Droits des personnes face à l'IA : accès, rectification et effacement sous le RGPD
Un algorithme de scoring crédit refuse votre dossier. Un système de recrutement automatisé vous écarte sans explication. Un moteur de recommandation vous attribue un profil inexact. Dans chacun de ces cas, le RGPD vous confère des droits — mais les exercer face à un système d'intelligence artificielle est souvent semé d'embûches, tant pour la personne concernée que pour l'entreprise qui doit y répondre.
Voici un guide structuré à destination des DPO, RSSI et responsables conformité pour transformer ces obligations légales en processus opérationnels maîtrisés.
Ce que le RGPD garantit face aux systèmes IA
Le règlement européen ne distingue pas les traitements manuels des traitements automatisés : les droits des personnes s'appliquent de manière identique, avec des dispositions renforcées dès lors qu'une décision automatisée significative est en jeu.
Droit d'accès (article 15)
Toute personne peut demander à savoir si des données la concernant sont traitées, et obtenir une copie de celles-ci. Face à un système IA, cela implique de communiquer :
- Les données d'entrée utilisées (comportements, historiques, scores intermédiaires)
- La logique générale du traitement automatisé, notamment en cas de profilage
- La finalité et la durée de conservation prévue
Le RGPD parle d'informations utiles concernant la logique sous-jacente — une formulation volontairement non technique, mais qui impose une transparence réelle sur le fonctionnement du modèle.
Droit de rectification (article 16)
Si les données traitées par le système sont inexactes ou incomplètes, la personne peut exiger leur correction. Dans un contexte IA, la difficulté est double : identifier quelle donnée a influencé le résultat, et s'assurer que la correction se propage dans les pipelines de données et éventuellement dans les modèles déjà entraînés.
Droit à l'effacement (article 17)
Le fameux « droit à l'oubli » oblige à supprimer les données lorsqu'elles ne sont plus nécessaires, que le consentement est retiré, ou que le traitement est illicite. Face à un modèle de machine learning, cette obligation soulève une question technique épineuse : comment supprimer l'influence d'une donnée sur un modèle déjà entraîné ? C'est le champ du machine unlearning, encore peu standardisé.
Droit d'opposition aux décisions automatisées (article 22)
Lorsqu'une décision produit des effets juridiques ou significatifs sur une personne et repose uniquement sur un traitement automatisé, celle-ci peut s'y opposer et exiger l'intervention humaine. Ce droit est particulièrement stratégique dans les domaines RH, crédit, assurance ou santé.
Les obstacles concrets à l'exercice de ces droits
En théorie, le cadre est clair. En pratique, plusieurs facteurs complexifient l'exercice de ces droits.
L'opacité des modèles
Les modèles de deep learning ou les LLMs sont par nature difficiles à interpréter. Expliquer pourquoi un score de risque est de 73 plutôt que 68 nécessite des outils d'explicabilité (SHAP, LIME, etc.) que beaucoup d'entreprises n'ont pas encore déployés en production.
La dispersion des données
Les données d'un individu peuvent se trouver dans des bases transactionnelles, des data lakes, des vecteurs embeddings ou des logs de modèles. Une demande d'accès ou d'effacement peut donc déclencher une chasse aux données dans des dizaines de systèmes hétérogènes.
Le shadow AI
Des équipes utilisent des outils IA non référencés — copilotes de code, assistants génératifs, outils de scoring maison — sans que le DPO en ait connaissance. Ces usages hors gouvernance rendent la réponse aux droits des personnes pratiquement impossible à orchestrer.
Comment les entreprises doivent organiser leur réponse
Cartographier tous les systèmes IA traitant des données personnelles
Avant tout, le registre des traitements (article 30) doit refléter la réalité des systèmes IA en production, y compris les outils SaaS tiers. Sans cette cartographie, aucune réponse fiable aux droits des personnes n'est possible dans le délai d'un mois imposé par le RGPD.
