« Pour s’implanter sur le marché européen, OpenAI et Microsoft doivent lever l’ambiguïté de leurs conditions contractuelles »

Qant : Par une requête officielle, que nous avons publiée récemment (lire Qant du 5 juin), l’Autorité de surveillance de la protection des données de l’État allemand de Schleswig-Holstein a demandé à OpenAI de répondre à une série de questions sur le traitement des données personnelles effectué dans le cadre de ChatGPT, afin de vérifier si le service respecte les lois européennes et allemandes sur la protection des données. La réponse ne sera sans doute pas rendue publique, mais que faut-il en retenir ? `

Elise Dufour : L’Autorité a exprimé un certain nombre des préoccupations quant à la conformité aux principes fondamentaux de protection des données, à la base légale du traitement, à la collecte de données personnelles à partir de sources publiques, à l’utilisation de ces données pour l’apprentissage automatique, au stockage des données et au traitement des données des utilisateurs de ChatGPT. En particulier, elle se demande si le traitement des données personnelles effectué par ChatGPT respecte les principes de limitation de la finalité, de minimisation des données et de limitation de la conservation des données. De plus, des inquiétudes sont soulevées quant à l’exactitude des données utilisées et générées par ChatGPT, ainsi qu’à la transparence de l’information fournie aux sujets de données. L’autorité demande des clarifications sur les sources de données utilisées, les bases légales du traitement, les mesures prises pour prévenir l’inférence ou la combinaison de données sensibles, ainsi que l’utilisation de profils et de suivi des utilisateurs. Autre question : dans le cas de données sensibles, au regard de l’article 9 du RGPD, un consentement a-t-il été obtenu, et si oui, comment ? On peut également citer le droit des personnes concernées en termes de transparence : l’autorité de contrôle demande, sur la base des articles 12, 13 et 14 si une politique de confidentialité a été mise à disposition des personnes concernées. Cette liste de question est complète, classique, et reprend tous les principes de base du RGPD. Mais ce qui est surtout intéressant, c’est que l’autorité allemande demande quels sont les traitements qui sont opérés de façon automatisée à des fins de prise de décision sans intervention humaine.

Qant : Quel est l’enjeu ?

Elise Dufour : Les risques encourus par OpenAI sont assez importants, car la base de calcul des amendes pourrait inclure le chiffre d’affaires de Microsoft: la CJUE entend la notion d’entreprise comme englobant « toute entité exerçant une activité économique, indépendamment du statut juridique de cette entité et de son mode de financement ». Tout l’enjeu est de pouvoir traiter les données personnelles collectées en toute transparence et dans le respect des finalités définies, devant être portées à la connaissance des personnes concernées, voire être mises en œuvre avec leur consentement libre, éclairé, spécifique et univoque. A défaut, le traitement n’est pas licite et le responsable de traitement pour mémoire encourt une amende administrative pouvant atteindre 10 à 20 millions d’euros d’amende ou 2% à 4% du chiffre d’affaires mondial. C’est ce qui justifie la lourde amende récemment infligée à Meta.

«Le risque de sanction contre OpenAI est très élevé»

Or, le risque de sanction contre OpenAI est très élevé. Tout d’abord, ses traitements ne sont pas cadrés. Leur licéité est à démontrer. De plus, ChatGPT a vocation à collecter un maximum de données sans finalité précisément exprimée, potentiellement pour les mettre à disposition d’autres responsables de traitement et sans en informer les personnes concernées.

On comprend à ce stade que le traitement qui est mis en œuvre n’est absolument pas conforme et que rien n’a été fait en terme de conformité avec le RGPD. Pourtant, un service est offert à des personnes vivant en Europe; il est donc soumis à l’ensemble des règles du RGPD. C’est d’ailleurs la raison pour laquelle le Garante, l’équivalent de la Cnil en Italie, a suspendu pour quelques semaines le service proposé par OpenAI, qui n’était plus accessible pour les Italiens.

Qant : Ce qui, bien sûr, ne pouvait pas durer, politiquement: on ne voit pas une entité administrative priver durablement les Européens d’un service aussi populaire. Autant interdire le foot… Ne faudrait-il pas plutôt faire une différence entre les données d’entraînement, récupérées par OpenAI sur Internet, et les données de prompt, librement fournies par l’utilisateur ?

