Déclaration sur le rôle des autorités de protection des données dans la promotion d’une intelligence artificielle digne de confiance

Table ronde des autorités de protection des données et de la vie privée du G7

Le 11 octobre 2024

1. À la suite de l’adoption du plan d’action des autorités de protection des données et de la vie privée du G7 à Tokyo en juin 2023, et de l’engagement qui a été pris « [de] promouvoir le développement et l’utilisation des technologies émergentes de façon à renforcer la confiance et le respect de la vie privée^{Note de bas de page 1} » dans un contexte technologique en évolution rapide, nous, les autorités de protection des données et de la vie privée du G7, nous sommes réunies pour discuter du rôle des autorités de protection des données et de la vie privée dans la promotion d’une intelligence artificielle (IA) digne de confiance.
2. Nous reconnaissons l’utilisation croissante des technologies de l’IA dans tous les secteurs de la société, créant des possibilités à un rythme extraordinaire. Parallèlement, nous constatons que l’IA, tant dans le secteur public que dans le secteur privé, pose des défis sans précédent, notamment en ce qui concerne la vie privée, la protection des données et d’autres droits et libertés fondamentaux.
3. Par conséquent, nous nous réjouissons que la protection de la vie privée et des données soit reconnue dans la Déclaration des ministres de l’Industrie, des Technologies et du Numérique du G7 (réunion à Vérone et Trente, 14 et 15 mars 2024^{Note de bas de page 2}) qui, conformément à la Déclaration des ministres du numérique et de la technologie du G7 (réunion à Takasaki, 29 et 30 avril 2023^{Note de bas de page 3}), fait remarquer que les pays du G7 :
   • [traduction] « sont conscients des défis complexes en constante évolution que les technologies numériques, y compris l’IA, posent en ce qui concerne la protection des droits de la personne, y compris la protection de la vie privée, et des risques pour la protection des données personnelles […] » (point 7);
   • reconnaissent, en particulier dans le secteur public, qu’il est [traduction] « plus évident que jamais que le développement, le déploiement et l’utilisation de systèmes d’IA devraient respecter la primauté du droit, l’application régulière de la loi, la démocratie, les droits de la personne, y compris le droit à la vie privée, et protéger les données personnelles […] » (point 48 et annexe 2);
   • [traduction] « s’engagent à donner la priorité à des approches sécurisées et inclusives qui respectent les droits de la personne et protègent les données personnelles, [et] la vie privée […] » (point 55) lors de l’élaboration, du déploiement et de la gouvernance des services gouvernementaux numériques, y compris l’infrastructure publique numérique.
4. Nous soulignons que la position inscrite dans la Déclaration ministérielle du G7 n’est pas seulement de longue date, ayant trouvé une reconnaissance initiale dans les Lignes directrices en matière d’éthique pour une IA digne de confiance du Groupe d’experts de haut niveau sur l’intelligence artificielle constitué par la Commission européenne (8 avril 2019^{Note de bas de page 4}) et dans la Recommandation de l’OCDE sur l’intelligence artificielle (22 mai 2019^{Note de bas de page 5}), mais obtient également un large soutien auprès d’autres instances internationales, notamment dans les travaux suivants :
   • les Principes du G20 sur l’IA, lors du Sommet d’Osaka (juin 2019^{Note de bas de page 6}), récemment réitérés dans la Déclaration des dirigeants du G20 à New Delhi (septembre 2023^{Note de bas de page 7});
   • la Recommandation sur l’éthique de l’intelligence artificielle de l’Organisation des Nations Unies pour l’éducation, la science et la culture (UNESCO), 23 novembre 2021^{Note de bas de page 8};
   • la Déclaration de Bletchley, adoptée par les pays participant au « Sommet sur la sécurité de l’IA » (Bletchley Park, Royaume-Uni, 1er et 2 novembre 2023^{Note de bas de page 9}), maintenant reprise dans la « Déclaration de Séoul pour une IA sûre, innovante et inclusive^{Note de bas de page 10} ».
