Données personnelles et IA : ce que font vraiment les algorithmes avec vos informations
Les données personnelles que l'IA collecte sur vous sont bien plus nombreuses que vous ne le pensez. Chaque requête à un assistant IA, chaque photo partagée, chaque clic alimentent des systèmes d'apprentissage dont les pratiques restent largement opaques.
La réponse courte : oui, vos données sont utilisées ; pour entraîner les modèles, affiner les réponses, parfois pour des finalités que vous n'avez jamais explicitement acceptées. Mais le droit résiste : le RGPD, renforcé par l'AI Act depuis 2025, impose des obligations concrètes aux acteurs de l'IA.
Des entreprises ont déjà été lourdement sanctionnées. Dans cet article, CTRLZ décrypte les mécanismes réels de collecte, les dérives documentées et les droits que vous pouvez exercer dès aujourd'hui.
Données personnelles et IA : le mécanisme réel de la collecte
Le traitement de données à caractère personnel par les systèmes d'intelligence artificielle repose sur des milliards d'informations aspirées sur le web, les réseaux sociaux et vos propres interactions.
La frontière entre donnée publique et donnée à caractère personnel est nettement plus floue qu'on ne l'imagine : une personne physique peut être identifiée à partir d'un ensemble de données en apparence anodines, et c'est précisément ce que vise le RGPD lorsqu'il définit toute information permettant d'identifier, directement ou indirectement, une personne concernée.
La phase d'entraînement est celle où les modèles absorbent des corpus colossaux via le scraping, cette collecte automatisée de contenus web qui ne distingue pas toujours donnée publique et donnée personnelle.
Votre nom dans un article, votre photo sur un site, vos avis en ligne peuvent s'y retrouver sans que vous en ayez jamais été informé. Le CEPD a confirmé en décembre 2024 que ces modèles peuvent mémoriser ces données et permettre leur extraction, les faisant ainsi entrer pleinement dans le champ d'application du RGPD.
Au moment du déploiement, c'est votre usage qui devient source de données : requêtes, fichiers partagés, adresse IP, horaires de connexion, cookies.
Ces éléments peuvent être collectés, conservés puis transmis à des tiers, prestataires techniques, sous-traitants ou partenaires commerciaux, souvent sans que la durée de conservation soit clairement indiquée dans des CGU que peu de personnes physiques lisent réellement.
La phase la plus discrète reste celle de l'inférence, ce profilage silencieux par lequel certains systèmes déduisent des caractéristiques sensibles, état de santé, opinions politiques, situation financière, à partir de comportements observés, sans jamais poser une seule question directe.
Ce traitement inféré est strictement encadré par l'article 22 du RGPD, qui interdit les décisions entièrement automatisées ayant un impact significatif sur une personne physique, sauf exceptions légales précisément définies.
À retenir : les données à caractère personnel traitées par l'IA ne se limitent jamais à ce que vous saisissez volontairement.
Métadonnées, cookies, schémas comportementaux et données inférées composent un périmètre bien plus large que ce que laissent entendre les interfaces, et tout responsable du traitement a l'obligation légale d'en informer les personnes concernées.
Le cadre juridique : RGPD, AI Act et le rôle actif de la CNIL
La loi informatique et libertés et le règlement général sur la protection des données ne prévoient aucune exception pour l'intelligence artificielle. Tout traitement de données à caractère personnel est soumis aux mêmes règles, qu'il soit réalisé par un humain ou par un algorithme.
Le responsable du traitement, l'entreprise qui développe ou déploie l'IA, demeure juridiquement responsable de la conformité, au même titre que ses sous-traitants, et un délégué à la protection des données doit être désigné dès lors que l'organisation traite des données sensibles à grande échelle.
Cinq principes structurent cette conformité. La licéité et la transparence (art. 5) imposent d'informer clairement l'utilisateur des données collectées et de leur usage, y compris à des fins d'entraînement.
