Le droit à l'oubli algorithmique en assurance

II.L'IA n'archive pas, elle absorbe

La donnée dissoute dans le modèle

Un modèle d'apprentissage automatique absorbe et transforme les données sur lesquelles il est entraîné. Il ne les stocke pas. Pendant l'entraînement, l'information personnelle se diffuse dans des millions de paramètres interconnectés. Elle s'y mêle au reste jusqu'à en devenir indissociable³. La donnée nourrit la connaissance du modèle sans y subsister sous une forme identifiable, comme un aliment dont on ne retrouve plus la trace dans le corps. Une base de données conserve des contenus que l'on peut désigner. Le modèle ne conserve que des poids, des coefficients où l'apport de chaque individu est dilué. Lui demander d'oublier une personne revient à localiser ce qui n'a plus d'emplacement, et à retrancher une contribution inséparable de toutes les autres.

Partout et nulle part

Cette dissolution place la donnée personnelle dans une situation paradoxale, à la fois partout et nulle part. Nulle part, car elle ne réside dans aucun emplacement assignable que l'on pourrait effacer. Partout, car les travaux sur l'inversion de modèle et l'inférence d'appartenance montrent qu'on peut reconstituer l'information d'entraînement à partir du modèle. On ne peut donc pas dire qu'elle a disparu⁵. La donnée subsiste sous une forme diffuse et reconstructible. Elle n'est ni présente comme dans une archive, ni absente comme après un effacement. Le droit à l'oubli n'avait prévu que deux états, la présence et l'absence. Il reste démuni face à un troisième, la diffusion.

Le caractère génératif des modèles récents aggrave encore cette difficulté. Un système de stockage restitue ce qu'on lui a confié. Un système génératif transforme et recompose ce qu'il a absorbé pour produire des sorties nouvelles. La trace d'une personne peut donc resurgir sous une forme dérivée, parfois méconnaissable, qui porte encore l'influence de la donnée d'origine. La donnée ne subsiste plus comme telle, mais ses effets se propagent dans des productions inédites du modèle. Aucune procédure simple ne permet de l'effacer. Le droit à l'oubli a été pensé pour des contenus stables. Il bute ici sur une matière mouvante, qui dissout la donnée puis la régénère sous des formes imprévisibles. L'effacement complet s'éloigne d'autant.

III.L'oubli machine et ses limites

La promesse de l'oubli machine

Une discipline est née il y a une dizaine d'années pour répondre à cette difficulté, l'oubli machine. Ses techniques permettent à un modèle de désapprendre des données précises sans réentraînement complet. On modifie les paramètres internes du modèle pour retirer l'influence des données visées. On économise ainsi le temps et le calcul qu'exigerait une reconstruction complète⁶. Des travaux fondateurs ont montré qu'on pouvait, sous certaines conditions, faire oublier à une intelligence artificielle une partie de ses données. Les cadres dits d'oubli certifié vont plus loin. Ils visent à garantir mathématiquement, par des bornes probabilistes, que l'influence des données retirées a été suffisamment réduite⁸. L'oubli machine se présente donc comme la réponse technique au problème juridique, avec un effacement adapté à une donnée diffuse.

Les limites d'un oubli imparfait

Cette promesse se heurte cependant à des limites sérieuses. Il n'existe à ce jour aucune méthode universellement reconnue pour déterminer si un modèle a effectivement oublié, et pour les modèles les plus grands et les plus complexes, garantir un oubli total est presque impossible⁷. S'y ajoute l'intrication. La donnée d'un individu n'est jamais isolée, elle est mêlée à celle de milliers d'autres. La retirer sans dégrader le modèle ni toucher aux données d'autrui est un exercice délicat⁴. Reste la solution du réentraînement complet, qui efface tout pour tout reconstruire, mais son coût en calcul est souvent prohibitif et croît avec la taille des modèles⁹. L'oubli machine efface donc réellement, mais en partie, de façon approximative et difficile à prouver. Le droit postule une suppression nette.

Un défi qui dépasse l'Europe

Le défi se pose partout où une législation reconnaît un droit analogue, au-delà du seul droit européen. La loi californienne sur la protection de la vie privée des consommateurs consacre un droit comparable à l'effacement. Les réglementations sur l'intelligence artificielle ajoutent des exigences de gouvernance qui supposent une maîtrise des données absorbées par les modèles. C'est le cas du règlement européen, monté en puissance à partir d'août 2025¹⁰. Ensemble, ces cadres créent partout une attente d'effacement que la technique peine à satisfaire. La tension oppose l'ambition du droit à l'architecture même de l'apprentissage automatique. Aucun texte isolé n'en est la cause, et un simple ajustement réglementaire ne la résoudra pas. Il faut repenser ce que veut dire oublier quand les données passent par des modèles.

IV.Un droit absolu, un oubli approximatif

Le décalage entre la norme et la technique

De cette confrontation naît un décalage fondamental entre la norme et la technique. Le droit promet un effacement absolu et binaire. La donnée existe ou n'existe plus. La technique n'offre qu'un oubli graduel et probabiliste, où l'influence de la donnée baisse sans être assurément annulée. Le juriste raisonne en tout ou rien, l'ingénieur en degrés et en marges d'erreur. Les deux logiques se rejoignent mal. Appliqué aux modèles, le droit à l'oubli se réduit à un droit à l'atténuation. Le glissement est silencieux et lourd de conséquences. Le droit perd une partie de sa substance alors que la lettre du texte n'a pas changé, et la personne concernée n'en est pas forcément avertie.