Elise Dufour : La différence se fait entre les articles 13 et 14 du RGPD. Une IA s’entraîne avec les données disponibles sur Internet, en les « scrappant ». C’est une question juridique complexe car les données récupérées peuvent être sujettes à des droits de propriété intellectuelle. C’est notamment ce qui a débouché à des plaintes contre Stability AI aux Etats-Unis. Il peut également y avoir des cas de violation des droits sur les données personnelles. OpenAI affirme ne pas faire de traitement de données personnelles, mais quand on interroge ChatGPT sur des personnes physiques, il répond. C’est donc qu’il y a traitement, et les personnes visées devraient être informées. Sauf dans le cas où ce serait trop complexe à réaliser, mais là encore il faudrait qu’OpenAI le démontre. Quand aux données personnelles qui sont collectées directement lorsque l’utilisateur les intègre dans l’outil, elles sont potentiellement réutilisées. Là encore, les conditions générales d’utilisation de ChatGPT ont tendance à affirmer le contraire, en tout cas sur les outils payants. Mais sur la version gratuite, les données sont potentiellement réutilisées à des fins d’entrainement. C’est un vrai risque dont les entreprises commencent à être conscientes. En revanche, dans le cadre de l’utilisation d’une licence payante, l’éditeur affirme ne pas réutiliser les données pour son propre système.

«Pour une IA professionnelle, il y a bien le risque de récupération d’un savoir-faire ou d’une structure»

Qant. Peut-on faire confiance à OpenAI ?

Elise Dufour : C’est toute la question pour les IA professionnelles. La solution de simplicité consiste à s’appuyer sur des fournisseurs de cloud liés par contrat : dans le cas d’espèce, Microsoft Azure pour avoir accès à GPT-4. Mais on peut s’interroger sur la parfaite étanchéité entre les éléments hébergés dans le cadre d’instances de ce genre et l’entraînement de nouvelles intelligences artificielles. Il y a probablement un processus d’anonymisation pour protéger les données personnelles, mais il y a bien le risque de récupération d’un savoir-faire ou d’une structure. Pour s’implanter sur le marché européen, OpenAI et Microsoft doivent lever l’ambiguïté de leurs conditions contractuelles.

Qant. Ce qui pose problème, pour faire simple, c’est le principe de finalité : on ne sait pas ce que compte faire OpenAI de ces données…

Elise Dufour : A mon avis il y a deux manquements essentiels qui sont compliqués à gérer au niveau du RGPD. Le premier est le principe de minimisation des données. Dans le cas des données personnelles, l’outil a vocation à se nourrir d’un maximum de données, et ce sans finalité exprimée. C’est ce que précisément le RGPD tend à encadrer ou en tout cas à empêcher. Tant que la finalité n’est pas exprimée, ChatGPT n’est pas en règle vis-à-vis du RGPD et les données qui sont collectées manquent de base légale. Le deuxième point est le fait qu’OpenAI conserve ces données, les traite et les réutilise pour d’autres finalités, à savoir informer les utilisateurs sur certaines personnes physiques. C’est aussi un point difficile à gérer car OpenAI ne peut pas l’exprimer clairement. Elle ne peut pas dire que l’outil est fait pour obtenir des informations sur d’autres personnes. C’est aussi un risque que le RGPD a pour vocation d’empêcher. C’est le droit à l’oubli, tout simplement.

Qant : OpenAI pensait-elle profiter d’un flou juridique ?

Elise Dufour : Je pense surtout qu’ils ne se sont pas posé la question. Ils se sont peut-être dit qu’en n’étant pas basés en Europe, il leur suffisait d’être en conformité avec les obligations du droit américain, qui sont moins contraignantes. C’est une preuve d’immaturité. Les principes européens et la réglementation, qui est très puissante, vont les forcer à s’intéresser à la matière. Mais cela va rendre la conformité très compliquée, comme on peut le voir avec des acteurs établis depuis plus longtemps et qui pourtant, sont régulièrement sanctionnés.

Qant. Il n’est pire sourd que qui ne veut entendre… Mais finissons par le futur : Worldcoin.

Elise Dufour : Sam Altman, le PDG d’OpenAI, vient d’annoncer vouloir lancer un projet crypto révolutionnaire, baptisé Worldcoin, sécurisé par une authentification biométrique : ce projet repose sur un système d’identification par reconnaissance de l’iris. Après avoir scanné son œil, chaque utilisateur pourra s’identifier à partir d’une application, nommée World App, pour accéder à son portefeuille numérique. Doit-on se réjouir de ce nouveau projet d’envergure ou craindre de nouveaux risques en termes de respect de données personnelles et de droit à la vie privée ? Il est vrai que l’utilisation de l’authentification biométrique basée sur la reconnaissance de l’iris pour sécuriser les transactions crypto est une approche novatrice qui peut offrir des avantages en termes de sécurité en matière de confidentialité et de protection des données. Mais à quel prix au regard de nos libertés !

Propos recueillis par Maurice de Rambuteau, avec Jean Rognetta