Développement de l’IA : l’intérêt légitime comme base légale du traitement des données

https://cnil.fr/fr/recommandations-developpement-ia-interet-legitime

Dans sa publication du 19 juin 2025 et dans le prolongement de l’avis adopté par le CEPD en décembre 2024, la CNIL précise la notion d’intérêt légitime comme base légale possible pour le développement des systèmes d’IA.

Le développement des systèmes d’IA ne nécessite pas systématiquement le consentement des personnes, la notion d’intérêt légitime pouvant constituer une base légale appropriée sous réserve de la mise en œuvre de garanties renforcées.

Trois conditions cumulatives sont rappelées pour que les acteurs privés puissent se fonder sur l’intérêt légitime :

• L’intérêt poursuivi doit être légitime, c’est-à-dire licite et défini de manière précise et réelle ;
• Le recours aux données à caractère personnel doit être nécessaire à la réalisation de l’objectif poursuivi, en ce qu’il n’est pas possible d’y parvenir au moyen de données anonymisées ou non personnelles
• Le traitement ne doit pas porter une atteinte disproportionnée aux droits et libertés des personnes concernées, ce qui suppose une analyse tenant compte de la nature des données traitées, la finalité poursuivie ainsi que les garanties mises en œuvre.

Les garanties concrètes que les responsables de traitement peuvent adopter peuvent notamment être la pseudonymisation ou l’anonymisation, la limitation des accès aux données, l’exclusion de certaines catégories de données de la collecte, l’information renforcée des personnes concernées, la facilitation de l’exercice des droits, la mise en œuvre d’un droit d’opposition effectif, ainsi que la réalisation d’analyses d’impact lorsque les traitements présentent des risques élevés pour les droits et libertés.

A titre d’exemple, la réutilisation des conversations des utilisateurs d’un agent conversationnel pour l’amélioration du modèle d’IA peut se fonder sur l’intérêt légitime à condition de mettre en place certaines garanties fortes : information des personnes, droit d’opposition discrétionnaire, limitation du traitement à certaines données pseudonymisées/anonymisées, etc.