Décryptages, analyses et retours d’expérience sur le RGPD, la cybersécurité, l’IA et les enjeux de conformité.
Le 24 juillet 2025, la Commission publie un modèle obligatoire de « résumé public » des données d’entraînement des modèles d’IA à usage général (GPAI), au titre de l’IA Act : un équilibre délicat entre transparence et protection des secrets commerciaux.
WeTransfer met à jour ses CGU et se réserve le droit d’exploiter les fichiers transférés pour entraîner son IA. Un signal d’alerte pour les professionnels : finalité élargie sans consentement, perte de contrôle des données, et un rappel que l’IA n’atténue pas les obligations du RGPD.
La CNIL, avec l’ANSSI, le PEReN et le projet IPoP, lance PANAME (Privacy Auditing of AI Models) : une bibliothèque logicielle, en partie open source, pour auditer techniquement la confidentialité des modèles d’IA et leur conformité au RGPD.
Adopté en juin 2025, le Data Use and Access Act assouplit le régime britannique de protection des données (liste blanche, décisions automatisées, recherche, transferts). De quoi fragiliser le statut d’adéquation accordé par l’UE, dont l’échéance approche.
La CNIL inflige 900 000 € à Solocal Marketing Services pour démarchage sans consentement et transmission de données à des partenaires sans base légale valable. Un rappel sur la vigilance à exercer lors de l’achat de bases auprès de data brokers.
La CNIL met en consultation un référentiel encadrant le scoring de crédit automatisé : AIPD obligatoire, finalité strictement limitée, durées de conservation précises (« droit à l’oubli bancaire »), décisions explicables et contestables sous contrôle humain.
NOYB met en demeure Meta, qui entend entraîner ses IA sur les contenus publics des Européens via l’« intérêt légitime » et un simple opt-out. L’ONG dénonce une violation du RGPD et menace d’une action collective paneuropéenne, visant une injonction de suspension.
La reconnaissance faciale s’impose comme outil de surveillance, mais elle repose sur des données biométriques dont le traitement est en principe interdit par le RGPD. Base légale, AIPD, proportionnalité et risques pour les libertés fondamentales : un encadrement rigoureux s’impose.
Le tribunal judiciaire de Marseille (20 mars 2025) admet une preuve fondée sur la blockchain dans une action en contrefaçon de droits d’auteur : l’ancrage horodaté des croquis a permis d’établir l’antériorité et l’originalité des créations.
Meta annonce qu’à compter de fin mai 2025, les contenus publics des utilisateurs européens majeurs serviront à entraîner ses IA, sur la base de l’intérêt légitime et avec un droit d’opposition à exercer avant le 27 mai. Un dispositif qui interroge l’effectivité du droit à l’effacement.
Le rapport de l’EDPB « AI Privacy Risks & Mitigations – Large Language Models » (10 avril 2025) cartographie les risques de confidentialité des LLM à chaque étape de leur cycle de vie et propose des mesures techniques et organisationnelles, dans une logique de privacy by design.
La CNIL annonce ses priorités de contrôle 2025 : applications mobiles (éditeurs et SDK), cybersécurité des collectivités territoriales (en anticipation de NIS2) et traitements de l’administration pénitentiaire — soit environ un quart des contrôles de l’année.
Pas de spam, juste les analyses qui comptent : réglementation, cybersécurité, IA, retours d’expérience.