Objet 23.438 - Loi sur la protection des données. Ajouter une disposition sur les décisions automatisées qui se fondent sur l'intelligence artificielle

La numérisation, et en particulier l’automatisation des processus et des procédures, a pour conséquence que les décisions humaines reposent de plus en plus souvent sur des systèmes algorithmiques. Il convient de distinguer différents niveaux d’automatisation :

a. les systèmes entièrement automatisés exécutent eux-mêmes, c’est-à-dire sans intervention humaine, chaque étape jusqu’à la décision ;

b. les systèmes partiellement automatisés peuvent quant à eux fournir une aide décisionnelle ou aider à l’établissement des faits. Ainsi, un système peut par exemple chercher des informations, les rassembler et les évaluer. Et les résultats ainsi obtenus peuvent, mais ne doivent pas obligatoirement, être pris en compte par la personne physique qui prend la décision. La décision définitive appartient donc à un humain.

Il est (théoriquement) imaginable d’utiliser l’intelligence artificielle (IA) pour les systèmes automatisés et semi-automatisés. Toutefois, l’IA est bien plus souvent utilisée dans les procédures semi-automatisées (en particulier comme aide décisionnelle) que dans les procédures qui ne nécessitent aucune intervention humaine.

Or, pour la personne concernée, une décision semi-automatisée reposant sur l’IA peut justement avoir des conséquences aussi graves qu’une décision entièrement automatisée.

La version actuelle de la loi sur la protection des données prévoit une qualification spécifique et certains droits pour la personne concernée uniquement en cas de décision automatisée (art. 21 nLPD), ce qui n’est pas suffisant compte tenu des défis posés par l’IA. C’est pourquoi il est judicieux d’ajouter un article 21bis à la loi. La notion d’IA n’est pas encore clairement définie, mais elle le sera bientôt dans une ordonnance sur l’IA que l’Union européenne s’apprête à édicter et dans une convention du Conseil de l’Europe sur l’IA.

Liste des votes