Droit et réglementation : RGPD, droit d'auteur et règlement européen sur l'IA

Utiliser une IA générative n'est pas un acte sans cadre : des règles s'appliquent à vos données, aux contenus produits et aux systèmes d'IA eux-mêmes. Cette leçon en donne les grandes lignes pour vous aider à poser les bonnes questions. Elle est volontairement générale.

1. Le RGPD : protéger les données personnelles

L'essentiel

Le Règlement général sur la protection des données (RGPD), règlement (UE) 2016/679, encadre le traitement des données personnelles : toute information relative à une personne physique identifiée ou identifiable (nom, e-mail, numéro de téléphone, identifiant, photo, voix, données de localisation, mais aussi une combinaison de détails permettant de reconnaître quelqu'un).

Il s'applique notamment dès lors que vous traitez des données de personnes situées dans l'Union européenne dans un cadre professionnel ou organisationnel. Un usage purement personnel et domestique est traité différemment, mais les données de tiers que vous saisissez n'en deviennent pas pour autant librement exploitables dans tous les cas.

Quelques principes à connaître

• Licéité, loyauté, transparence : un traitement doit reposer sur une base légale (consentement, contrat, obligation légale, intérêt légitime, etc.) et les personnes doivent être informées.
• Finalité : les données sont collectées pour un objectif précis et ne doivent pas être réutilisées pour n'importe quoi.
• Minimisation : on ne traite que les données nécessaires.
• Exactitude : les données doivent être correctes et à jour, ce qui compte si une IA produit des informations erronées sur une personne.
• Limitation de la conservation et sécurité.
• Droits des personnes : accès, rectification, effacement, opposition, notamment.

Pourquoi cela vous concerne

Quand vous collez dans un outil d'IA un texte contenant des données personnelles de clients, d'élèves, de patients ou de collègues, vous transmettez ces données à un prestataire. Dans un cadre professionnel, cela peut constituer un traitement soumis au RGPD, avec des questions à se poser : a-t-on le droit de le faire ? le prestataire est-il encadré par un contrat ? où les données sont-elles hébergées ? sont-elles conservées ou réutilisées ? Sans réponse claire, anonymisez ou ne transmettez pas.

Les données particulièrement sensibles (santé, opinions, origine, etc.) bénéficient d'une protection renforcée : un motif de prudence supplémentaire.

2. Le droit d'auteur : textes, images et contenus générés

Le droit d'auteur protège les œuvres originales de l'esprit : textes, images, musiques, photographies, logiciels, etc. Plusieurs questions se posent avec l'IA générative, dont les réponses varient selon les pays et évoluent avec les décisions de justice et les textes.

Ce que vous soumettez à l'outil

• Un texte, une image ou une musique protégés ne sont pas automatiquement libres d'usage parce qu'ils sont accessibles en ligne.
• Soumettre un contenu protégé dont vous n'avez pas les droits, pour le transformer ou le republier, peut poser problème.
• Résumer pour votre compréhension personnelle n'est pas la même chose que republier ou diffuser.

Ce que l'outil produit

• Un contenu généré peut, dans certains cas, ressembler fortement à des œuvres existantes. Vérifiez qu'il ne reproduit pas un texte ou une image identifiable, surtout avant une publication.
• La question de savoir si un contenu généré est protégé et à qui il appartient dépend du droit applicable. En droit d'auteur français et européen, la protection suppose en principe une création originale reflétant l'apport d'un auteur humain : un contenu produit sans réelle intervention créative humaine soulève donc des doutes. Les conditions d'utilisation de l'outil précisent par ailleurs ce que le fournisseur autorise.
• Votre apport personnel (choix, structuration, réécriture, relecture) compte, et il est utile de pouvoir le documenter.

La question de l'entraînement

Une autre question, très débattue, est celle de l'utilisation d'œuvres pour entraîner des modèles. Le droit européen prévoit des exceptions pour la fouille de textes et de données, avec un mécanisme permettant aux titulaires de droits de s'y opposer sous certaines conditions. Le sujet évolue : ne tirez pas de conclusion définitive d'un article ou d'une conversation avec un assistant, renseignez-vous auprès de sources officielles.

3. Le règlement européen sur l'IA (AI Act)

De quoi s'agit-il ?

