La DPC irlandaise relève des problèmes de transparence dans 180 produits et services d’IA

La Commission irlandaise de protection des données (DPC) constate que les manquements à la transparence et les incertitudes entourant la base juridique de l’entraînement des systèmes d’IA restent fréquents. Son examen porte sur environ 180 produits et services d’IA créés ou déployés entre 2021 et 2025. Il s’appuie sur l’analyse de milliers de pages consacrées aux risques, aux mesures techniques et à la conformité des organisations qui développent ou utilisent ces technologies.

La transparence reste le principal problème

Selon la DPC, 72 % des décisions traitées par sa fonction de supervision concernaient des questions de transparence. Ses orientations précisent que les informations doivent s’adresser aux personnes concernées et être accessibles avant tout traitement de leurs données personnelles. Un avis difficile à trouver, destiné au mauvais public ou associé à une fonctionnalité que les personnes n’utilisent pas risque donc de ne pas satisfaire à cette obligation.

Le régulateur reconnaît que cette exigence peut entrer en tension avec certaines contraintes opérationnelles. Dans les systèmes conçus pour détecter la fraude ou des activités illégales, expliquer trop précisément le fonctionnement du dispositif pourrait faciliter son contournement. La DPC souligne toutefois que des explications fournies après le traitement ne dispensent pas les responsables de communiquer au préalable les informations appropriées exigées par le RGPD.

La base juridique des données d’entraînement sous surveillance

Le recours à l’intérêt légitime pour justifier le traitement de données destinées à l’entraînement de l’IA constitue un autre sujet récurrent. La DPC cite le projet présenté par Meta en mai 2024, qui prévoyait d’entraîner des systèmes d’IA à partir des données personnelles de ses utilisateurs. Après l’intervention du régulateur, Meta a appliqué les mesures recommandées, notamment le filtrage et la désidentification des données avant l’entraînement, d’après l’examen.

L’IA agentique soulève de nouvelles questions

La DPC indique avoir échangé avec cinq responsables de traitement au sujet du lancement de solutions d’IA agentique dans l’Union européenne. Elle estime qu’il est encore trop tôt pour dégager des tendances communes claires. Des incertitudes persistent néanmoins sur la transparence, la manière dont ces systèmes traitent les données personnelles, leur fonctionnement et leurs conséquences potentielles pour les droits des utilisateurs.

L’examen met aussi en garde contre l’utilisation du droit de la protection des données comme substitut à des normes éthiques ou sociales plus larges. La création d’images intimes ou sexualisées sans consentement illustre, selon la DPC, une situation dans laquelle d’autres cadres juridiques ou réglementaires peuvent être plus adaptés.

Une supervision qui concerne les grandes plateformes

De nombreuses entreprises technologiques ayant établi leur siège européen en Irlande, la DPC a supervisé des travaux liés à l’IA chez Airbnb, Apple, DeepSeek, Google, LinkedIn, Meta, Microsoft, OpenAI, Pinterest, TikTok et X. Le régulateur affirme que ses interventions ont permis des améliorations concernant la licéité des traitements, la transparence, la minimisation des données et la protection des enfants.

Illustration éditoriale générée par IA ; ce n’est pas une photographie documentaire.

Source: Ireland's DPC reports a 'significant' increase in AI-related engagements