6 EDPS statement in view of the 10th and last Plenary Meeting of the Committee on Artificial Intelligence (CAI) of the Council of Europe drafting the Framework Convention on Artificial Intelligence, Human Rights, Democracy and the Rule of Law (11 mars 2024) <https://www.edps.europa.eu/press-publications/press-news/press-releases/2024/edps-statement-view-10th-and-last-plenary-meeting-committee-artificial-intelligence-cai-council-europe-drafting-framework-convention-artificial_en>.
7 L. Bertuzzi, « Tug of war continues on international AI treaty as text gets softened further » (1er févr. 2024) Euractiv, <https://www.euractiv.com/section/artificial-intelligence/news/tug-of-war-continues-on-international-ai-treaty-as-text-gets-softened-further/>.
8 L. no 2023-380, 19 mai 2023, relative aux Jeux olympiques et paralympiques de 2024 et portant diverses autres dispositions, <https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000047564439>.
9 Cons. const., 17 mai 2023, no 2023-850 DC.
10 CNIL, délibération no 2022-118, 8 déc. 2022, portant avis sur un projet de loi portant sur les Jeux olympiques et paralympiques de 2024 (demande d’avis no 22017438), <https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000046865563?init=true&page=1&query=%2A&searchField=ALL&tab_selection=cnil>.
11 K. Roux, « JO 2024 : de la vidéosurveillance algorithmique à la reconnaissance faciale, il n’y a qu’un pas » (25 avr. 2024), Amnesty, Tribune, <https://www.amnesty.fr/liberte-d-expression/actualites/jo-paris-de-la-videosurveillance-algorithmique-a-la-reconnaissance-faciale-il-n-y-a-qu-un-pas>. Cet appel a été relayé par la Quadrature du net : « VSA La surveillance bâtit son empire » LaQuadratureduNet, <https://www.laquadrature.net/vsa/>.
12 S. Zuboff, « Big Other : Surveillance Capitalism and the Prospects of an Information Civilization », Journal of Information Technology 2015, 30(1), p. 75-89.
13 « La Commission envoie des constatations préliminaires à Meta concernant son modèle « “payer ou consenti” pour violation du règlement sur les marchés numériques » (1er juill. 2024) Commission européenne, Communiqué de presse, <https://ec.europa.eu/commission/presscorner/detail/fr/ip_24_3582>.
14 « Opinion 08/2024 on Valid Consent in the Context of Consent or Pay Models Implemented by Large Online Platforms » (17 avr. 2024) EDP, <https://www.edpb.europa.eu/our-work-tools/our-documents/opinion-board-art-64/opinion-082024-valid-consent-context-consent-or_fr>.
15 Règl. (UE) 2016/679 du PE et du Conseil, 27 avr. 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), JO L 119 du 4 avr. 2016, p. 1-88, art. 97 « Rapports à la Commission ».
16 Proposition de règlement du Parlement européen et du Conseil établissant des règles de procédure supplémentaires relatives à l’application du règlement (UE) 2016/679 [COM(2023) 348 final].
17 La Commission avait en effet adopté un premier rapport en juin 2020 : La protection des données : un pilier de l’autonomisation des citoyens et de l’approche de l’Union à l’égard de la transition numérique. Deux années d’application du règlement général sur la protection des données, 24 juin 2020, COM(2020) 264 final.
18 Art. 56 « Compétences de l’autorité de contrôle chef de file »
19 Ce n’est plus le cas depuis l’ouverture d’un bureau à Dublin, annoncé par Open AI dans un billet du 13 septembre 2023 : Open AI, « Introducting OpenAI Dublin », du 13,09.2023, consulté le 27.01.2025, disponible à l’adresse suivante : <https://openai.com/index/introducing-openai-dublin/>. Cependant, au moment du début des travaux de la Task Force Chat GPT, Open Ai n’avait pas encore acté l’ouverture de ce bureau.
20 V. not. Règl. (UE) 2016/679 du PE et du Conseil, 27 avr. 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), JO L 119 du 4 mai 2016, p. 1-88, art. 6 « Licéité du traitement », § 1, f.
21 Règl. (UE) 2024/1689 du PE et du Conseil, 13 juin 2024, établissant des règles harmonisées concernant l’intelligence artificielle et modifiant les règlements (CE) no 300/2008, (UE) no 167/2013, (UE) no 168/2013, (UE) 2018/858, (UE) 2018/1139 et (UE) 2019/2144 et les directives 2014/90/UE, (UE) 2016/797 et (UE) 2020/1828 (règlement sur l’intelligence artificielle), PE/24/2024/REV/1, JO L, 2024/1689, 12 juill. 2024, ELI : <http://data.europa.eu/eli/reg/2024/1689/oj>, art 70 « Désignation des autorités nationales compétentes et du point de contact unique », § 6.
22 CJUE, 27 mars 2024, Commission c. Amazon Services Europe, aff. C-639/23 P(R).
23 Décision C(2023) 2746 final.
24 Règl. (UE) 2022/2065 du PE et du Conseil, 19 oct. 2022, relatif à un marché unique des services numériques et modifiant la directive 2000/31/CE (règlement sur les services numériques), PE/30/2022/REV/1, JO L 277 du 27 oct. 2022, p. 1-102.
25 TUE, 27 sept. 2023, Amazon Services Europe c. Commission, aff. T-367/23.
26 V. la Chronique des CDST no 18.
27 Arrêté du 20 déc. 2018 portant approbation de la convention constitutive du groupement d’intérêt public « Centre d’accès sécurisé aux données » (ECOO1832598A).
28 <https://www.cnil.fr/fr/la-cnil-et-le-casd-publient-de-nouvelles-fiches-pratiques-circuits-dappariement-snds>.
29 L. no 2024-449, 21 mai 2024, visant à sécuriser et à réguler l’espace numérique.
30 Ces MR, aussi dénommées référentiels, visent des questions diverses : création d’entrepôts de données de santé, traitement de données dans le cadre de recherche en santé avec le consentement de la personne ou encore l’accès au SNDS.
31 Les États membres pourront adopter des dispositions pour déroger si besoin et de manière restreinte à cette obligation.
32 Communication de la Commission au Parlement européen et au Conseil, Deuxième rapport sur l’application du RGPD, Bruxelles, 25 juill. 2027 (COM(2024) 357 final).
33 Rapport d’information sur les défis de l’intelligence artificielle générative en matière de protection des données personnelles et d’utilisation du contenu généré (rapport no 2207, Mission d’information, Commission des lois constitutionnelles, de la législation et de l’administration générale de la République, 14 févr. 2024), p. 7.
34 Pour une autre description de ces risques, v. également le rapport du National Institute of Standards and Technology américain : NIST, AI Risk Management Framework : Generative AI Profile, juill. 2024, (NIST AI 600-1).
35 V. not. les recommandation nos 5 et 7 du rapport.
36 Le terme de « déployeur » a été consacré par le RIA et vise « une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d’IA sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnel », art. 3(4) RIA.
Haut de pagePour citer cet article
Référence papier
« Numérique », Cahiers Droit, Sciences & Technologies, 19 | 2025, 293-310.
Référence électronique
« Numérique », Cahiers Droit, Sciences & Technologies [En ligne], 19 | 2025, mis en ligne le 10 mai 2025, consulté le 20 juin 2025. URL : http://journals.openedition.org/cdst/11754 ; DOI : https://doi.org/10.4000/13wfe
Haut de pageDroits d’auteur
Le texte seul est utilisable sous licence CC BY 4.0. Les autres éléments (illustrations, fichiers annexes importés) sont « Tous droits réservés », sauf mention contraire.
Haut de page