Développement de l’IA : l’intérêt légitime comme base légale du traitement des données

https://cnil.fr/fr/recommandations-developpement-ia-interet-legitime

Dans sa publication du 19 juin 2025 et dans le prolongement de l’avis adopté par le CEPD en décembre 2024, la CNIL précise la notion d’intérêt légitime comme base légale possible pour le développement des systèmes d’IA.

Le développement des systèmes d’IA ne nécessite pas systématiquement le consentement des personnes, la notion d’intérêt légitime pouvant constituer une base légale appropriée sous réserve de la mise en œuvre de garanties renforcées.

Trois conditions cumulatives sont rappelées pour que les acteurs privés puissent se fonder sur l’intérêt légitime :

• L’intérêt poursuivi doit être légitime, c’est-à-dire licite et défini de manière précise et réelle ;
• Le recours aux données à caractère personnel doit être nécessaire à la réalisation de l’objectif poursuivi, en ce qu’il n’est pas possible d’y parvenir au moyen de données anonymisées ou non personnelles
• Le traitement ne doit pas porter une atteinte disproportionnée aux droits et libertés des personnes concernées, ce qui suppose une analyse tenant compte de la nature des données traitées, la finalité poursuivie ainsi que les garanties mises en œuvre.

Les garanties concrètes que les responsables de traitement peuvent adopter peuvent notamment être la pseudonymisation ou l’anonymisation, la limitation des accès aux données, l’exclusion de certaines catégories de données de la collecte, l’information renforcée des personnes concernées, la facilitation de l’exercice des droits, la mise en œuvre d’un droit d’opposition effectif, ainsi que la réalisation d’analyses d’impact lorsque les traitements présentent des risques élevés pour les droits et libertés.

A titre d’exemple, la réutilisation des conversations des utilisateurs d’un agent conversationnel pour l’amélioration du modèle d’IA peut se fonder sur l’intérêt légitime à condition de mettre en place certaines garanties fortes : information des personnes, droit d’opposition discrétionnaire, limitation du traitement à certaines données pseudonymisées/anonymisées, etc.

L’article Développement de l’IA : l’intérêt légitime comme base légale du traitement des données est apparu en premier sur Olivier Ledru Avocat.

Com. 14 mai 2025, FS-B, n° 23-17.948

A la suite du rachat de l’intégralité des parts sociales d’une société exerçant une activité de restauration rapide, l’acquéreur reprochait à son cédant la dissimulation intentionnelle d’une information qu’il considérait comme déterminante de son consentement (en l’espèce, une disposition du règlement de copropriété s’opposant à l’installation d’un système d’extraction de fumée).

La demande indemnitaire de l’acquéreur est écartée par la Cour d’appel et la Cour de cassation rejette ici le pourvoi de l’acquéreur.

L’article 1112-1 du code civil pose le principe du devoir d’information précontractuel dans les termes suivants : « Celle des parties qui connaît une information dont l’importance est déterminante pour le consentement de l’autre doit l’en informer dès lors que, légitimement, cette dernière ignore cette information ou fait confiance à son cocontractant. »

Dans cet arrêt la Cour de cassation précise l’étendue de ce devoir d’information précontractuelle qui se limite aux « informations qui ont un lien direct et nécessaire avec le contenu du contrat ou la qualité des parties, et dont l’importance est déterminante pour le consentement de l’autre partie ».

Le devoir d’information ne porte donc pas sur toute information ayant un lien direct avec le contenu du contrat, mais uniquement sur celles de ces informations qui sont déterminantes pour le consentement.

L’article Sur les limites de l’obligation d’information précontractuelle est apparu en premier sur Olivier Ledru Avocat.