Comment exercer votre droit à l'effacement sur un modèle d'IA qui a appris de vos données ? ChatGPT est-il conforme au RGPD ? Pouvez-vous refuser qu'une IA prenne des décisions sur vous ? Ces questions se posent chaque jour — dans les entreprises comme pour les citoyens. Voici l'état du droit en 2026.
Vos droits RGPD face aux systèmes d'IA
Face à un système d'IA qui traite vos données personnelles, vous disposez des droits RGPD suivants : droit d'accès (savoir quelles données sont utilisées), droit de rectification, droit à l'effacement (techniquement difficile pour les modèles entraînés), droit d'opposition, et droit de ne pas faire l'objet de décisions entièrement automatisées (article 22 RGPD).
Quand une IA traite vos données personnelles, vous conservez tous vos droits RGPD. Mais leur exercice face à un système d'IA présente des particularités — et pas des moindres.
| Droit RGPD | Application à l'IA | Difficulté d'exercice |
|---|---|---|
| Droit d'accès (art. 15) | Savoir si et comment vos données alimentent un système IA | Moyen — les réponses restent souvent vagues |
| Droit de rectification (art. 16) | Corriger des données erronées utilisées par l'IA | Difficile pour les modèles déjà entraînés |
| Droit à l'effacement (art. 17) | Supprimer vos données d'un système IA | Très difficile pour les LLM — le « désapprentissage » n'existe pas encore |
| Droit d'opposition (art. 21) | Refuser le traitement de vos données par une IA | Exercisable, mais limité selon la base légale invoquée |
| Décisions automatisées (art. 22) | Refuser une décision IA significative sans humain dans la boucle | Exercisable — c'est l'un des droits les plus forts |
Le droit à l'effacement face aux LLM : un casse-tête technique
Le « droit à l'oubli » (article 17) est peut-être le droit RGPD le plus difficile à appliquer aux grands modèles de langage.
Pourquoi c'est compliqué : quand un LLM est entraîné sur des millions de textes incluant vos données, il ne les « stocke » pas comme une base de données classique. Il ajuste des milliards de paramètres mathématiques. « Oublier » une donnée spécifique nécessiterait de réentraîner le modèle — opération qui coûte des millions d'euros et des semaines de calcul.
Ce que disent les autorités : la CNIL et le Garante italiano (qui a temporairement bloqué ChatGPT en 2023) convergent vers une approche pragmatique. L'effacement des données brutes du dataset est possible. L'effacement dans les modèles déjà entraînés ne l'est pas — techniquement. Des techniques de « machine unlearning » se développent mais ne sont pas matures.
En pratique : les DPA se concentrent sur la légalité de la collecte initiale. Si la collecte était illégale dès le départ, c'est tout le modèle qui peut être mis en cause. C'est exactement ce qui s'est passé avec ChatGPT en Italie.
Le Garante italiano a ordonné la suspension temporaire de ChatGPT en Italie en mars 2023, précisément sur des questions de base légale du traitement des données d'entraînement. OpenAI a dû prendre des engagements sur la transparence et les droits des utilisateurs pour reprendre le service.
L'article 22 RGPD : votre bouclier contre les décisions IA
L'article 22 du RGPD est l'une des armes les plus puissantes dont vous disposez face à l'IA.
Le principe : vous avez le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, quand cette décision a des effets juridiques ou vous affecte de manière significative.
Des exemples concrets : un refus de crédit entièrement automatisé, un CV écarté par un ATS sans intervention humaine, un tarif d'assurance discriminatoire calculé uniquement par algorithme, une décision d'aide sociale générée sans humain dans la boucle.
Vos droits spécifiques : obtenir une intervention humaine, exprimer votre point de vue, contester la décision, et — c'est le plus important — obtenir une explication des facteurs déterminants.
Les exceptions : l'article 22 admet trois cas où les décisions automatisées restent possibles malgré votre opposition : exécution d'un contrat, obligation légale, ou consentement explicite. Mais dans ces cas, des garanties appropriées restent obligatoires.
