Le consentement dès la conception : le GDPR pour les données de démonstration robotique
Les données de démonstration robotique à la première personne enregistrent une personne réelle : le GDPR s’applique donc pleinement, et le consentement, la minimisation et l’effacement deviennent des exigences d’ingénierie dès la capture.
Vous confiez un rig de capture à quelqu’un et lui demandez de préparer un café dans sa propre cuisine. Vingt minutes plus tard, vous disposez d’un enregistrement multimodal propre : caméra de tête, caméra de poignet, profondeur, pose de la main, force au bout des doigts, le sifflement de la bouilloire. Vous disposez aussi de l’enregistrement d’un être humain précis. Son visage. Son appartement. Sa voix. La manière exacte dont ses mains bougent.
Ce second fait est un objet juridique, pas seulement technique. En vertu du Règlement général sur la protection des données (GDPR), tout enregistrement permettant d’identifier une personne constitue une donnée à caractère personnel, et un visage ou une voix utilisés pour identifier une personne de manière unique relèvent des données biométriques, une catégorie encore plus stricte. La bouilloire n’a aucun droit. La personne qui verse l’eau, si.
La plupart des pipelines de données pour robots ont été conçus comme s’il s’agissait de collecter des données sur le web, où le travail juridique incombait à celui qui avait publié la page en premier. La démonstration humaine égocentrique supprime ce tampon. Vous avez appuyé sur enregistrer face à une personne réelle, les obligations commencent donc avec vous, au niveau du capteur. Ce qui suit décrit ce que le GDPR exige d’un pipeline de capture, et pourquoi des données collectées sur le web ou externalisées à l’étranger ne peuvent jamais être mises en conformité après coup.
La classification vient en premier
Commencez par la classification, car le reste en découle. Un texte issu du web arrive adouci par la distance : l’auteur est anonyme, l’instant est passé, l’exposition semble concerner quelqu’un d’autre. L’enregistrement par caméra de tête d’une personne en train de cuisiner est l’inverse : dense, intime, et traçable jusqu’à un être humain précis. Le GDPR qualifie de donnée à caractère personnel tout ce qui permet d’identifier une personne. Il traite un visage ou une voix utilisés pour identifier une personne de manière unique comme une donnée biométrique, que l’article 9 place dans une catégorie particulière soumise à des conditions plus strictes et, en pratique, à une exigence de consentement explicite.
Certaines équipes présument qu’alimenter un modèle avec ces images efface tout cela. Ce n’est pas le cas. Le Comité européen de la protection des données maintient une ligne constante : utiliser des données à caractère personnel pour entraîner un modèle est un traitement comme un autre, sans dérogation spécifique pour l’IA, et les obligations s’appliquent dès l’instant de l’enregistrement. L’EU AI Act vient s’ajouter au GDPR plutôt que de le remplacer, et ses obligations de gouvernance des données s’entendent explicitement sans préjudice du droit de la protection des données.
Cette lecture n’a rien de marginal. Ego4D, le vaste jeu de données vidéo capté par caméra portée à la tête, a inscrit le consentement ainsi que la désidentification des visages et de l’audio dans son protocole de capture, précisément parce que les images à la première personne sont, par construction, des données à caractère personnel. Si un consortium de recherche filmant des tâches quotidiennes a traité le consentement comme une exigence, un pipeline commercial vendant à des acheteurs de l’UE ne peut l’écarter comme un simple nettoyage a posteriori.
La base légale est un champ de données, pas une mention en bas de page
Tout enregistrement nécessite une base légale au titre de l’article 6, et les données biométriques de catégorie particulière en nécessitent une explicite au titre de l’article 9, en pratique le consentement explicite de la personne concernée. Un consentement qui tient la route doit être spécifique, éclairé, donné librement, et aussi facile à retirer qu’à accorder. Il s’agit d’un enregistrement structuré rattaché à une session nommée, pas d’une bannière sur laquelle quelqu’un a cliqué une seule fois.
Deux principes supplémentaires s’imposent dès la capture. La limitation des finalités signifie que vous collectez pour une finalité déclarée : l’entraînement de politiques de manipulation robotique doit donc être nommé dès le départ, et non discrètement étendu par la suite à un usage auquel personne n’a consenti. La minimisation des données signifie que vous ne conservez que ce dont la finalité a besoin. Une politique de manipulation a besoin des trajectoires de la main et des forces de contact. Elle n’a pas besoin d’un visage net et identifiable, le pipeline doit donc supprimer ou flouter l’identité au tout premier moment où il le peut.
Une base légale est soit enregistrée pendant que la personne se trouve encore devant le capteur, soit elle n’existe pas. Vous ne pouvez pas revenir en arrière et recueillir le consentement d’une personne que vous n’êtes plus en mesure de nommer, sur des images dont vous avez déjà flouté les visages.
Les droits de la personne concernée survivent à l’enregistrement
C’est ici que les données égocentriques deviennent vraiment difficiles à gérer, et là où de nombreux pipelines n’ont pas de réponse. Le GDPR confère à la personne enregistrée un ensemble de droits permanents : le droit d’accès au titre de l’article 15, le droit à l’effacement au titre de l’article 17, et le droit d’opposition au titre de l’article 21, entre autres. Ce ne sont pas de simples formalités de consentement ponctuelles. Un participant peut revenir un an plus tard et vous demander de supprimer tout ce dans quoi il apparaît, et la loi attend un mécanisme opérationnel, pas des excuses.