5. Nous constatons qu’en ce qui concerne plus particulièrement le respect de la vie privée et la protection des données, les principaux messages de politique mentionnés ci-dessus se traduisent maintenant en instruments juridiques. Il s’agit notamment de la Convention-cadre du Conseil de l’Europe sur l’intelligence artificielle et les droits de l’homme, la démocratie et l’État de droit^{Note de bas de page 11}, de la Loi sur l’IA^{Note de bas de page 12} de l’UE et du décret du président américain sur l’IA sûre, sécurisée et digne de confiance^{Note de bas de page 13}.
6. Nous soulignons que de nombreuses technologies de l’IA, y compris l’IA générative, sont fondées sur le traitement de données personnelles, ce qui peut exposer des personnes physiques à des stéréotypes, des préjugés et une discrimination injustes même lorsque leurs données personnelles respectives ne sont pas directement traitées. Cette situation pourrait avoir une influence sur des processus sociétaux plus vastes, donnant lieu à des hypertrucages et à de la désinformation. Par conséquent, la protection des données et la nécessité de protéger le droit à la vie privée sont plus essentielles que jamais.
7. Nous réitérons, comme il est indiqué dans la « Déclaration sur l’IA générative » des autorités de protection des données et de la vie privée du G7 (21 juin 2023), que les lois actuelles sur la protection de la vie privée et des données s’appliquent au développement et à l’utilisation de produits d’IA générative, même si différentes administrations continuent d’élaborer des lois et des politiques propres à l’IA^{Note de bas de page 14}.
8. Nous faisons remarquer que les autorités de protection des données et de la vie privée ont une grande expérience de l’examen et de la résolution des problèmes d’IA, acquise en élaborant des recommandations, des lignes directrices et des documents de politique et en mettant en œuvre des mesures d’application de la loi. C’est ce qui ressort des travaux de divers organismes internationaux, notamment :
   • les résolutions et les déclarations adoptées par l’Assemblée mondiale pour la protection de la vie privée, en particulier sur les mégadonnées^{Note de bas de page 15}, l’éthique et la protection des données dans le secteur de l’IA^{Note de bas de page 16}, la technologie de reconnaissance faciale^{Note de bas de page 17}, les systèmes d’IA générative et l’IA et l’emploi^{Note de bas de page 18};
   • les documents de travail sur la protection de la vie privée et l’intelligence artificielle^{Note de bas de page 19}, les « villes intelligentes^{Note de bas de page 20} » et les grands modèles de langage adoptés par le Groupe de travail international sur la protection des données dans les technologies;
   • la Résolution sur l’accompagnement du développement de l’intelligence artificielle, adoptée par l’Association francophone des autorités de protection des données personnelles (AFAPDP^{Note de bas de page 21});
   • les « Recomendaciones Generales para el Tratamiento de Datos en la Inteligencia Artificial », adoptées par la Red Iberoamericana de Protección de Datos^{Note de bas de page 22};
   • les discussions en cours entre les autorités de protection de la vie privée de la zone Asie-Pacifique (APPA^{Note de bas de page 23}).
9. Nous reconnaissons que la complexité des technologies de l’IA, qui font souvent intervenir une vaste collecte de données personnelles et des systèmes algorithmiques sophistiqués, a conduit les autorités de protection des données et de la vie privée à devenir des figures clés dans le contexte de la gouvernance de l’IA, tirant parti de leur expertise en matière de protection des données pour faire respecter la vie privée et les normes éthiques. Leur rôle est crucial pour favoriser des technologies de l’IA vraiment « dignes de confiance », en veillant à ce qu’elles soient élaborées et utilisées de manière responsable. En s’appuyant sur leur vaste expérience et en travaillant de concert, les autorités de protection des données et de la vie privée peuvent aider à composer avec les complexités de l’IA, en favorisant le développement et le déploiement de ces technologies dans le respect des lois et des droits de la personne^{Note de bas de page 24}.