→ Transparence des algorithmes
L'IA générative et le RGPD : les enjeux qui n'existaient pas avant
ChatGPT, Gemini, Claude, Mistral... l'IA générative soulève des questions RGPD inédites.
Les données d'entraînement : les LLM aspirent des quantités massives de textes d'internet, incluant potentiellement vos informations personnelles. La base légale de cette collecte est contestée dans plusieurs pays européens.
La génération de données personnelles : les LLM peuvent fabriquer des textes contenant des informations sur des personnes réelles — parfois exactes, parfois inventées (« hallucinations »). Si ces textes sont publiés, c'est un traitement de données personnelles sans base légale.
Vos conversations sont des données : quand vous utilisez ChatGPT, vos échanges sont des données personnelles. Leur utilisation pour améliorer le modèle nécessite une base légale — d'où l'option « ne pas entraîner sur mes données » proposée par OpenAI.
Ce que font les fournisseurs : OpenAI propose la désactivation de l'historique, un formulaire de déréférencement, une politique de non-utilisation des données API pour l'entraînement, et un contrat DPA pour les utilisateurs professionnels.
- Vérifiez la politique de rétention des données de votre LLM
- Activez l'option « ne pas utiliser mes données pour l'entraînement » si elle existe
- Ne partagez jamais de données personnelles sensibles dans vos prompts
- Pour un usage professionnel : utilisez l'API avec un contrat DPA signé
- Documentez vos traitements IA dans votre registre RGPD
Ce que dit la CNIL en 2026
La CNIL a pris des positions structurantes sur l'IA et le RGPD. Voici celles qui comptent.
Base légale pour l'entraînement : l'intérêt légitime peut être valide pour entraîner sur des données publiques, sous conditions — collecte prévisible pour les personnes, mesures de protection en place (pseudonymisation, filtrage des données sensibles).
Droit à l'effacement : les responsables de traitement doivent mettre en place des processus de réponse. Au minimum, s'engager à ne plus utiliser les données pour les futurs entraînements.
Chatbots et agents IA : les fournisseurs doivent informer les utilisateurs du traitement de leurs données, fournir une politique de confidentialité claire, et respecter l'article 22 si le chatbot prend des décisions significatives.
Au niveau européen : la CNIL participe activement aux travaux du Comité européen de la protection des données (EDPB) sur les IA génératives. Des lignes directrices harmonisées sont attendues.
→ RGPD et IA - articulation complète
FAQ : IA et RGPD en pratique
Conclusion
L'IA et le RGPD s'apprivoisent mutuellement. Les positions des autorités de protection des données se clarifient, mais des zones grises persistent — notamment sur le droit à l'effacement pour les LLM. Pour vous, la prudence consiste à documenter les bases légales de chaque traitement IA, à répondre sérieusement aux demandes de droits, et à suivre l'évolution rapide des positions réglementaires.
Questions fréquentes
Oui, via le formulaire de demande de droits d'OpenAI. Vous pouvez demander l'effacement de vos données et supprimer votre historique de conversations. Pour les données d'entraînement, la réponse est plus nuancée et dépend de l'évolution des positions réglementaires.
Avec précaution. Pour un usage professionnel impliquant des données personnelles clients, utilisez l'API d'OpenAI avec un contrat DPA signé. L'interface web standard sans DPA n'est pas recommandée pour traiter des données clients.
Sous conditions strictes. L'article 22 RGPD interdit les décisions entièrement automatisées avec effets significatifs sans garanties. La banque doit proposer une voie de contestation avec intervention humaine et expliquer les facteurs ayant conduit au refus.
Exercez votre droit de rectification (art. 16 RGPD) auprès du responsable de traitement. Les fournisseurs de LLM proposent des formulaires de signalement. Si le responsable ne répond pas, saisissez la CNIL.
Le RGPD s'applique pleinement à l'IA générative. Les fournisseurs doivent avoir une base légale pour les données d'entraînement, respecter les droits des personnes (accès, effacement, opposition), et signer des contrats DPA avec les entreprises utilisant leur API professionnellement.