IA, œuvres, images, bases de données et secrets : ce qui peut être utilisé

L’article L122-4 du CPI ↗(ouvre un nouvel onglet) interdit toute représentation ou reproduction intégrale ou partielle sans le consentement de l’auteur ou de ses ayants droit. L’article L335-3 qualifie notamment de contrefaçon la reproduction, la représentation ou la diffusion d’une œuvre en violation des droits.

Un agent peut traiter :

• un contenu du domaine public, sous réserve des droits moraux et des autres droits ;
• un contenu sous licence compatible avec l’usage ;
• un contenu appartenant à l’entreprise, dans le périmètre de ses droits ;
• un contenu couvert par une exception légale dont toutes les conditions sont réunies ;
• une information ou une idée non protégée comme telle, sans reprendre l’expression originale.

Il ne doit pas reproduire de longs passages simplement parce qu’ils sont accessibles en ligne, ni contourner un paywall, ni attribuer au client des droits que le fournisseur du corpus n’a pas accordés.

L’article L122-5-3 du code de la propriété intellectuelle ↗(ouvre un nouvel onglet) définit la fouille de textes et de données comme une technique automatisée d’analyse de textes et données sous forme numérique afin d’en dégager des informations, notamment des constantes, tendances et corrélations.

Deux régimes existent :

• recherche scientifique, pour certains organismes de recherche et institutions du patrimoine culturel ayant un accès licite, avec conservation sécurisée ;
• fouille générale, pour toute personne ayant un accès licite, sauf si le titulaire a réservé ses droits de manière appropriée — notamment par des procédés lisibles par machine pour les contenus en ligne.

Les articles L342-2 et L342-3 du code de la propriété intellectuelle ↗(ouvre un nouvel onglet) articulent ces exceptions avec le droit des bases de données.

L’article L342-1 permet au producteur d’interdire l’extraction ou la réutilisation de la totalité ou d’une partie qualitativement ou quantitativement substantielle de la base. L’article L342-2 du code de la propriété intellectuelle ↗(ouvre un nouvel onglet) protège également contre certaines extractions ou réutilisations répétées et systématiques de parties non substantielles qui excèdent manifestement l’utilisation normale.

L’article 9 du code civil ↗(ouvre un nouvel onglet) protège le respect de la vie privée. La diffusion de l’image d’une personne identifiable appelle en principe son autorisation, avec des équilibres liés notamment à l’information légitime du public, au lieu, à l’événement et à la dignité. L’image peut aussi être une donnée personnelle ; une reconnaissance faciale peut relever des données biométriques sensibles.

L’article L151-1 du code de commerce ↗(ouvre un nouvel onglet) protège l’information qui n’est pas généralement connue ou aisément accessible, qui revêt une valeur commerciale parce qu’elle est secrète et qui fait l’objet de mesures de protection raisonnables.

L’article L151-3 du code de commerce ↗(ouvre un nouvel onglet) reconnaît notamment comme licites la découverte ou création indépendante, ainsi que l’observation, l’étude, le démontage ou le test d’un produit mis à la disposition du public ou détenu licitement, sauf stipulation contractuelle contraire. Les articles L151-4 et L151-5 définissent l’obtention, l’utilisation et la divulgation illicites. Les articles L151-7 et L151-8 prévoient des exceptions, notamment pour l’exercice de pouvoirs légaux, la liberté d’expression et d’information et le signalement de certaines fautes ou activités illégales.

Pour un agent connecté à des espaces internes :

• cloisonner les clients, projets et habilitations ;
• empêcher qu’une information d’un client apparaisse dans la réponse d’un autre ;
• identifier les documents confidentiels et leurs règles de diffusion ;
• respecter les clauses d’accès et de non-divulgation ;
• ne pas indexer automatiquement tous les dossiers partagés ;
• retirer les secrets des journaux et jeux de test.

L’article 53 de l’AI Act ↗(ouvre un nouvel onglet) impose aux fournisseurs de modèles d’IA à usage général de mettre en place une politique pour respecter le droit d’auteur de l’Union, notamment afin d’identifier et respecter les réserves de droits exprimées conformément à l’article 4, paragraphe 3, de la directive 2019/790, et de publier un résumé suffisamment détaillé des contenus utilisés pour l’entraînement selon le modèle du Bureau de l’IA.

Ces obligations incombent au fournisseur du modèle. Elles ne dispensent pas le déployeur de vérifier ses propres corpus, connecteurs, sorties et droits d’utilisation.