Quatre ans après son Bac à sable consacré aux EdTech, la CNIL fait évoluer son dispositif d’accompagnement. Les entreprises du numérique éducatif peuvent aujourd’hui solliciter la Commission par d’autres voies. Les explications de Marjorie Menapace, adjointe au chef du service des délégués et de l’accompagnement et d’Elodie Weil, juriste au service des affaires régaliennes et des libertés publiques de la CNIL.
Quel bilan tirez-vous du dispositif « Bac à sable » consacré aux EdTech en 2022 ?
Marjorie Menapace : Dans le cadre de ce Bac à sable, nous avions identifié des axes de travail prioritaires pour chaque porteur de projet, en fonction des sujets sur lesquels il avait besoin d’une sécurité juridique. L’objectif était de permettre à ces acteurs de se positionner sur le marché avec une solution éducative conforme à la réglementation. À l’issue des travaux, chaque porteur de projet a reçu une synthèse de nos recommandations. Nous avons également publié un bilan des travaux menés avec les projets qui sont allés au terme de l’accompagnement, afin que les enseignements puissent bénéficier à l’ensemble du secteur. Les recommandations étaient très concrètes.
Pourquoi ce dispositif d’accompagnement n’a-t-il pas été reconduit ?
MM : Le principe du bac à sable est de lancer une édition chaque année en choisissant une thématique particulière. Après les EdTech, nous avons ainsi travaillé sur l’intelligence artificielle dans les services publics, puis sur la silver économie. La prochaine thématique est en cours de réflexion. Cela ne signifie pas que la CNIL a cessé d’accompagner les EdTech : elles peuvent toujours nous solliciter, notamment lorsqu’elles ont un projet ou une question précise sur la conformité d’un traitement de données personnelles. Nous recevons d’ailleurs régulièrement des sollicitations de start-up. Mais les demandes que nous observons actuellement portent surtout sur la protection des mineurs sur Internet.
Avec l’essor de l’IA, les EdTech sollicitent-elles davantage la CNIL ?
Elodie Weil : Les EdTech sont concernées lorsqu’elles interviennent comme sous-traitantes des acteurs de l’éducation pour le traitement de données personnelles. Mais paradoxalement, nous n’avons pas constaté une forte augmentation des sollicitations des EdTech sur ces sujets. Nous sommes davantage sollicités par des collectivités territoriales ou les autorités du ministère de l’éducation qui font appel à des EdTech pour déployer des outils dans les établissements scolaires. Quoiqu’il en soit, l’IA est un chantier majeur pour la CNIL. Nous avons publié des fiches et des guides pour accompagner les acteurs dans le développement de systèmes d’IA. L’éducation a d’ailleurs été le premier secteur pour lequel nous avons publié ces fiches, qui s’adressent aux enseignants et responsables de traitement.
Le cadre juridique est-il aujourd’hui suffisamment clair pour permettre aux EdTech d’innover ?
EW : Le cadre existe, mais sa mise en œuvre concrète reste parfois difficile. La difficulté vient notamment de la multiplication des textes : lorsqu’un projet comporte de l’IA et traite des données personnelles, il faut notamment prendre en compte le RGPD. Mais d’autres réglementations européennes peuvent également entrer en jeu, comme l’IA Act. Cela peut rendre l’ensemble assez difficile à lire pour les acteurs. Nous sommes encore dans une phase d’interprétation et de traduction concrète de ces nouvelles normes. L’IA Act est aujourd’hui très présent dans les discours. Cette surabondance d’informations peut être anxiogène.
Que conseillez-vous à une EdTech qui utilise des données d’élèves ou de l’IA ?
MM : Mon premier conseil serait de ne pas agir dans la précipitation : il faut commencer par déterminer précisément quelles réglementations s’appliquent au projet. Pour le RGPD, les ressources de la CNIL permettent de répondre à beaucoup de questions. Pour l’IA Act, il faut déterminer quel est le rôle de l’entreprise — fournisseur ou utilisateur d’un système d’IA — et quel est le niveau de risque du système, car les obligations ne seront pas les mêmes. Le deuxième conseil est de mobiliser les compétences disponibles, qu’il s’agisse du délégué à la protection des données, d’un juriste… Enfin, il ne faut pas hésiter à s’appuyer sur les fédérations professionnelles du secteur, qui connaissent les problématiques spécifiques des EdTech et sont souvent en lien avec les pouvoirs publics. Pour les projets innovants, sensibles et susceptibles d’avoir un impact important sur un grand nombre de personnes, un dispositif d’accompagnement renforcé est en cours de conception par la CNIL et devrait permettre de candidater à un accompagnement plus personnalisé.
