La place de l’IA entre respect des libertés individuelles et sécurité sanitaire : le cadre juridique Européen

Consciente que l’IA va contribuer considérablement à l’amélioration de la sécurité sanitaire mais que beaucoup de risques lui sont associées, la Commission Européenne propose une approche basée sur un écosystème de confiance grâce à l’instauration d’un cadre réglementaire[9].

Bien que l’IA puisse contribuer à assurer la sécurité des citoyens, elle peut aussi être source d’insécurité juridique lorsqu’elle est utilisée à des fins malveillantes et suscite alors un sentiment de méfiance.

La Commission s’était au préalable déjà saisie de la question et avait formulé dans ses Lignes directrices en matière d’éthique pour une IA digne de confiance du 8 avril 2019[10] sept exigences essentielles attendues d’une IA, à savoir :

• Facteur humain et contrôle humain ;
• Robustesse technique et sécurité ;
• Respect de la vie privée et gouvernance des données ;
• Transparence ;
• Diversité, non-discrimination et équité ;
• Bien-être sociétal et environnemental, et
• Responsabilisation. 

Aujourd’hui, l’IA ne fait l’objet que de lignes directrices non contraignantes. L’instauration d’un cadre réglementaire spécifique contribuerait ainsi à réduire le déficit de confiance et accélérer l’adoption de cette technologie.

L’IA accroit notamment les possibilités de suivre et analyser les habitudes des populations. Bien que les développeurs des IA soient tenus au respect des droits fondamentaux et soumis à la réglementation européenne en ce qui concerne la protection des données à caractère à caractère personnel et le respect de la vie privée, dans l’esprit de certains citoyens européens, le risque potentiel de surveillance de masse de la population par les autorités publiques est accru.

Alors qu’en France le recours à la vidéo-surveillance par drones dont le rôle est de patrouiller pour contrôler la fréquence de circulation de la population dans les espaces publics fait déjà l’objet de nombreux débats, certains citoyens redoutent une prochaine étape à l’image des moyens entrepris dans les pays susvisés[11].

Or, il faut rappeler que la collecte et le traitement des données à caractère personnel dispose d’un cadre réglementaire renforcé depuis l’adoption du « Règlement Général sur la Protection des Données (communément appelé « RGPD ») [12], dont le but est de rendre aux citoyens européens la gouvernance de leur données à caractère personnel et de garantir la protection de leur vie privée. Le RGPD est directement applicable dans les États-membres de l’Union Européenne depuis le 25 mai 2018.

A l’échelle nationale, la France a ainsi modifié les dispositions de la loi n°78-17 du 6 janvier 1978 relatives à l’informatique, aux fichiers et aux libertés (communément appelée « Loi Informatique & Libertés) conformément au nouveau cadre réglementaire européen.

Afin que les gouvernements nationaux des États-membres légitiment le recours à des programmes impliquant des traitements de données à caractère personnel, ces derniers doivent respecter les règles et les principes formulés par le RGPD notamment:

• Un traitement licite doit reposer sur l’une des six bases légales listées à l’article 6 du RGPD dont : consentement de l’individu, nécessité à la sauvegarde de ses intérêts vitaux, nécessité à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique.
• Le traitement doit garantir les principes posés par l’article 5 du RPGD : finalité, transparence, sécurité et confidentialité, conservation des données limitées à la finalité, proportionnalité et minimisation des données.

Il doit être précisé, qu’en vertu de l’article 9.1 du RGPD, les dispositifs impliquant le traitement de données sensibles, c’est-à-dire, « des données révélant l’origine raciale ou ethnique, (…) ainsi que le traitement de données génétiques, données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique », sont en principe interdits.

Le Comité Européen de la protection des données rappelle, dans sa déclaration du 19 mars 2020, que des traitements dans le cadre d’une pandémie telle que le Covid-19 sont, par exception de l’article 9.2 du RGPD, autorisés sous certaines conditions et conformément aux dispositions nationales. Dans ce cadre, il n’est pas nécessaire de recueillir le consentement des individus[13].

A cette occasion, le Comité apporte également des précisions sur un éventuel recours par les gouvernements nationaux à des dispositifs collectant les données des smartphones pour suivre et limiter la propagation du virus.

Conformément à la Directive Vie Privée[14], un tel traitement suppose un consentement de l’utilisateur ou l’anonymisation de ses données à caractère personnel. Le Comité appelle alors les gouvernements à privilégier le processus d’anonymisation.

A la suite de cette communication officielle, huit opérateurs ont annoncé leur intention de transmettre les données de géolocalisation anonymisées de leur clients à un groupe de chercheurs rattachés à la Commission Européenne, le but étant de générer de statistiques en cartographiant la population et d’aider les services sanitaires à anticiper les besoins[15]. La Commission garantit aux utilisateurs la suppression des données à caractère personnel à la fin de la crise sanitaire.

L’anonymisation d’une donnée à caractère personnel est une garantie de sécurité technique rendant impossible toute ré-identification de l’individu. Ainsi, la donnée n’est plus à caractère personnel et la vie privée de son sujet est préservée.