Les lois sur la protection de la vie privée donnent aux utilisateurs certains droits sur leurs données, mais aucune juridiction ne leur a accordé la propriété réelle de celles-ci.
Thomas Trutschel / Getty Images
"Si vous garez votre voiture dans un parking, le parking ne possède pas votre voiture", a déclaré Anna Kazlauskas, PDG de Vana. décrire la relation entre les utilisateurs et les plateformes de données qui stockent sur eux. L'analogie est intuitive. La réalité juridique est plus compliquée.
Aucune juridiction sur Terre n'accorde aux individus des droits de propriété sur leurs données personnelles. Ce qui existe à la place est un patchwork de règlements de confidentialité, de doctrines de propriété intellectuelle et de termes de contrat qui donnent à différentes parties des revendications différentes sur les mêmes informations. La question de savoir qui possède les données a été débattue pendant plus de deux décennies. La montée de l'IA, qui nécessite d'énormes quantités de données personnelles pour l'entraînement, l'a rendue urgente.
Le premier cadre juridique majeur régissant les données personnelles en ligne était celui de l'UE la directive ePrivacy, adoptée en 2002 et modifiée en 2009, qui est devenue connue sous le nom de "loi sur les cookies". La directive originale de 2002 autorisait les cookies avec un simple mécanisme de désinscription, traitant les paramètres du navigateur comme une protection suffisante. Le amendement de 2009 a changé la norme de l'opt-out à l'opt-in. L'article 5(3) de la directive amendée stipulait que le stockage d'informations sur l'appareil d'un utilisateur n'était autorisé que « à condition que l'abonné ou l'utilisateur concerné ait donné son consentement. » Ce changement unique a déclenché la vague de bannières de consentement aux cookies qui apparaissent maintenant sur les sites Web du monde entier.
La loi sur les cookies a établi un principe qui a façonné chaque règlement ultérieur : les utilisateurs doivent être informés des données collectées et avoir un mécanisme pour les contrôler. Mais le consentement n'est pas la propriété. Dire à un propriétaire ce que vous comptez faire dans un appartement ne fait pas du locataire le propriétaire du bâtiment.
Le Règlement général sur la protection des données (RGPD) de l'UE, entré en vigueur en 2018, est le cadre le plus cité dans les débats sur la propriété des données. Le RGPD stipule dans le considérant 7 que « les personnes physiques devraient avoir le contrôle de leurs propres données personnelles. » Il accorde aux sujets des données un ensemble de droits : accès, rectification, effacement, portabilité et le droit de s'opposer au traitement.
Ces droits ressemblent à la propriété. Ils ne le sont pas. Les règlements du RGPD n'accordent aucun droit de propriété sur les données, selon une analyse du cabinet d'avocats Clifford Chance. Les droits découlant du RGPD n'incluent pas le droit exclusif de posséder des données personnelles. Le RGPD traite uniquement du droit de "protéger" les données, garantissant au sujet des données la possibilité de contrôler les données, mais ne réglementant pas la propriété. Le droit à la protection des données ne confère pas non plus un droit exclusif de récolter les bénéfices de cet élément, comme c'est typique des droits de propriété. Les données peuvent être utilisées commercialement par des entités autres que le sujet des données, sans que celui-ci n'en bénéficie.
A Rapport 2024 de l'Office des publications de la Commission européenne a rendu cet écart explicite. Le Comité européen de la protection des données a déclaré que "les données personnelles ne peuvent être considérées comme une 'marchandise'" et que "même si la personne concernée peut accepter le traitement de ses données personnelles, elle ne peut renoncer à ses droits fondamentaux."
Cette distinction a de réelles conséquences pour l'IA. L'article 20 du RGPD permet aux individus de recevoir leurs données personnelles dans un format lisible par machine et de les transmettre à un autre responsable du traitement, mais il ne s'applique qu'aux données fournies par la personne concernée, et non aux données dérivées ou inférées, selon une analyse du droit à la portabilité. Lorsque Instagram construit un profil psychologique étiquetant un utilisateur comme susceptible de souffrir de dépression, cette inférence appartient à la catégorie des données que l'utilisateur ne peut pas transférer.