Considérez ce que cela exige une fois qu’un clip a été intégré à un jeu d’entraînement. Vous devez savoir quels clips contiennent cette personne, quels fichiers dérivés et quelles annotations en proviennent, et quels points de contrôle de modèle ont été entraînés dessus. Il s’agit d’un index rattaché à un identifiant pseudonyme de sujet et maintenu de la capture jusqu’à la livraison, pas d’un simple répertoire de vidéos éparses. Sans cela, une demande d’effacement n’a aucun sens opérationnel, et la réponse honnête à donner au régulateur se résume à hausser les épaules.
La pseudonymisation est la conception qui rend cela gérable. Tokenisez l’identité à la source, conservez la correspondance entre l’identifiant du sujet et la personne réelle dans une clé distincte à accès contrôlé, et chaque artefact en aval peut être tracé et retiré sans exposer qui que ce soit entre-temps. Une véritable anonymisation peut même faire sortir les données du champ d’application du GDPR, mais seulement si elle est irréversible, et l’anonymisation irréversible d’une capture multimodale riche est plus difficile qu’un simple floutage du visage ne le laisse penser. La démarche, la géométrie de la main et une empreinte vocale peuvent chacune permettre de réidentifier une personne que le floutage était censé protéger.
Ce que chaque obligation exige du rig
Aucune de ces obligations ne reste abstraite. Chacune se traduit par une exigence concrète pour le pipeline de capture, avec un mode d’échec spécifique lorsqu’elle est négligée. Ces modes d’échec ne se limitent pas à de lointaines amendes. Ce sont des jeux de données qu’un acheteur européen ne peut légalement pas intégrer dans un produit.
| Obligation GDPR | Ce qu’elle exige du pipeline de capture | Mode d’échec en cas de non-respect |
|---|---|---|
| Base légale (art. 6 et 9) | Consentement explicite, par session, rattaché à chaque personne et à chaque clip où elle apparaît | Aucune base démontrable pour le traitement ; les données sont illicites et quasiment sans valeur pour un acheteur soumis à réglementation |
| Limitation des finalités (art. 5) | La finalité, l’entraînement de politiques robotiques, déclarée dès la capture et conservée avec la session | Toute réutilisation pour une nouvelle finalité nécessite une nouvelle base légale ; une dérive silencieuse du périmètre annule le consentement initial |
| Minimisation des données (art. 5) | Les canaux d’identité dont la tâche n’a pas besoin supprimés ou floutés dès que possible | Un visage identifiable subsiste comme pur risque juridique, sans aucune valeur d’entraînement |
| Pseudonymisation (art. 4) | Identité tokenisée à la source, la clé réversible conservée séparément sous accès contrôlé | Un floutage tardif fait perdre la correspondance, si bien que les demandes de suppression ne peuvent plus être honorées |
| Droits de la personne concernée (art. 15, 17, 21) | Un registre indexé par personne reliant chaque individu à chaque clip, fichier et point de contrôle | Les demandes d’accès et d’effacement deviennent impossibles à satisfaire une fois les données intégrées à un jeu d’entraînement |
| Transfert transfrontalier (chapitre V) | Traitement et annotation maintenus auprès d’entités soumises aux garanties de l’UE | Une étape d’annotation délocalisée exporte des données à caractère personnel sans mécanisme de transfert licite |
Intégré dès la capture, ou pas du tout
Placez les deux pipelines côte à côte. L’un enregistre un participant consentant, appose la base légale et la finalité sur la session, pseudonymise l’identité au niveau du capteur, et conserve un index par sujet capable d’honorer une demande d’effacement des années plus tard. L’autre collecte des vidéos sur le web ouvert, ou délocalise la capture là où c’est le moins cher, en espérant que la question ne se pose jamais. Seul le premier peut répondre à un régulateur. Le second détient un corpus qu’il ne peut rendre licite après coup, aussi volumineux devienne-t-il.
C’est l’argument le plus direct en faveur d’une capture sous juridiction UE plutôt que de l’importation d’un corpus d’origine trouble. Le GDPR restreint, au titre du chapitre V, le transfert de données à caractère personnel hors de l’EEE sans garanties, de sorte qu’un acheteur européen hérite de vos décisions de transfert en même temps que de vos fichiers. L’EU AI Act vient ensuite ajouter des obligations de documentation et de gouvernance des données pour les systèmes à haut risque, tout en laissant intacte chaque obligation du GDPR. Un processus de capture qui consigne le consentement, la finalité et une clé de sujet pseudonyme sous forme de métadonnées structurées répond déjà en grande partie aux deux exigences. Un processus qui les reporte contracte une dette qui arrive à échéance dès qu’un participant, un auditeur, ou le conseil juridique d’un acheteur pose une question à laquelle il ne peut répondre.
Rien de tout cela n’est une raison de ralentir la capture. C’est une raison de concevoir le rig de capture comme si une autorité de protection des données et une personne concernée allaient tous deux, un jour, frapper à la porte, car en droit de l’UE, tous deux le peuvent. Les équipes qui traitent le consentement, la minimisation, la pseudonymisation et le droit à l’effacement comme des paramètres de la session d’enregistrement, fixés avant que quiconque n’appuie sur enregistrer, seront celles dont les données pourront être intégrées à un modèle par un fabricant de robots européen. L’enregistrement d’une personne réelle constitue une responsabilité dès l’instant où il existe. Le GDPR ne fait que consigner cette responsabilité par écrit, et donner à la personne filmée un moyen de la faire respecter.