L’utilisateur veut comprendre les données personnelles dans le contexte de la confidentialité des données en IA et l’appliquer à un travail pratique de gouvernance ou de conformité IA.
Une donnée personnelle est une information se rapportant à une personne physique identifiée ou identifiable au sens du droit de la protection des données. Dans les contextes de l’Union européenne, sa signification est liée à l’article 4(1) du règlement (UE) 2016/679 et à son interprétation juridique.
Les données personnelles en IA désignent les informations se rapportant à une personne physique identifiée ou identifiable lorsque ces informations sont utilisées, générées, inférées, stockées ou autrement traitées dans un contexte d’IA. Elles peuvent apparaître dans les données d’entraînement, prompts, embeddings, journaux, sorties de modèle, profils utilisateurs, évaluations, enregistrements de feedback ou données de suivi. En droit de l’Union européenne, le concept central vient de l’article 4(1) du RGPD : une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable. L’IA ne fait pas disparaître ce statut simplement parce que les données sont transformées, tokenisées, intégrées sous forme d’embeddings ou utilisées statistiquement.
Les données personnelles ne se limitent pas au nom ou au numéro de passeport d’une personne. Dans les systèmes d’IA, elles peuvent inclure le texte d’e-mails, les journaux de chat, les images, la voix, les schémas de localisation, les dossiers d’employés, les tickets de support client, les signaux comportementaux, les identifiants d’appareils ou les sorties de modèle qui renvoient à une personne. Même si le système utilise les données comme matériau d’entraînement ou comme contexte, la question de confidentialité demeure : l’information peut-elle se rapporter à une personne identifiée ou identifiable ?
Analogie
Une donnée personnelle est toute information qui peut raisonnablement être reliée à une personne, même si elle apparaît dans un jeu de données ou une sortie d’IA.
Les données personnelles sont importantes en IA parce que les systèmes d’IA peuvent collecter, combiner, inférer et reproduire des informations d’une manière qui n’est pas évidente au moment de la collecte. Les données d’entraînement peuvent contenir des données personnelles extraites de sites web, copiées depuis des documents ou téléversées par des utilisateurs. Les systèmes RAG peuvent récupérer des dossiers personnels dans les prompts. Les chatbots peuvent stocker des journaux de conversation. Les systèmes de suivi peuvent créer des profils comportementaux. Ces activités peuvent déclencher des obligations RGPD relatives à la base juridique, à la transparence, à la limitation des finalités, à la minimisation, à la conservation, à la sécurité, aux droits des personnes concernées et aux analyses d’impact relatives à la protection des données.
Urgence
La revue de confidentialité doit intervenir avant que les données d’IA soient ingérées, indexées, utilisées pour le fine-tuning, journalisées ou exposées via les sorties du modèle.
Une revue de confidentialité pratique doit cartographier où les données personnelles entrent et sortent du cycle de vie de l’IA. Les équipes doivent identifier si des données personnelles apparaissent dans les données d’entraînement, données de validation, prompts, embeddings, journaux, sorties, jeux d’évaluation ou feedback utilisateur. Elles doivent définir la base juridique, la finalité, la durée de conservation, les contrôles d’accès, les mesures de sécurité, le processus de droits des personnes concernées et les mécanismes de suppression ou de neutralisation. Pour les traitements à risque plus élevé, une analyse d’impact relative à la protection des données peut être requise. Une attention particulière est nécessaire lorsque l’IA infère des attributs sensibles, traite des données d’enfants, utilise des informations biométriques ou réutilise des données initialement collectées dans un autre contexte.
Les équipes supposent souvent que les données d’IA sont anonymes parce qu’elles sont stockées dans un jeu de données, une base vectorielle, un flux de tokens ou un contexte de modèle. C’est risqué. Les données pseudonymisées peuvent toujours être des données personnelles si la réidentification est raisonnablement possible. Une autre erreur consiste à se concentrer uniquement sur les données d’entraînement en ignorant les prompts, journaux, embeddings, documents RAG, jeux de données d’évaluation et sorties générées. Les équipes peuvent aussi confondre données non personnelles et données qui ne comportent simplement pas de noms évidents. En IA, des combinaisons de signaux peuvent rendre une personne identifiable.
Erreur 1 : Traiter par défaut les embeddings ou journaux de modèle comme non personnels sans tester l’identifiabilité ou le risque d’accès.
Erreur 2 : Supposer que les données publiques du web peuvent toujours être réutilisées pour l’entraînement IA sans analyse de base juridique, de transparence ou de finalité.
Cette page doit renvoyer vers non-personal-data et training-data, car de nombreuses questions de confidentialité en IA dépendent de la frontière entre jeux de données personnels et non personnels. La comparaison la plus forte est personal-data-vs-non-personal-data. Le parcours d’apprentissage suivant doit mener à what-is-special-category-data-in-ai, car les données de catégories particulières constituent un sous-ensemble plus étroit et plus risqué des données personnelles.