RGPD contre l'IA : le règlement censé vous protéger a déjà 8 ans de retard

Vous n'avez jamais coché cette case

Vous n'avez jamais autorisé une machine à deviner votre orientation politique. Ni votre état de santé. Ni votre solvabilité.

Pourtant, c'est déjà fait. Par recoupement de vos achats, de vos trajets, de vos likes, un modèle a construit un profil probabiliste de vous.

Le RGPD contre l'IA, c'est un texte de 2018 face à une technologie qui a explosé après. Il encadre les données que vous donnez. Il ne dit presque rien de celles qu'une IA déduit.

Trois trous dans la cuirasse

Le règlement européen, entré en application le 25 mai 2018, était pensé pour un monde de bases de données. Pas de modèles génératifs. Voici où il vous laisse à découvert, aujourd'hui.

1. Les données inférées : la zone grise

Le RGPD parle de consentement pour les données collectées. Mais une IA génère des données que vous n'avez jamais fournies.

Elle infère. Elle déduit votre grossesse d'un changement d'achats. Votre fragilité financière d'un rythme de connexion. Votre opinion d'un réseau de contacts.

Ces profils probabilistes existent sans que vous les ayez tapés nulle part. Le texte n'a jamais nommé clairement ce cas. La zone grise, c'est vous.

2. La minimisation contre la faim des modèles

Le RGPD impose un principe : la minimisation. On ne collecte que le strict nécessaire. C'est l'article 5.

Un modèle génératif fait l'inverse. Il a besoin d'ingérer tout ce qu'il trouve pour fonctionner. Contradiction frontale.

L'European Data Protection Board l'admet : un modèle n'est réputé anonyme que si la probabilité d'en extraire vos données est insignifiante. Autrement dit, la plupart des modèles restent sous le régime du RGPD — mais en pratique, personne ne vérifie tout.

3. Le droit à l'explication, coquille vide

L'article 22 vous donne un droit face aux décisions automatisées. Vous pouvez, en théorie, exiger une explication et une intervention humaine.

En théorie. Car même le concepteur ne sait souvent pas expliquer pourquoi le modèle a décidé. Le raisonnement se perd dans des milliards de paramètres.

Nous avons documenté ce que ce vide produit concrètement dans le cas de la CAF et France Travail, où l'algorithme classe votre dossier selon une logique que personne ne vous détaille.

Le droit tente de rattraper la technique

La CNIL ne reste pas passive. Elle a publié ses recommandations IA et RGPD pour tenter d'étendre le texte aux bases d'entraînement, aux prompts, aux modèles qui mémorisent vos données.

Elle va plus loin. Dans son analyse du statut d'un modèle d'IA au regard du RGPD, elle explique qu'un modèle relève du règlement dès qu'on peut « régurgiter » ou extraire des données personnelles de son entraînement.

La CNIL recommande même de tester les attaques de réidentification. Traduction : on ne parle plus de données collectées, mais de reconstruction. Le droit court derrière une cible qu'il n'avait pas anticipée.

Un modèle n'est considéré comme anonyme que si la probabilité d'identifier les personnes ou d'extraire leurs données via requêtes est insignifiante. — EDPB, décembre 2024

L'AI Act européen tente de combler le retard. Mais il régule les systèmes, leur mise sur le marché, leur classification par risque. Il n'organise pas la réparation individuelle de votre préjudice.

Voilà le décalage : deux textes, huit ans d'écart, et entre les deux, une technologie qui aspire, recoupe et infère sans que vous ne signiez rien. La mémoire persistante activée sans consentement en est l'illustration la plus nette.

Ce que vous pouvez encore faire

Le cadre est imparfait. Il n'est pas inutile. Utilisé avec le bon vocabulaire, il oblige encore les responsables de traitement à répondre.

• Exercez votre droit d'accès (article 15). Ne demandez pas seulement les données collectées. Exigez explicitement les données inférées et dérivées : profils, scores, catégories déduites. C'est là que se cache l'essentiel.
• Opposez-vous au profilage (article 21). Vous pouvez refuser d'être profilé à des fins de prospection ou d'évaluation. La demande doit être écrite et datée.
• Saisissez la CNIL avec les bons mots. Parlez de décision automatisée, invoquez l'article 22, réclamez une intervention humaine. Le vocabulaire juridique exact change le traitement de votre plainte.
• Réduisez votre empreinte exploitable en amont. Moins vous alimentez les recoupements, moins l'inférence est fiable. Cloisonnez vos comptes, limitez les traceurs, méfiez-vous des services « gratuits ».

Ces gestes ne vous rendent pas invisible. Ils réintroduisent du frottement dans une machine conçue pour tout absorber sans résistance. C'est déjà un début de contrôle repris.

Nous continuons de documenter cette bascule, article après article, sur anti-ia.fr. Car comprendre le décalage entre le RGPD contre l'IA et la réalité de 2026, c'est la première condition pour ne plus le subir en silence.