RGPD et IA dans un organisme de formation : quelles données peut-on utiliser ?
L’intelligence artificielle peut aider les organismes de formation à créer des supports, préparer des exercices, analyser des documents ou personnaliser certains contenus.
Mais ces usages peuvent également impliquer des données personnelles : nom d’un apprenant, copie, niveau, résultats, adresse email, situation professionnelle ou informations liées à un handicap.
Avant de copier une information dans un outil d’IA, il est donc essentiel de se poser une question simple :
Cette donnée peut-elle être transmise à cet outil, dans ce contexte et pour cet usage précis ?
Le RGPD ne bloque pas l’utilisation de l’intelligence artificielle. Il impose en revanche de définir un cadre clair, de limiter les données utilisées et de protéger les personnes concernées. La CNIL rappelle notamment qu’un traitement utilisant des données personnelles doit avoir une finalité déterminée, légitime et explicite.
Qu’est-ce qu’une donnée personnelle ?
Une donnée personnelle est une information qui permet d’identifier directement ou indirectement une personne.
Dans un organisme de formation, il peut s’agir notamment :
- du nom et du prénom d’un apprenant ;
- de son adresse email ;
- de son numéro de téléphone ;
- de son identifiant de formation ;
- de son entreprise ;
- de son parcours professionnel ;
- de ses résultats ;
- de ses appréciations ;
- de ses travaux ou productions ;
- de ses échanges avec un formateur ;
- de sa présence ou de ses absences ;
- de données relatives à sa santé ou à son handicap.
Une donnée n’a pas besoin d’être très sensible pour être protégée. Un simple document contenant le nom d’un participant et son évaluation constitue déjà un document contenant des données personnelles.
Il faut également distinguer les données personnelles des informations confidentielles. Un programme de formation ou une procédure interne peut ne pas contenir de données personnelles, mais rester confidentiel pour l’organisme ou pour son client.
Les principaux usages de l’IA dans un organisme de formation
Les équipes peuvent utiliser l’IA pour :
- créer une première version d’un support ;
- reformuler un contenu ;
- produire un quiz ;
- imaginer une mise en situation ;
- adapter un texte à différents niveaux ;
- résumer un document ;
- préparer un compte rendu ;
- générer des exemples ;
- analyser les retours des participants ;
- personnaliser une activité pédagogique.
Ces usages ne présentent pas tous le même niveau de risque.
Par exemple, demander à un outil de proposer dix idées de mises en situation sur la relation client ne nécessite pas de transmettre de données personnelles.
En revanche, lui demander d’analyser les copies nominatives d’un groupe ou de résumer des échanges individuels avec des apprenants soulève des questions plus importantes.
Peut-on utiliser une donnée personnelle avec une IA ?
Il n’existe pas une réponse unique pour tous les outils et tous les usages. Avant d’utiliser une donnée personnelle, l’organisme doit notamment vérifier :
- la finalité de l’utilisation ;
- la nature des données concernées ;
- le niveau de sensibilité ;
- l’outil utilisé ;
- les conditions de traitement des données ;
- les personnes qui pourront accéder au résultat ;
- la durée de conservation ;
- les mesures de sécurité ;
- la base légale applicable ;
- l’information des personnes concernées.
La CNIL rappelle que le choix de la base légale doit intervenir avant la mise en œuvre du traitement. Elle indique également que les données utilisées doivent être pertinentes au regard de la finalité poursuivie.
Pour les usages courants des formateurs, la règle la plus prudente consiste à ne transmettre que les informations strictement nécessaires, après les avoir anonymisées lorsque cela est possible.
Les données à ne pas transmettre directement
Certaines données ne devraient pas être copiées dans un outil d’IA grand public sans analyse préalable, validation et mesures de protection adaptées.
Il peut s’agir :
- de copies nominatives ;
- de résultats individuels ;
- de données de santé ;
- d’informations sur un handicap ou une situation personnelle ;
- de difficultés sociales ou professionnelles ;
- de documents transmis par une entreprise cliente ;
- de contrats ou de conventions ;
- de comptes rendus d’entretiens ;
- d’informations disciplinaires ;
- de fichiers contenant des coordonnées complètes ;
- de documents comportant des identifiants ou des accès.
Les données relatives à la santé ou au handicap nécessitent une vigilance particulière, car elles peuvent relever de catégories de données sensibles.
Même lorsqu’un outil semble fiable, il ne faut pas considérer qu’une donnée devient automatiquement protégée dès qu’elle est saisie dans une interface. Il faut vérifier les conditions proposées par l’outil et les règles définies par l’organisme.
Anonymiser avant d’utiliser un outil d’IA
Lorsque cela est possible, il est préférable de retirer les informations permettant d’identifier une personne avant de transmettre un contenu.
Par exemple, au lieu de saisir :
Analyse la copie de Julie Martin, salariée de l’entreprise X, qui a obtenu 12 sur 20 à l’évaluation.
il est préférable d’utiliser une version anonymisée :
Analyse cette production d’un apprenant ayant obtenu 12 sur 20. Identifie les points maîtrisés, les difficultés et les pistes de progression.
L’anonymisation peut consister à supprimer :
- les noms et prénoms ;
- les adresses email ;
- les noms d’entreprise ;
- les numéros de dossier ;
- les lieux trop précis ;
- les informations permettant de reconnaître indirectement une personne.
Il faut toutefois vérifier que les informations restantes ne permettent pas de réidentifier l’apprenant. Remplacer un nom par un prénom fictif ne suffit pas toujours si le reste du contexte reste très précis.
