Module 9 — Protection des données personnelles

Le règlement européen sur l'IA du module précédent encadre le système ; le règlement général sur la protection des données (RGPD, règlement 2016/679) encadre les données que ce système traite. Les deux textes se superposent sans se remplacer : un système d'octroi de crédit conforme au règlement sur l'IA peut violer le RGPD, et l'inverse. Ce module donne les points de repère pour tenir les deux à la fois.

Six principes qui gouvernent tout traitement

L'article 5 du RGPD énonce six principes qui s'appliquent à toute donnée personnelle. Ils ne sont pas optionnels et ils orientent chaque décision de conception.

Licéité, loyauté et transparence. Chaque traitement a une base légale (voir plus loin), la personne concernée sait ce qui se passe dans un langage clair et n'est pas trompée sur les finalités.

Limitation des finalités. Les données collectées pour l'octroi d'un crédit ne peuvent pas, sans base légale distincte, servir à alimenter un modèle de marketing prédictif. Sur le fil rouge, cela signifie que l'entrepôt analytique de Cetelinéa doit compartimenter les usages.

Minimisation des données. On collecte le minimum nécessaire. Un modèle de crédit qui utilise 40 variables ne peut se justifier que si ces 40 variables ont un lien démontré avec la solvabilité — la présence sur les réseaux sociaux ou la marque du téléphone ne passeront pas.

Exactitude. Les données inexactes doivent être rectifiées ou supprimées. Un demandeur dont l'incident de paiement a été régularisé doit voir son historique mis à jour.

Limitation de la conservation. Les données ne sont pas conservées indéfiniment. Les dossiers refusés se conservent typiquement 3 à 5 ans, les dossiers acceptés jusqu'à la clôture de la relation contractuelle, plus une période probatoire — chaque durée doit être écrite dans le registre.

Intégrité et confidentialité. Sécurité technique et organisationnelle appropriée : chiffrement au repos et en transit, contrôle d'accès, journalisation des accès.

Choisir une base légale

Un traitement doit reposer sur l'une des six bases légales de l'article 6, et une seule. Elles ne sont pas équivalentes : les droits des personnes varient selon la base retenue.

• Consentement. Explicite, éclairé, libre et révocable. Fragile pour un traitement bancaire — un demandeur qui « refuse » perd l'accès au produit, ce qui met en cause la liberté du consentement.
• Exécution du contrat. Traitement nécessaire à la conclusion ou à l'exécution du contrat de prêt. Base solide pour l'évaluation du dossier lui-même.
• Obligation légale. Imposée par une autre loi. La lutte anti-blanchiment ou la déclaration à la Banque de France entrent ici.
• Intérêt vital. Rare hors du contexte médical d'urgence.
• Mission d'intérêt public. Réservée principalement aux organismes publics.
• Intérêt légitime. Base résiduelle, subordonnée à une mise en balance avec les droits de la personne. Beaucoup utilisée à tort ; le régulateur y regarde de près.

Chez Cetelinéa, l'évaluation d'un dossier de prêt repose sur l'exécution du contrat (préalables contractuels de l'article 6.1.b), l'obligation de vérification au registre des incidents sur l'obligation légale, et l'analyse statistique agrégée hors identification directe sur l'intérêt légitime. Chaque traitement du registre pointe vers sa base.

Les droits des personnes concernées

Les articles 15 à 22 fondent une série de droits que la personne peut exercer.

• Droit d'accès aux données la concernant.
• Droit de rectification des données inexactes.
• Droit à l'effacement (« droit à l'oubli ») quand le traitement n'est plus nécessaire ou que la personne retire son consentement.
• Droit à la limitation du traitement en cas de contestation.
• Droit à la portabilité vers un autre responsable.
• Droit d'opposition au traitement dans certains cas.

Sur le fil rouge, une demande d'effacement soulève un problème pratique : le modèle a été entraîné sur les données de la personne. Retirer la personne du jeu est faisable ; retirer son influence du modèle déjà entraîné demande soit un réentraînement, soit une technique de machine unlearning encore émergente. La bonne pratique documentée est de retirer la personne du jeu et de la fiche, puis de programmer le réentraînement à la prochaine itération planifiée.

L'article 22, cœur de la question pour l'IA

C'est le texte le plus discuté du RGPD pour ce qui nous concerne. L'article 22 dispose que la personne « a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire ».

Trois exceptions : si la décision est nécessaire à un contrat, si elle est autorisée par le droit national avec des garanties, ou si la personne y consent explicitement. Dans ces cas, la personne conserve au minimum le droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision.

L'application à Cetelinéa est directe. Un refus de crédit « fondé exclusivement sur un traitement automatisé » tombe dans l'article 22. La banque a deux stratégies conformes : soit assurer une intervention humaine effective (module 7) et le documenter, soit invoquer l'exception contractuelle avec garanties, ce qui suppose au minimum les trois droits mentionnés.

Le mot effectivement est piégé. Une signature apposée en fin de journée sur une liste de refus proposés par le modèle n'est pas une intervention humaine effective au sens de l'autorité de protection des données. Il faut que l'humain puisse motiver une décision différente et qu'il l'ait fait dans une proportion raisonnable de cas.

L'analyse d'impact relative à la protection des données

Quand un traitement présente un risque élevé pour les droits et libertés — cas typique d'un modèle d'IA en décision individuelle — l'article 35 impose une analyse d'impact relative à la protection des données, ou AIPD, ou DPIA en anglais.

Le document répond à quatre grandes questions. Description systématique du traitement, y compris la logique du modèle. Nécessité et proportionnalité par rapport aux finalités. Évaluation des risques pour les droits des personnes, avec scénarios (fuite, erreur, discrimination). Mesures envisagées pour atténuer les risques et démontrer la conformité.

Sur le fil rouge, l'AIPD de la version 2.3 fait douze pages, elle a été relue par le délégué à la protection des données (DPO) et transmise à la CNIL en cas de consultation ; elle a servi de base à la fiche de modèle du module 6.

Catégories particulières et interdictions

L'article 9 interdit en principe le traitement de données « qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale », ainsi que les données génétiques, biométriques, de santé, de vie sexuelle ou d'orientation sexuelle. Les exceptions sont limitées et strictement encadrées.

Attention à un piège fréquent : une variable en apparence anodine peut « révéler » l'une de ces catégories. Un logiciel qui déduit une orientation religieuse à partir du nom, ou une appartenance syndicale à partir de mots-clés dans un dossier, effectue un traitement de ces catégories particulières, avec la responsabilité qui va avec — même si l'intention n'y était pas.

En résumé

• Six principes — licéité, finalité, minimisation, exactitude, conservation, intégrité — s'appliquent à tout traitement, y compris à l'entraînement d'un modèle.
• Chaque traitement repose sur une seule base légale ; l'intérêt légitime est souvent invoqué à tort et scruté par le régulateur.
• Les droits des personnes (accès, rectification, effacement, opposition) posent un défi pratique au machine unlearning ; la bonne pratique est le retrait du jeu et le réentraînement planifié.
• L'article 22 encadre les décisions automatisées ; une intervention humaine effective est la voie de conformité la plus solide, et suppose une capacité réelle de renversement.

Module suivant : mettre l'ensemble en pratique dans un audit complet du système Cetelinéa, du diagnostic à la remédiation.