Veille Juridique – octobre 2019.

Payer avec son visage plutôt qu’avec une carte de crédit, utiliser, comme l’a fait la police d’Orlando aux Etats-Unis, les caméras d’Amazon pour lutter contre la criminalité, gérer les déplacements des athlètes et journalistes des jeux olympiques de Tokyo par reconnaissance faciale, ou plus proche de nous, tester la reconnaissance faciale sur la voie publique comme à Nice, autant de projets qui laissent rêveur… ou insomniaque.

Que ce soit en Europe ou plus largement dans le monde, les perspectives que dévoilent les développements de l’intelligence artificielle combinés notamment à la reconnaissance faciale, au traitement des empreintes vocales ou à la reconnaissance des émotions, suscitent de plus en plus de réactions.

Les questions éthiques, en particulier, sont aujourd’hui en tête des priorités de la nouvelle présidente de la Commission européenne, Ursula Von der Leyen.

Celle-ci annonce vouloir présenter dans les cent premiers jours de son mandat une proposition législative en vue d’une approche européenne coordonnées relative aux implications humaines et éthiques de l’intelligence artificielle.

Elle examinera également les moyens de favoriser l’innovation en utilisant les mégadonnées.

Un groupe d’experts constitué par la Commission européenne a posé, dans cette optique de respect des droits humains, les jalons d’une intelligence artificielle « digne de confiance ».

Dans sa publication de lignes directrices en avril 2019, il identifiait trois caractéristiques : l’IA se doit d’être

1. Licite, en assurant le respect des législations et réglementations applicables ;
2. Éthique, en assurant l’adhésion à des principes et valeurs éthiques ; et
3. Robuste, « sur le plan tant technique que social car, même avec de bonnes intentions, les systèmes d’IA peuvent causer des préjudices involontaires ».

L’éthique, en lien avec l’intelligence artificielle, était déjà le thème de la dernière conférence internationale des Commissaires à la protection des données et a donné lieu à une déclaration publique.

Celle-ci mentionne les avantages mais aussi les risques liés à ces nouvelles technologies, et notamment les préjugés et discriminations pouvant en découler.

Elle rappelle plusieurs principes essentiels visant à garantir la confiance des individus tout en favorisant l’innovation, dont le principe de loyauté et la transparence des systèmes d’intelligence artificielle.

Elle plaide enfin pour des principes communs de gouvernance au niveau international.

On note encore que le 11 septembre dernier, le Conseil de l’Europe a créé un Comité ad hoc chargé d’analyser les conditions d’un cadre juridique pour le développement, la conception et l’application de l’intelligence artificielle.

Enfin, l’Agence européenne des droits fondamentaux s’est saisie de la question de la reconnaissance faciale au cours d’un séminaire les 19 et 20 septembre dernier, avec pour objectif la publication d’un document sur le sujet en novembre 2019.

Et aujourd’hui ?

Si une clarification des aspects éthiques est bien entendu souhaitable, d’un point de vue strictement juridique le RGPD s’applique pleinement aux systèmes de reconnaissance faciale ou vocale, qui constituent des traitements de données biométriques.

Ces données sont à ce titre protégées de façon plus stricte et nécessitent en principe le consentement des intéressés. Compte tenu de la sensibilité du traitement, une analyse d’impact devra en outre être effectuée. Une attention particulière devrait être apportée, dans ce contexte, aux aspects mentionnés plus haut et en particulier aux risques de discrimination, aux attentes raisonnables des intéressés et à la transparence du traitement.

Et aussi :

• En France :

Le mois d’octobre est celui de la cybersécurité.

Une trentaine de partenaires, dont l’ANSSI et la CNIL, s’engagent à sensibiliser professionnels et particuliers aux enjeux de la sécurité et du numérique.

Depuis le 26 septembre, deux organismes de certification sont dorénavant agréés par la CNIL.

• En Europe :

Droit à l’oubli et validité du consentement en ligne : Trois arrêts importants de la Cour de Justice de l’Union Européenne viennent clarifier le cadre légal.

Dans l’arrêt « Planet49 » du premier octobre 2019, la Cour précise que, pour collecter légalement des informations sur base de cookies, une case pré-cochée ne suffit pas : le placement de cookies requiert le consentement actif et spécifique des internautes.

L’internaute doit aussi être informé de la durée de fonctionnement des cookies ainsi que de la possibilité́ ou non pour des tiers d’y avoir accès.

Ce jugement conforte les récentes communications des autorités de supervision sur les conditions d’utilisation des cookies, dont celle de la CNIL.

Dans l’arrêt « Google » du 24 septembre, la Cour précise que le droit à l’oubli ne s’applique pas de façon systématique aux moteurs de recherche en dehors de l’Union européenne.

Il s’applique dans l’UE par exemple à google.fr et autres extensions européennes. Il appartient toutefois aussi au moteur de recherche de mettre en place des mesures décourageant les internautes d’avoir, à partir de l’un des États membres, accès aux liens en cause figurant sur les versions hors UE de ce moteur de recherche.

La fin de l’arrêt est importante car la Cour y consacre le pouvoir d’appréciation des autorités de supervision : s’il n’est pas obligatoire de déréférencer un lien en dehors de l’UE, l’autorité garde le pouvoir d’enjoindre au moteur de recherche un déréférencement global, après avoir mis en balance les droits de la personne concernée et la liberté d’information.

C’est cette même mise en balance qui est au cœur du deuxième arrêt du 24 septembre : la Cour confirme dans l’arrêt GC e.a. c/ CNIL que l’interdiction de principe de traiter des données sensibles s’applique également aux moteurs de recherche, mais une analyse doit être effectuée au cas par cas entre les droits fondamentaux de la personne demandant le déréférencement et ceux des internautes potentiellement intéressés par ces informations.

Si le moteur de recherche ne supprime pas le référencement, la Cour impose à tout le moins pour les données judiciaires une obligation de présenter les résultats dans un ordre mettant en avant les informations actuelles.