La limitation des finalités interdit de réutiliser des données pour former un modèle si ce n'était pas l'objectif initialement annoncé. La minimisation restreint la collecte à ce qui est strictement nécessaire. Les droits d'accès et d'effacement (art. 15-17) doivent rester effectifs, et le privacy by design (art. 25) impose d'intégrer la protection des données dès la conception du système, jamais après coup.
Depuis le 1er août 2024, le règlement européen sur l'IA s'applique progressivement sans remplacer le RGPD, mais en le renforçant sur les usages les plus risqués. Depuis le 2 février 2025, les pratiques classées à risque inacceptable sont interdites sur le territoire européen : reconnaissance faciale en temps réel dans l'espace public, manipulation comportementale à l'insu des personnes, score social fondé sur les comportements.
Depuis le 2 août 2025, de nouvelles obligations de transparence s'imposent également aux modèles d'IA généralistes comme GPT ou Gemini.
Quand un système IA traite des données personnelles, les deux règlements s'appliquent simultanément : le RGPD régit le traitement des données, l'AI Act régit le système lui-même selon son niveau de risque, et se conformer au second aide à respecter le premier sans s'y substituer.
La CNIL ne se contente plus de sanctionner.
Depuis 2024, elle adopte une posture proactive avec un plan d'action IA parmi les plus structurés d'Europe. Selon son analyse, un modèle peut être considéré comme anonyme, et donc hors champ du règlement général, s'il ne permet pas de réidentifier les personnes physiques ayant contribué à son entraînement.
Si la réidentification reste possible avec des moyens raisonnablement accessibles, le modèle entre dans le champ de la loi informatique et libertés.
En février 2025, la CNIL a publié deux recommandations majeures exigeant une information claire des personnes concernées sur les données collectées, leur finalité et leur base légale, ainsi qu'un exercice réellement opérationnel des droits d'accès, de rectification, d'effacement et d'opposition.
Elle a également mis en place un dispositif sandbox permettant aux startups IA de tester leurs solutions avec un accompagnement juridique dédié.
Quatre affaires qui ont marqué la jurisprudence des données et de l'IA
Les violations liées aux données personnelles dans l'IA ne sont plus théoriques. Elles ont été documentées, instruites et sanctionnées.
Clearview AI reste l'affaire symbole des dérives de la reconnaissance faciale.
Cette entreprise américaine a constitué une base de plus de 20 milliards de photographies de personnes physiques, aspirées automatiquement sur les réseaux sociaux et sites web sans consentement ni base légale, permettant à ses clients, essentiellement des forces de l'ordre, de retrouver n'importe qui à partir d'une simple photo.
La CNIL a prononcé en octobre 2022 une amende de 20 millions d'euros, assortie d'une injonction de suppression sous astreinte de 100 000 euros par jour de retard.
Clearview AI ayant ignoré ces injonctions, 5,2 millions d'euros supplémentaires ont été liquidés en 2023, l'entreprise n'ayant à ce jour toujours pas réglé ces amendes.
En mars 2023, l'Italie a temporairement interdit ChatGPT, reprochant à OpenAI de ne pas informer suffisamment les utilisateurs sur la collecte de leurs données à des fins d'entraînement.
La violation ciblée était l'article 25 du RGPD, le privacy by design, qui impose d'intégrer la protection des données dès la conception du service. Cet épisode a révélé que même les leaders de l'IA générative n'étaient pas en conformité au moment de leur lancement grand public.
En 2024, Meta annonçait vouloir utiliser les publications et photos publiques de ses utilisateurs européens pour entraîner ses systèmes IA.
Le projet, suspendu sous pression des autorités, a été relancé en mai 2025 avec des filtres renforcés, sur la base d'un mécanisme d'opt-out contesté par les régulateurs : le CEPD a rappelé qu'un consentement véritable doit être libre, spécifique, éclairé et actif.
