Le 2 août, l'obligation d'avoir un bac à sable national pour l'IA est arrivée à échéance, et dans ces bacs à sable on peut traiter des données collectées pour autre chose

Ce qu'est un bac à sable réglementaire

C'est un environnement contrôlé dans lequel un système d'IA est développé, entraîné, testé et validé pendant une durée limitée, sous la supervision de l'autorité compétente et selon un plan convenu. Ce n'est pas une zone franche : les règles continuent de s'appliquer, mais le dialogue avec l'autorité a lieu avant la mise sur le marché plutôt qu'après, et le participant en sort avec une documentation que l'autorité a déjà regardée.

Le paragraphe 3 du même article ajoute une chose qui échappe souvent : le Contrôleur européen de la protection des données peut lui aussi mettre en place un bac à sable pour les institutions, organes et organismes de l'Union, en exerçant les rôles et les tâches des autorités nationales compétentes.

Pourquoi cela concerne ceux qui s'occupent de données personnelles

À cause de l'article 59. Dans le bac à sable, des données à caractère personnel légalement collectées à d'autres fins peuvent être traitées aux seules fins de développer, d'entraîner et de tester certains systèmes d'IA. C'est une disposition expresse de réutilisation, et le droit de l'Union n'en compte pas beaucoup. Mais elle ne vaut que si toutes les conditions énumérées sont réunies, pas certaines d'entre elles.

Le système doit servir un intérêt public important, dans l'un de ces domaines

• La sécurité publique et la santé publique, y compris la détection, la prévention du diagnostic, le contrôle et le traitement des maladies et l'amélioration des systèmes de soins de santé.
• Un niveau élevé de protection et d'amélioration de la qualité de l'environnement, la protection de la biodiversité, la protection contre la pollution, les mesures de transition verte, les mesures d'atténuation du changement climatique et d'adaptation à celui-ci.
• La durabilité énergétique.
• La sûreté et la résilience des systèmes de transport et de la mobilité, des infrastructures critiques et des réseaux.
• L'efficacité et la qualité de l'administration publique et des services publics.

Et toutes les autres conditions doivent également être réunies

• Les données doivent être nécessaires pour satisfaire aux exigences du chapitre III, section 2, et ces exigences ne doivent pas pouvoir être effectivement satisfaites avec des données anonymisées, synthétiques ou autrement non personnelles.
• Il doit exister des mécanismes de suivi efficaces pour détecter des risques élevés pour les droits et libertés des personnes concernées, au sens de l'article 35 du RGPD, ainsi que des mécanismes de réaction permettant de les atténuer rapidement et, si nécessaire, d'arrêter le traitement.
• Les données doivent se trouver dans un environnement de traitement fonctionnellement distinct, isolé et protégé, sous le contrôle du fournisseur potentiel, accessible aux seules personnes autorisées.
• Les données initialement collectées ne peuvent être partagées ultérieurement que conformément au droit de l'Union en matière de protection des données, et les données personnelles créées dans le bac à sable ne peuvent en sortir.
• Le traitement ne doit ni conduire à des mesures ou décisions affectant les personnes concernées, ni porter atteinte à l'exercice de leurs droits.

Ce qu'il faut demander maintenant

• Si le bac à sable de son propre État est opérationnel et à quelles conditions on y accède : l'échéance figure dans le règlement, la mise en œuvre varie d'un État à l'autre et doit être vérifiée auprès de sa propre autorité.
• Si le client envisage un projet d'IA dans l'un des cinq domaines, car dans ce cas le bac à sable n'est pas un ornement mais la voie la plus défendable.
• Si quelqu'un dans l'organisation a déjà écrit qu'il entraînerait sur des données existantes en citant le règlement sur l'IA comme fondement : c'est le moment de relire l'article 59 ligne à ligne.