L'impossible vérification

La vérification aggrave encore ce décalage. Un droit ne vaut que si l'on peut en contrôler le respect. Or il est ici très difficile de vérifier qu'un modèle a bien oublié une personne. Ni l'individu concerné ni le régulateur n'ont de moyen simple et fiable de s'assurer de l'effacement. L'obligation de résultat devient de fait une obligation de moyens. Certains en ont conclu que le droit à l'oubli était mort et que la donnée vivait désormais pour toujours dans l'intelligence artificielle. La formule est provocante, mais elle pointe une vérité². Le droit à l'oubli survit dans les textes. Sa mise en œuvre effective et vérifiable s'éloigne. Face aux modèles, il devient un droit à être oublié de façon approximative et invérifiable.

Ce constat n'oblige pas à renoncer. Il oblige à dire clairement quel droit l'on revendique. Promettre un effacement que la technique ne sait pas tenir affaiblit la crédibilité de la norme et nourrit la défiance. Reconnaître ouvertement les limites de l'oubli permet d'orienter les efforts vers ce qui est faisable. Le pire serait de maintenir la fiction d'un droit absolu en tolérant en pratique son inexécution. Le droit y perd sa valeur et les personnes ne sont pas protégées. Une régulation lucide assumerait que l'oubli machine est graduel. Elle exigerait le meilleur effacement atteignable, documenté et contrôlable, plutôt qu'une disparition totale impossible, avec des garanties sur l'usage qui peut encore être fait du modèle. Le droit à l'oubli gardera une portée effective s'il ajuste son exigence à la réalité technique au lieu de s'accrocher à un idéal hors d'atteinte.

V.L'exposition nouvelle pour l'entreprise et son assureur

Un risque de conformité que nul contrôle ne ferme

Ce décalage expose concrètement toute organisation qui déploie des modèles entraînés sur des données personnelles. Si l'entreprise ne peut techniquement répondre à une demande d'effacement, elle s'expose à des sanctions réglementaires, à des contentieux et à des injonctions. Les amendes peuvent atteindre une part significative du chiffre d'affaires mondial. Aucun contrôle ne ferme entièrement ce risque. L'oubli machine reste imparfait et le réentraînement prohibitif, et l'organisation garde un risque résiduel irréductible. Une exposition qu'aucune mesure technique n'élimine à la source finit par peser sur un bilan ou par chercher refuge dans une police d'assurance.

L'assureur doublement concerné

L'assureur est concerné à deux titres. Il peut d'abord porter le risque. Les garanties de responsabilité des dirigeants, cyber ou de responsabilité professionnelle technologique peuvent être appelées quand un manquement à l'effacement entraîne une sanction ou un litige. Il est ensuite lui-même responsable de traitement. L'assurance compte parmi les secteurs qui consomment le plus de modèles entraînés sur des données personnelles, pour la tarification, le score de risque, la détection de fraude ou la prédiction de la sinistralité. Cette série a traité ces sujets sous d'autres angles. L'assureur pourrait donc indemniser le risque d'oubli défaillant tout en y étant lui-même exposé. Cette position inconfortable l'oblige à prendre la question au sérieux des deux côtés du contrat.

VI.De l'effacement à la sobriété des données

Ne pas absorber ce que l'on devra oublier

La réponse à cette impasse se trouve probablement en amont, dans la gouvernance des données, plutôt que dans un effacement après coup toujours plus perfectionné. On ne sait pas retirer de façon fiable ce qu'un modèle a absorbé. Mieux vaut donc ne pas lui faire absorber ce qu'il pourrait avoir à oublier. Cela passe par la minimisation des données, par la pseudonymisation et l'agrégation aussi poussées que possible des données d'entraînement, et par des techniques d'apprentissage respectueuses de la vie privée qui limitent l'empreinte personnelle dans le modèle¹¹. Dès la conception, il faut se demander quelles données peuvent légitimement servir et si les droits des personnes y seront techniquement exécutables. La question vaut surtout pour les modèles les plus sensibles, touchant à la santé, au comportement ou au score de risque. La sobriété en entrée conditionne l'oubli en sortie. La meilleure protection contre une demande d'effacement reste de n'avoir jamais absorbé la donnée visée.

Repenser l'effacement à l'âge des modèles

Cette réorientation invite aussi à repenser la notion même d'effacement. Le droit pourrait renoncer à exiger une suppression physique impossible et adopter une conception fonctionnelle de l'oubli. La donnée serait rendue sans effet, et aucune décision ne pourrait plus être prise sur son fondement. Préférer l'inutilisabilité à la destruction collerait sans doute mieux à la réalité des modèles que l'idéal d'une disparition totale. On retrouve ici, par le chemin inverse, la question de la provenance déjà vue à propos de la fraude. Il fallait alors authentifier une donnée à la source. Il faut maintenant en neutraliser l'influence à la source. Dans les deux cas, la maîtrise se déplace du contenu vers son origine et son cycle de vie.

Cette symétrie n'est pas fortuite, elle dessine une transformation plus large de la gouvernance des données à l'âge de l'intelligence artificielle. Hier, l'attention se portait sur le contenu lui-même, sur ce qu'une donnée disait et sur l'accès qu'on y avait. Désormais, elle se déplace vers le parcours de la donnée, vers la question de savoir d'où elle vient, comment elle a été captée, ce qu'elle a nourri et comment son influence peut être suivie ou neutralisée. Le droit à l'oubli algorithmique et l'authentification de la preuve relèvent tous deux de cette gouvernance du cycle de vie. La valeur et le risque y tiennent moins à l'information qu'à sa traçabilité. Pour l'entreprise et son assureur, la conformité devra se concevoir dès l'origine, des données collectées jusqu'aux modèles qu'elles alimentent, au lieu de reposer sur une suppression après coup.

À l'âge des modèles, le droit à l'oubli est moins l'art d'effacer le passé que celui de ne pas le capturer, et c'est sur ce terrain, en amont de l'absorption, que se jouera son avenir¹².