DeepSeek, application IA chinoise, a cristallisé les inquiétudes en 2025 : historiques de requêtes, fichiers téléchargés, adresses IP et schémas de frappe étaient susceptibles d'être accessibles aux autorités chinoises.
L'Italie l'a interdite de son App Store, les Pays-Bas l'ont exclue des appareils gouvernementaux, illustrant les enjeux du chapitre V du RGPD sur les transferts internationaux, qui exige qu'un pays tiers offre un niveau de protection équivalent à celui de l'UE.
Dans chaque affaire, le même schéma se répète : collecte ou réutilisation de données personnelles sans base légale solide, défaut d'information des personnes concernées, et impossibilité pour elles d'exercer leurs droits. Ce sont les trois piliers du RGPD, et les trois angles d'attaque privilégiés des régulateurs.
Vous n'êtes pas impuissant face à ces pratiques. Le droit d'opposition (art. 21) vous permet de refuser que vos données servent à entraîner un modèle IA, un droit qu'il faut exercer activement via les paramètres de confidentialité. Le droit d'accès et d'effacement (art. 15-17) vous permet d'exiger la suppression de vos données dans un délai légal d'un mois, prorogeable à trois mois pour les demandes complexes.
Le droit à la décision humaine (art. 22) s'applique dès qu'une IA prend une décision vous affectant significativement, crédit, embauche, assurance, et vous permet d'exiger une intervention humaine.
Ne partagez jamais de données sensibles dans un chatbot IA, vérifiez systématiquement les paramètres de confidentialité de chaque outil, et n'hésitez pas à porter plainte auprès de la CNIL, une procédure gratuite et accessible à tous.
FAQ - Données personnelles et IA
Le règlement général sur la protection des données s'applique-t-il aux IA ?
Oui, dans de nombreux cas. Si un modèle IA a été entraîné sur des données à caractère personnel et qu'il est possible d'en extraire ces données avec des moyens accessibles, le RGPD s'applique pleinement au responsable du traitement. La CNIL a publié une méthode d'analyse de statut pour évaluer ce risque modèle par modèle.
Mes conversations avec une IA servent-elles à l'entraînement ?
Cela dépend des paramètres choisis. Par défaut, la plupart des plateformes peuvent réutiliser vos échanges pour améliorer leurs modèles sauf si vous désactivez cette option. Ces échanges constituent des données à caractère personnel soumises au RGPD.
Qui est le responsable du traitement dans un système IA ?
Le responsable du traitement est l'entité qui détermine les finalités et les moyens du traitement de données à caractère personnel. Dans le cas d'une IA, c'est généralement la société qui développe ou déploie le service.
Quel est le rôle du DPO dans une entreprise IA ?
Le délégué à la protection des données est le référent interne chargé de veiller à la conformité avec le RGPD et la loi informatique et libertés. Sa désignation est obligatoire pour les organismes traitant des données sensibles à grande échelle.
Qu'est-ce qu'une donnée biométrique et pourquoi est-elle extra-protégée ?
Une donnée biométrique permet d'identifier une personne physique de façon unique. Elle figure parmi les données sensibles de l'article 9 du RGPD et ne peut être traitée qu'avec une base légale spécifique et explicite.
Que risque un responsable du traitement non conforme ?
Les risques incluent des amendes jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires mondial, des injonctions de cesser le traitement, la suppression forcée des données conservées et des recours civil
⚠️ Disclaimer CTRLZed
Cet article est rédigé à titre informatif et pédagogique uniquement. CTRLZed n'est pas un cabinet d'avocats et ne fournit pas de conseil juridique. Les informations présentées ne sauraient se substituer à une consultation auprès d'un professionnel du droit qualifié. Pour toute question relative à vos données personnelles, rapprochez-vous d'un avocat spécialisé ou de la CNIL (cnil.fr).
Faire entendre votre expertise au bon endroit
Tribunes, partenariats éditoriaux, mises en avant ciblées : découvrez les formules qui permettent à votre voix de rencontrer notre lectorat.