Le règlement (UE) 2024/1689, souvent appelé « AI Act », est le cadre européen applicable aux systèmes d'intelligence artificielle. Il vise à favoriser une IA digne de confiance tout en protégeant la santé, la sécurité et les droits fondamentaux. Son application est échelonnée dans le temps : vérifiez sur les sources officielles ce qui s'applique à la date où vous lisez ces lignes.

Une approche fondée sur les risques

Le règlement distingue, en gros, plusieurs niveaux selon le risque que présente l'usage d'un système d'IA :

Niveau	Idée générale	Exemple d'orientation
Risque inacceptable	Pratiques jugées contraires aux valeurs de l'Union : elles sont interdites	Certaines techniques de manipulation, certains usages de notation sociale
Haut risque	Usages dans des domaines sensibles : exigences renforcées (gestion des risques, qualité des données, documentation, contrôle humain)	Certains usages liés à l'emploi, à l'éducation, à l'accès à des services essentiels
Obligations de transparence	Les personnes doivent savoir qu'elles interagissent avec une IA ou voir signalés certains contenus générés	Agents conversationnels, contenus synthétiques de type « deepfake »
Risque minimal	Pas d'obligation spécifique, bonnes pratiques encouragées	Nombre d'usages courants

Le texte comporte aussi des dispositions pour les modèles d'IA à usage général (les grands modèles qui servent de base à de nombreux outils), avec notamment des obligations de documentation et de transparence pour leurs fournisseurs.

Et pour vous, utilisateur ?

La plupart des obligations pèsent d'abord sur les fournisseurs de systèmes d'IA et sur les organisations qui les déploient. En tant qu'utilisateur individuel d'un assistant, vous n'êtes en général pas directement concerné par les obligations les plus lourdes. En revanche :

• Le texte consacre la transparence : cela conforte la bonne pratique de mentionner l'usage de l'IA lorsque c'est pertinent (leçon suivante).
• Dans un contexte professionnel, votre organisation peut être tenue de respecter des obligations ; elle peut avoir adopté une politique d'usage, à respecter.
• Si vous utilisez l'IA pour des décisions touchant des personnes (recrutement, évaluation), vous vous trouvez dans un domaine où les exigences sont plus fortes. Raison de plus pour ne pas déléguer ces décisions.

Comment s'organiser, en pratique

1. Posez-vous trois questions avant chaque usage : y a-t-il des données personnelles ou confidentielles ? ai-je les droits sur ce que je soumets ? ce que je produis sera-t-il publié, et sous quelle forme ?
2. Informez-vous au bon endroit : les ressources de la CNIL sur l'IA et le RGPD, les textes sur EUR-Lex, les consignes de votre organisation.
3. Documentez vos usages professionnels sensibles : outil employé, finalité, données utilisées, vérifications faites.
4. En cas de doute, ne transmettez pas ; demandez l'avis de la personne compétente.

À vous de jouer

Exercice. Pour chacune des trois situations ci-dessous, indiquez la question juridique principale et la précaution adaptée :

1. Vous voulez résumer un tableau de suivi de patients d'un cabinet pour une présentation.
2. Vous voulez que l'IA réécrive un article de presse payant pour le publier sur votre blog.
3. Votre entreprise envisage un outil d'IA pour trier des candidatures.

Voir une solution

1. Données de santé de patients : données personnelles particulièrement sensibles, donc protection renforcée au titre du RGPD. Précaution : ne pas les transmettre à un outil non validé ; anonymiser de façon robuste, ou utiliser uniquement une solution validée par l'organisation ; consulter le responsable de la protection des données.
2. Droit d'auteur : réécrire et publier le contenu d'autrui sans autorisation peut porter atteinte aux droits de l'auteur ou de l'éditeur, même si le texte est reformulé par une IA. Précaution : écrire votre propre contenu à partir de vos idées, citer et renvoyer vers la source dans les limites du droit de citation, ou demander l'autorisation.
3. Usage à fort enjeu pour les personnes : données personnelles de candidats, risque de biais et de décision automatisée ; domaine pouvant relever de règles renforcées. Précaution : aucune décision déléguée à l'outil, supervision humaine, information des candidats, avis du juriste et du responsable de la protection des données avant tout déploiement.

Ces réponses sont des pistes de réflexion, pas des avis juridiques : chaque situation dépend des faits et du droit applicable.

Au-delà de ce que la loi impose, il y a ce que l'honnêteté et le discernement commandent. C'est l'objet de la dernière leçon de ce chapitre : les usages responsables.