10. Plus précisément, tout comme les principes fondamentaux de la protection des données doivent, dès la conception, être intégrés dans les technologies de l’IA, les autorités de protection des données et de la vie privée doivent aussi être incluses à même la gouvernance qui est en cours d’élaboration relativement aux technologies de l’IA – comme il est souligné dans le communiqué de la Table ronde britannique des autorités de protection des données et de la vie privée du G7 (7 et 8 septembre 2021^{Note de bas de page 25}).
11. À cet égard, nous faisons remarquer que les autorités de protection des données et de la vie privée du G7, en appliquant les principes de protection des données en place dans leur pays et, le cas échéant, en agissant de manière coordonnée à l’échelle régionale, ont déjà acquis une expérience et une expertise importantes dans l’évaluation des répercussions des technologies de l’IA sur les droits des personnes sous de nombreux angles différents, notamment au moyen de ce qui suit :
    • la supervision du traitement des données personnelles dans les technologies de l’IA, par exemple dans l’utilisation d’outils d’IA manipulateurs et trompeurs en ce qui concerne les enfants; la reconnaissance faciale assistée par l’IA; des mesures de lutte contre l’évasion fiscale; le traitement des données personnelles sur le lieu de travail et les employés; l’éducation; et l’IA générative, entre autres;
    • la surveillance des développements technologiques en collaborant avec des parties prenantes et en produisant des rapports, des documents de travail et des articles de blogue;
    • la rédaction d’avis sur les diverses initiatives législatives qui ont conduit à l’introduction de réglementations générales ou sectorielles sur les technologies de l’IA;
    • la présentation de renseignements d’intérêt général et la publication de lignes directrices qui peuvent informer les entités des secteurs public et privé qui ont l’intention d’utiliser les technologies de l’IA;
    • des fonctions exécutées, généralement en coopération avec d’autres organismes de réglementation, dans des « bacs à sable réglementaires » établis à l’échelle nationale ou régionale;
    • des activités de conformité auprès de fournisseurs de technologies de l’IA afin d’établir comment les renseignements personnels sont utilisés à diverses étapes du développement et du déploiement des modèles d’IA.
12. En outre, nous soulignons que les autorités de protection des données et de la vie privée agissent en toute indépendance, ce qui est crucial pour assurer une gouvernance responsable et efficace du développement des technologies de l’IA. Cette indépendance garantit que les décisions sont impartiales, axées sur la protection des droits fondamentaux et exemptes d’influences extérieures, favorisant ainsi le développement et l’utilisation éthiques et transparents des technologies de l’IA.
13. Nous sommes tout à fait d’accord pour dire que l’éducation est essentielle pour aider les personnes et les organisations à obtenir les connaissances nécessaires pour pouvoir s’orienter de manière responsable dans le contexte en constante évolution de l’IA. Dans ce cadre, nous soulignons que les autorités de protection des données et de la vie privée jouent un rôle de premier plan pour favoriser la sensibilisation du public à l’égard des technologies de l’IA ainsi qu’une meilleure compréhension, en raison de leur engagement continu auprès des parties prenantes des secteurs public et privé.
14. Nous reconnaissons qu’à mesure que les technologies de l’IA continueront d’évoluer, la coopération entre les autorités de protection des données et de la vie privée sera essentielle à la création d’un écosystème d’IA digne de confiance qui profite à la société dans son ensemble. Nous reconnaissons donc que la dimension mondiale de l’IA nécessite une collaboration plus étroite entre les autorités de protection des données et de la vie privée des différentes administrations.