Utiliser l’IA pour corriger ou analyser les productions des apprenants
L’analyse de copies ou de travaux d’apprenants est un cas d’usage particulièrement sensible.
L’IA peut aider à :
- repérer des erreurs fréquentes ;
- proposer une première grille de lecture ;
- suggérer des axes de feedback ;
- identifier des notions qui semblent mal comprises ;
- préparer des exercices de remédiation.
Mais elle ne devrait pas être utilisée pour attribuer seule une note ou prendre une décision importante concernant un apprenant.
Une validation humaine est nécessaire pour :
- vérifier la pertinence de l’analyse ;
- corriger les erreurs de l’outil ;
- tenir compte du contexte de l’apprenant ;
- formuler un retour adapté ;
- prendre la décision finale.
La CNIL rappelle que les décisions produisant des effets importants pour une personne ne doivent pas reposer uniquement sur un traitement automatisé sans garanties et intervention humaine appropriées.
Informer les personnes concernées
Lorsque des données personnelles sont utilisées dans le cadre d’un traitement lié à l’IA, les personnes concernées doivent pouvoir comprendre ce qui est fait de leurs données.
Selon le contexte, l’information peut notamment porter sur :
- l’identité du responsable du traitement ;
- la finalité de l’utilisation ;
- les données concernées ;
- les destinataires ;
- la durée de conservation ;
- les droits des personnes ;
- la possibilité de contacter l’organisme.
La CNIL recommande une information claire, compréhensible et facilement accessible. Elle préconise également de présenter les informations essentielles en premier niveau, avec un accès possible à des informations complémentaires.
Pour un organisme de formation, cette information peut être intégrée :
- dans les documents d’inscription ;
- dans le règlement intérieur ;
- dans les supports remis aux apprenants ;
- dans une notice d’information ;
- dans la charte d’utilisation de l’IA ;
- dans les conditions générales de formation.
Les bons réflexes à transmettre aux équipes
Une politique RGPD et IA doit être suffisamment simple pour être appliquée au quotidien.
Avant de transmettre une donnée à un outil, les équipes peuvent se poser cinq questions :
- Cette donnée permet-elle d’identifier une personne ?
- Est-elle réellement nécessaire pour obtenir le résultat souhaité ?
- Puis-je la supprimer ou l’anonymiser ?
- L’outil est-il autorisé par l’organisme ?
- Une personne compétente vérifiera-t-elle le résultat ?
Si la réponse à l’une de ces questions est incertaine, il est préférable de ne pas utiliser la donnée immédiatement et de demander conseil au référent désigné par l’organisme.
Mettre en place des outils et des comptes adaptés
L’organisme doit également réfléchir aux outils utilisés par ses équipes.
Il peut être utile de définir :
- une liste d’outils autorisés ;
- les usages associés à chaque outil ;
- des règles de création et de gestion des comptes ;
- des niveaux d’accès ;
- des consignes de sécurité ;
- les modalités de suppression des données ;
- une procédure en cas d’erreur ou de fuite d’information.
Les outils gratuits ou grand public ne sont pas nécessairement adaptés à tous les usages professionnels. L’organisme doit examiner leurs conditions d’utilisation et choisir une solution cohérente avec la nature des données traitées.
Les erreurs fréquentes à éviter
Copier un document complet sans le relire
Un document peut contenir des informations personnelles qui ne sont pas nécessaires à la demande formulée à l’IA.
Penser que l’IA garantit la confidentialité
Le simple fait d’utiliser un outil reconnu ne suffit pas à garantir que toutes les données peuvent y être transmises.
Utiliser les résultats sans validation
Une réponse générée peut contenir une erreur, une information sensible ou une interprétation inadaptée.
Laisser chaque formateur définir ses propres règles
Des pratiques différentes peuvent créer de la confusion et augmenter les risques.
Se limiter à une consigne générale
Une phrase comme « respecter le RGPD » ne permet pas toujours de savoir quoi faire concrètement. Les équipes ont besoin d’exemples adaptés à leurs situations de travail.
Construire une démarche simple en quatre étapes
1. Recenser les usages existants
Interrogez les équipes sur les outils déjà utilisés et les informations qu’elles y saisissent.
2. Classer les usages par niveau de risque
Séparez les usages sans données personnelles, les usages nécessitant une anonymisation et les usages soumis à validation.
3. Définir des règles communes
Formalisez les outils autorisés, les données interdites, les règles de vérification et les responsabilités de chacun.
4. Former les équipes
Une règle est plus facilement appliquée lorsqu’elle est expliquée à partir de cas concrets. Les formateurs doivent apprendre à anonymiser les documents, à repérer les données sensibles et à vérifier les réponses produites par l’IA.
Conclusion
L’utilisation de l’intelligence artificielle dans un organisme de formation est compatible avec une démarche de protection des données, à condition de ne pas traiter la question du RGPD comme une formalité.
Les équipes doivent savoir quelles données elles peuvent utiliser, quelles informations elles doivent supprimer ou anonymiser et dans quels cas une validation est nécessaire.
L’organisme doit également définir un cadre commun, choisir des outils adaptés, informer les personnes concernées et conserver une intervention humaine dans les décisions importantes.
La CNIL met à disposition des recommandations et des fiches pratiques pour aider les organisations à appliquer les principes du RGPD aux projets d’intelligence artificielle.
Vous souhaitez former vos équipes aux bons usages de l’IA ?
Vous souhaitez aider vos équipes à intégrer l’IA dans leurs pratiques tout en protégeant les données de vos apprenants et de vos clients ?
Prenez rendez-vous pour construire une formation sur mesure pour intégrer l’IA dans votre OF.
