La loi indienne sur la protection des données face aux défis de l'IA : une discussion révèle des lacunes
Une discussion à huis clos en Inde sur l'IA et la vie privée a mis en lumière les défis auxquels est confrontée la nouvelle loi indienne sur la protection des données dans le contexte de l'entraînement de l'IA. Un débat clé a porté sur la propriété et les droits d'accès aux données.
Une récente discussion à huis clos en Inde, axée sur l'intelligence artificielle (IA) et la vie privée, a soulevé des questions fondamentales concernant la propriété des données personnelles et la manière dont les principes de confidentialité existants s'appliquent à l'entraînement des modèles d'IA. Le dialogue, mené selon la règle de la Chatham House, a révélé des désaccords significatifs sur la manière dont la loi indienne sur la protection des données personnelles (DPDP Act) de 2023 s'applique aux exigences de collecte et d'utilisation des données de l'IA, d'autant plus que la loi n'est pas encore pleinement appliquée.
Les participants ont noté que les exigences de l'entraînement de l'IA entrent en conflit avec les principes traditionnels de confidentialité conçus pour l'ère du Web 2.0. Des défis surgissent spécifiquement de l'extraction de données à grande échelle, de l'utilisation simultanée de plusieurs bases juridiques pour le traitement et du principe de limitation des finalités, qui restreint la réutilisation des données collectées. La loi indienne sur la protection des données personnelles offre principalement deux bases pour le traitement des données personnelles : le consentement et des "usages légitimes" spécifiques énoncés dans la loi, par contraste, par exemple, avec le RGPD de l'UE qui reconnaît six bases légales. Cette lacune pourrait poser des difficultés aux développeurs d'IA.
Les acteurs du secteur, tels que l'Internet and Mobile Association of India (IAMAI), ont déjà demandé au gouvernement d'autoriser l'utilisation des données personnelles accessibles au public pour entraîner des modèles d'IA sans consentement séparé, arguant qu'il est peu pratique de vérifier la nature publique des données à l'échelle de l'entraînement de l'IA. La discussion a également exploré si la notion de "propriété" est le bon cadre pour les données personnelles. Un point de vue suggérait que les individus ne possèdent pas leurs données de la même manière qu'ils ne possèdent pas un numéro de téléphone, mais ont plutôt le droit de contrôler leur utilisation. D'autres ont soutenu que négliger le concept de propriété risque de saper le droit fondamental de l'individu à la vie privée.
En outre, la discussion a abordé le potentiel d'entraîner l'IA sans accès direct aux données personnelles brutes, par exemple en utilisant des données pseudonymisées ou traitées localement. Il a également été envisagé si l'architecture indienne d'autonomisation et de protection des données (DEPA) pourrait être adaptée à l'entraînement de l'IA sous forme de données "tokenisées". Bien que la loi indienne sur la protection des données personnelles ait été promulguée, sa pleine mise en œuvre est toujours en attente, et on estime que les systèmes de gestion du consentement ne seront opérationnels que vers la mi-2026. Ce retard crée de l'incertitude et des défis pour l'application pratique de la législation.