« Développer un modèle d'IA générative » est-il une finalité suffisante ?

Non. La CNIL cite cette formule comme insuffisamment précise : les capacités envisageables du système n'y sont pas définies.

Développement et déploiement ont-ils la même finalité ?

Quand l'usage est connu dès le départ, la finalité de déploiement éclaire celle du développement. Mais ce restent deux traitements distincts, à analyser chacun (base légale, information, conservation).

Finalité d'un système d'IA : ce que demande la CNIL

La finalité est la raison pour laquelle vous traitez des données personnelles. Pour un projet d'IA, elle doit être, comme pour tout traitement, déterminée, explicite et légitime, selon le RGPD (règlement général sur la protection des données). La difficulté propre à l'IA : on ne connaît pas toujours, au moment d'entraîner, tous les usages futurs du modèle. La CNIL (Commission nationale de l'informatique et des libertés) traite ce cas dans sa fiche « Définir une finalité » du 08/04/2024.

Tout le reste dépend de cette phrase : la base légale, les données qu'on a le droit de collecter (minimisation), la durée de conservation, l'information des personnes. Une finalité floue rend chacun de ces points impossible à justifier.

Premier cas : l'usage est connu dès le développement

Vous entraînez un modèle pour un usage précis : trier des courriels entrants, détecter des défauts sur une ligne de production, répondre aux questions d'un service client. Si la finalité de déploiement est déterminée, explicite et légitime, celle du développement l'est aussi.

La CNIL rappelle toutefois que développement et déploiement « consistent tout de même en des traitements distincts ». Concrètement, documentez pour chacun :

Point	Développement	Déploiement
Base légale	Souvent l'intérêt légitime	Selon l'usage (contrat, obligation légale, intérêt légitime…)
Données	Jeu d'entraînement, d'évaluation	Données soumises au système en service
Conservation	Durée de constitution, d'entraînement, de test	Durée liée à l'usage
Information	Personnes dont les données servent à entraîner	Personnes concernées par l'usage

Un même système peut servir plusieurs usages définis dès le départ, donc plusieurs finalités.

Second cas : le système à usage général

Pour un modèle de fondation ou un système dont l'usage final n'est pas fixé, la CNIL juge la finalité assez précise si elle désigne cumulativement deux éléments :

le type de système : grand modèle de langage, vision par ordinateur, génération d'images, de vidéos ou de sons, décrit de façon compréhensible pour les personnes ;
les fonctionnalités et capacités techniquement envisageables : la liste de ce que l'on peut raisonnablement prévoir dès le développement.

Exemples donnés par la CNIL

Formulation	Verdict	Pourquoi
Un grand modèle de langage capable de répondre à des questions, générer du texte, traduire, résumer ou classer des textes	Suffisante	Type et capacités sont nommés
Un modèle de reconnaissance vocale capable d'identifier un locuteur, sa langue, son âge ou son genre	Suffisante	Idem
Un modèle de vision par ordinateur détectant véhicules, piétons ou mobilier urbain	Suffisante	Idem
« Développement d'un modèle d'IA générative »	Insuffisante	Capacités non définies
« Développement et amélioration d'un système d'IA »	Insuffisante	Ni type ni capacités
Un modèle permettant d'identifier l'âge d'une personne	Insuffisante	Le type de système n'est pas défini

Les bonnes pratiques en plus

La CNIL recommande, sans en faire une obligation :

de citer les capacités prévisibles les plus à risque, qui nourriront l'analyse d'impact ;
de citer les fonctionnalités exclues par conception (un modèle limité aux textes courts, un classifieur limité à certaines classes) ;
de préciser les conditions d'utilisation : diffusion en source ouverte, commercialisation, service en ligne.

Le développeur devrait aussi rappeler à ses utilisateurs qu'ils doivent, eux, définir précisément la finalité de leur propre déploiement.

Le cas de la recherche scientifique

La recherche peut définir son objectif avec moins de précision au départ, puis l'affiner. Elle bénéficie aussi de dérogations (droits des personnes, durées de conservation, certaines données sensibles). La CNIL présume le caractère de recherche pour une université, un centre de recherche public ou un projet financé par l'Agence nationale de la recherche. Dans les autres cas, notamment la recherche privée non financée sur fonds publics, cinq critères cumulatifs doivent en principe être réunis : nouveauté, créativité, incertitude, systématicité, transférabilité ou reproductibilité.

Pour écrire votre finalité

Prenons, à titre d'illustration, une petite entreprise industrielle qui veut affiner un modèle de langage sur ses fiches techniques et ses échanges avec les clients. Une formulation utilisable nomme le type de système (un modèle de langage affiné), ses capacités (répondre aux questions techniques des clients, résumer un historique d'échanges), les usages exclus (aucune décision sur un contrat, aucune évaluation des personnes) et le cadre d'utilisation (usage interne). Cette phrase servira ensuite à vérifier l'intérêt légitime et à trier les données à garder.

Ce guide reprend les recommandations de la CNIL ; il ne remplace pas l'analyse de votre délégué à la protection des données.