Intégrer l'explicabilité dès la conception
Le principe de privacy by design s'applique aussi à l'explicabilité. Lors du déploiement d'un modèle, prévoir dès le départ les mécanismes permettant de répondre à une demande d'accès : journalisation des features utilisées, génération automatique d'explications lisibles, documentation de la logique métier associée.
Automatiser les workflows de gestion des droits
Un processus manuel pour traiter 50 demandes simultanées de droit à l'effacement dans 8 systèmes distincts est ingérable. Les entreprises matures s'appuient sur des plateformes de gouvernance qui centralisent les demandes, identifient les systèmes concernés et orchestrent les suppressions ou corrections avec traçabilité complète.
Prévoir une procédure spécifique pour le machine unlearning
Lorsqu'un modèle a été entraîné sur des données dont l'effacement est demandé, deux approches sont envisageables : le réentraînement complet du modèle (coûteux mais certain) ou des techniques de machine unlearning approximatif. Dans tous les cas, cette procédure doit être documentée et défendable en cas de contrôle CNIL.
Former les équipes en contact avec les demandes
Les équipes juridiques, support et DPO doivent être formées aux spécificités des demandes IA : comment identifier si un traitement automatisé est en cause, comment solliciter les équipes data pour obtenir les informations nécessaires, et comment rédiger une réponse compréhensible pour la personne concernée.
Un exemple concret : le scoring RH
Une entreprise utilise un outil IA pour présélectionner les CV. Un candidat écarte écrit pour demander accès aux données le concernant et les critères ayant conduit à son rejet.
La réponse conforme doit inclure : les données CV analysées, les variables pondérées par le modèle (expérience, mots-clés, localisation), la logique générale de scoring et l'information sur son droit à demander une révision humaine. Si l'entreprise ne peut fournir ces éléments, elle s'expose à une plainte CNIL et à une amende pouvant atteindre 4 % du chiffre d'affaires mondial.
L'articulation avec l'AI Act
Le règlement européen sur l'IA renforce ces obligations pour les systèmes à haut risque (recrutement, crédit, éducation, justice). Les fournisseurs et déployeurs de ces systèmes devront documenter les capacités d'explication et de supervision humaine — ce qui crée une convergence naturelle entre conformité RGPD et conformité AI Act. Anticiper cette double exigence dès aujourd'hui est un avantage concurrentiel réel.
FAQ
Quel délai pour répondre à une demande de droit d'accès concernant un système IA ?
Le RGPD impose un délai d'un mois à compter de la réception de la demande, extensible à trois mois en cas de complexité ou de volume élevé, à condition d'en informer la personne dans le premier mois.
L'entreprise est-elle obligée de révéler le code source ou les poids de son modèle IA ?
Non. Le RGPD exige des informations utiles sur la logique sous-jacente, pas la divulgation du modèle lui-même. Une explication fonctionnelle des variables influençant la décision est suffisante, sous réserve qu'elle soit réellement compréhensible.
Que faire si un modèle IA a été entraîné sur des données dont l'effacement est demandé ?
L'entreprise doit soit réentraîner le modèle sans ces données, soit documenter une procédure de machine unlearning approuvée. L'inaction ou l'impossibilité technique non documentée n'est pas une défense recevable face à la CNIL.
Le droit à l'intervention humaine s'applique-t-il à toutes les décisions IA ?
Non, uniquement aux décisions fondées exclusivement sur un traitement automatisé et produisant des effets juridiques ou significatifs. Une recommandation produit sans conséquences sur les droits d'une personne n'y est pas soumise.
Comment le shadow AI complique-t-il la gestion des droits des personnes ?
Les outils IA non référencés traitent potentiellement des données personnelles hors de tout registre de traitement. Si une demande de droit à l'effacement arrive, ces systèmes sont invisibles pour le DPO, rendant toute réponse exhaustive impossible et exposant l'entreprise à un risque de non-conformité.