La California Consumer Privacy Act, promulguée en 2018 et entrée en vigueur le 1er janvier 2020, a adopté une approche différente du RGPD. Plutôt que de considérer les données comme un droit fondamental, elle les a encadrées comme une question de protection des consommateurs. Elle accorde aux consommateurs californiens le droit de savoir quelles informations personnelles les entreprises collectent à leur sujet, comment les données sont utilisées et avec qui elles sont partagées, ainsi que le droit de demander la suppression et de se retirer des ventes.
La Californie a été le premier État à adopter une loi sur la confidentialité des données accordant aux résidents la propriété de leurs informations personnelles, selon la société de conformité Osano. Mais même cette caractérisation masque les limites. Le CCPA ne crée pas un droit de propriété que les utilisateurs peuvent appliquer comme ils le feraient pour la possession d'une maison ou d'une voiture. Il crée des obligations de divulgation et de suppression pour les entreprises.
Les États-Unis n'ont pas de loi fédérale complète sur la confidentialité des données. Dix-neuf États ont maintenant des lois complètes sur la confidentialité des consommateurs en vigueur au début de 2026, couvrant plus de la moitié de la population américaine, selon la société de conformité en matière de confidentialité Secure Privacy. Chacune crée des droits des consommateurs légèrement différents. Aucune n'établit la propriété des données en tant que droit de propriété.
Le problème s'aggrave. Les entreprises qui collectent des données brutes d'utilisateurs les transforment en inférences, prédictions et profils. Que les utilisateurs aient une réclamation sur ces dérivés est contesté. Aux États-Unis, les créateurs de données inférées soutiennent souvent qu'il s'agit d'un secret commercial, la propriété restant à l'entité qui prend des mesures pour la protéger, selon un Analyse de l'American Bar Association.
L'UE ajoute de nouvelles couches. AI Act, le premier cadre juridique complet sur l'IA dans le monde, est entré en vigueur en août 2024. Il oblige les fournisseurs de modèles d'IA à usage général à publier des résumés des données d'entraînement, à se conformer au droit d'auteur de l'UE et à partager des informations avec les régulateurs. L'article 53(1)(d) exige des fournisseurs qu'ils publient un "résumé suffisamment détaillé" du contenu de formation. En décembre 2024, le Comité européen de la protection des données a adopté Avis 28/2024, examinant quand les modèles d'IA peuvent être considérés anonymes, si des intérêts légitimes justifient l'utilisation de données personnelles pour l'entraînement, et ce qui se passe lorsqu'un modèle est développé avec des données traitées illégalement.
Pendant ce temps, le Data Act de l'UE, qui est entré en vigueur en janvier 2024 et est entré en application en septembre 2025, se rapproche du principe de propriété dans un domaine. Il donne aux utilisateurs d'appareils connectés un plus grand contrôle sur les données générées par leurs produits, comme les voitures, les téléviseurs intelligents et les machines industrielles. Mais même ici, les données hautement enrichies, telles que les données inférées ou dérivées générées par des algorithmes, ne sont pas prises en compte, selon le FAQs de la Commission européenne.
La machine de mise en application se développe. Les amendes RGPD ont totalisé environ 1,2 milliard d'euros en 2024. Le total cumulé depuis 2018 s'élève maintenant à 5,88 milliards d'euros, selon le Rapport DLA Piper sur les Amendes RGPD et les Violations de Données. Mais ces amendes punissent la mauvaise gestion des données. Elles n'établissent pas que les utilisateurs en sont propriétaires.
L'analogie du parking capture ce que beaucoup de gens estiment être vrai. La loi, jusqu'à présent, a refusé de le faire. Les utilisateurs ont des droits croissants pour connaître, accéder et supprimer leurs données. Ils n'ont pas le droit de les vendre, de les licencier ou de contrôler qui profite des inférences tirées de celles-ci. Pour les entreprises construisant des marchés autour des données fournies par les utilisateurs pour la formation de l'IA, cet écart légal est à la fois une opportunité et un risque.
Rejoignez plus de 500 000 lecteurs qui commencent leur journée avec Quartz.
En vous abonnant, vous acceptez nos Conditions d'utilisation et notre Politique de confidentialité.