15. Comme nous l’avons rappelé dans le communiqué des autorités de protection des données et de la vie privée du G7 de 2023 intitulé « Efforts déployés en faveur de la mise en œuvre de la libre circulation des données dans la confiance et du renforcement de la coopération en matière de réglementation^{Note de bas de page 26} », nous confirmons notre engagement à travailler ensemble pour continuer à favoriser l’innovation et à faire progresser le développement, le déploiement et l’utilisation sûrs et fiables d’une IA digne de confiance de manière sécurisée et fiable, tout en assurant un niveau élevé de protection des données et de la vie privée. Nous affirmons nos valeurs et nos principes fondamentaux inextricablement liés que nous avons en commun, tels que la liberté, la démocratie, les droits de la personne et la primauté du droit, et veillons à ce que ces valeurs soient au cœur de notre coopération.
16. En outre, sans préjudice pour l’indépendance des autorités de protection des données et de la vie privée, nous reconnaissons l’importance de la collaboration et de la coopération entre divers organismes de réglementation, y compris ceux qui se concentrent sur la concurrence, les communications électroniques, la protection des consommateurs et d’autres autorités compétentes concernées, afin de relever les défis multiformes posés par les technologies de l’IA^{Note de bas de page 27}. Nous pensons qu’une approche coopérative, où les autorités de protection des données et de la vie privée sont à l’avant-garde et travaillent en étroite collaboration avec d’autres autorités et organismes compétents, garantit un cadre de gouvernance global qui permet de gérer efficacement les risques et d’exploiter les avantages des technologies de l’IA dignes de confiance tout en protégeant les droits fondamentaux.
17. Par conséquent, nous appelons les décideurs et les régulateurs à mettre des ressources humaines et financières adéquates à la disposition des autorités de protection des données et de la vie privée, afin de permettre à nos sociétés de relever de manière adéquate les nouveaux défis très exigeants posés par le développement d’une IA digne de confiance, comme il est indiqué dans cette déclaration.
18. Afin d’atteindre l’objectif d’une IA digne de confiance à la lumière de tous les facteurs à prendre en compte ci-dessus, nous appelons à des approches qui reconnaissent que :
    • Les autorités de protection des données et de la vie privée sont axées sur l’être humain par défaut : Les autorités de protection des données et de la vie privée placent déjà les droits de la personne et la protection des personnes au centre de leur approche. La protection des données vise à protéger les droits et les libertés des personnes en ce qui concerne le traitement de leurs données, ce qui s’applique également aux technologies de l’IA;
    • De nombreux principes généraux de protection des données peuvent être transposés dans des cadres de gouvernance de l’IA plus larges : L’équité, la responsabilité, la transparence et la sécurité ne sont pas seulement des principes discutés dans le contexte de la gouvernance de l’IA, il s’agit de principes que de nombreuses autorités de protection des données et de la vie privée mettent déjà en œuvre;
    • Les autorités de protection des données et de la vie privée supervisent une composante essentielle de l’IA : Les données personnelles sont au cœur du développement de l’IA, y compris dans des applications telles que l’IA générative. Le rôle des autorités de protection des données et de la vie privée pour s’assurer que les technologies de l’IA sont développées et déployées de manière responsable est essentiel, et de nombreuses autorités de protection des données et de la vie privée ont de l’expérience en la matière;
    • Les autorités de protection des données et de la vie privée peuvent aider à résoudre les problèmes à la source : Les autorités de protection des données et de la vie privée peuvent aider à cerner et à résoudre les problèmes d’IA avant qu’ils ne deviennent des problèmes systématiques en examinant l’IA en amont (comment elle est développée) et en aval (comment elle est déployée). Cela signifie que les autorités de protection des données et de la vie privée ont déjà la capacité de résoudre des problèmes à la source, avant que la technologie ne soit déployée à grande échelle;
    • Les autorités de protection des données et de la vie privée ont de l’expérience : Les autorités de protection des données et de la vie privée ont déjà une vaste expérience du traitement guidé par les données, ce qui leur permet d’aborder l’IA de manière réfléchie et efficace.