En transposant la directive européenne sur la protection des lanceurs d’alerte dans le droit français, la loi dite « Waserman » et son décret d’application ont apporté des modifications significatives à la réglementation relative aux alertes dites « professionnelles ».

L’approbation des règles d’entreprise contraignantes (BCR) résulte d’une démarche d’accompagnement mise en œuvre par la CNIL. Les groupes détenteurs ont la charge de mettre en place, en pratique, les obligations issues des BCR.

Régulièrement, la CNIL communique sur des violations de données typiques inspirées d’incidents réels qui lui sont notifiés. Cette publication a pour objectif de permettre à tous les professionnels de comprendre et de prévenir les risques d’accès à des données par des tiers en présentant un exemple de réaction appropriée.

La Commission nationale de l'informatique et des libertés s’est réunie le jeudi 11 avril 2024 à 9 h avec l’ordre du jour suivant :

En 2024, la CNIL propose de nouveaux webinaires à destination des professionnels. Ces webinaires sont gratuits et ouverts à tous.

Le 4 avril 2024, la CNIL a sanctionné la société HUBSIDE.STORE d’une amende de 525 000 euros notamment pour avoir utilisé à des fins de prospection commerciale des données fournies par des courtiers en données, sans s’assurer que les personnes concernées avaient valablement consenti à être démarchées.

À l’issue d’une consultation publique, la CNIL publie ses premières recommandations sur le développement des systèmes d’intelligence artificielle. Elles doivent aider les professionnels à concilier innovation et respect des droits des personnes pour le développement innovant et responsable de leurs systèmes d’IA.

La CNIL souhaite apporter des clarifications et des recommandations concrètes pour le développement des systèmes d’intelligence artificielle (IA) et la constitution de bases de données utilisées pour leur apprentissage, qui impliquent des données personnelles. La CNIL définit le périmètre des différentes fiches pratiques.

Lorsqu’elle contient des données personnelles, la constitution de bases de données pour l’apprentissage d’un système d’IA puis la phase d’apprentissage elle-même doivent respecter la réglementation relative à la protection des données. La CNIL vous aide à déterminer le régime applicable aux traitements de données en phase de développement.

La constitution d’une base de données contenant des données personnelles pour le développement d’un système d’IA est un traitement de données personnelles qui, en application du RGPD, doit poursuivre une finalité (ou objectif) qui soit déterminée, explicite et légitime. La CNIL vous aide à définir la ou les finalités en tenant compte des spécificités du développement de systèmes d’IA.

Les organismes constituant des bases de données d’apprentissage contenant des données personnelles doivent déterminer leur qualification au sens du RGPD : ils peuvent être responsable de traitement, responsable conjoint ou sous-traitant.

La constitution d’une base de données pour l’apprentissage d’un système d’IA peut engendrer un risque élevé pour les droits et libertés des personnes. Dans ce cas, une analyse d’impact sur la protection des données est obligatoire. La CNIL vous explique comment et dans quels cas la réaliser.

Pour assurer le développement d’un système d’IA respectueux de la protection des données, il est nécessaire de mener une réflexion préalable lors de la conception du système. Cette fiche en détaille les étapes.

Le développement d’un système d’intelligence artificielle nécessite d’assurer une gestion et un suivi rigoureux des données d’apprentissage. La CNIL détaille comment les principes relatifs à la protection des données s’articulent avec la gestion des données d’apprentissage.

L’organisme qui souhaite constituer une base de données d’apprentissage contenant des données personnelles puis l’utiliser pour entraîner un algorithme doit s’assurer que le traitement est autorisé par la loi. La CNIL vous aide à déterminer vos obligations en fonction de votre responsabilité et des modalités de collecte ou de réutilisation des données.

En cas de réutilisation de données, le responsable du traitement est tenu d’effectuer certaines vérifications supplémentaires afin de garantir que le traitement de données est autorisé par la loi. La CNIL vous aide à déterminer vos obligations en fonction des modalités de collecte et de la source des données

La CNIL a publié ses premières recommandations sur l’application du RGPD au développement des systèmes d’intelligence artificielle pour aider les professionnels à concilier innovation et respect des droits des personnes. Voici ce qu’il faut en retenir.

Créée en 1978 par la loi Informatique et Libertés, la CNIL est une autorité administrative indépendante, composée d’un Collège de 18 membres et d’une équipe d’agents contractuels de l’État.

La norme internationale ISO/IEC 27701 décrit la gouvernance et les mesures de sécurité à mettre en place pour les traitements de données personnelles. La norme ISO/IEC 42001 est, quant à elle, destinée aux organismes qui fournissent ou utilisent des systèmes d’IA. 

Pour toutes vos demandes presse privilégiez l’adresse : presse@cnil.fr