GenAI : Le Brésil dit non à Meta pour l'utilisation des données personnelles de ses utilisateurs

Il n'y a pas que l'Union européenne qui s'inquiète des projets de Meta dans l'IA générative. Le Brésil, par le biais de son autorité de protection des données personnelles, a adopté "une mesure préventive" le 2 juillet visant à suspendre la nouvelle politique de confidentialité de l'entreprise américaine concernant l'utilisation des données des utilisateurs de Facebook et Instagram pour entraîner ses algorithmes. Si Meta outrepasse cette interdiction, il sera tenu de payer une amende journalière de 50 000 réais (8200 euros environ).

Déjà disponibles dans d'autres endroits du monde, tels qu'aux Etats-Unis, Meta souhaitait déployer ses services incluant l'intelligence artificielle générative au Brésil, tels que son grand modèle de langage Llama et son assistant Meta AI, concurrent de ChatGPT et Bard. Nécessitant la collecte et la réutilisation des données personnelles de ses utilisateurs majeurs disponibles sur Facebook et Instagram, l'entreprise doit respecter les obligations de la Lei Geral de Proteção de Dados (LGPD), la loi nationale de protection des données personnelles.

"Un risque de préjudice grave"

L'Autoridade Nacional de Proteção de Dados (ANPD) fait référence à la nouvelle politique de confidentialité qui est entrée en vigueur le 26 juin dernier et qui permet à l'entreprise "d'utiliser les informations et le contenu accessibles au public partagés par les utilisateurs d'Instagram, Facebook et Messenger pour former et améliorer les systèmes d'IA générative". Le changement est considérable puisqu'il touche près de 102 millions de personnes au Brésil, précise l'ANPD qui dénonce "un risque de préjudice grave et difficilement réparable pour les utilisateurs".

Dans les détails, l'autorité estime que Meta n'a pas fourni "les informations adéquates pour que les personnes concernées soient conscientes des conséquences possibles du traitement de leurs données personnelles". Elle a également relevé que, même si les utilisateurs pouvaient s'opposer au traitement de leurs données, il existait "des obstacles excessifs et injustifiés à l'accès à l'information et à l'exercice de ce droit".

Meta ne peut pas se reposer sur l'intérêt légitime

Pour justifier le nouveau traitement des données personnelles de ses utilisateurs, Meta a choisi la base légale de l'intérêt légitime. Or, d'après l'ANPD, "une telle hypothèse ne peut pas être utilisée lorsque des données sensibles sont traitées, c'est-à-dire avec un risque discriminatoire élevé". Elle ajoute que les principes de finalité et de nécessité ne sont pas respectés puisque les personnes qui partagent des informations sur les réseaux sociaux ne "s'attendraient pas nécessairement à ce que toutes ces informations soient utilisées pour former des modèles d'IA". En effet, cette finalité n'était pas mentionnée lors du partage des données, écrit l'autorité dans sa décision.

L'autorité s'inquiète également du traitement des données – vidéos, photos et publications – des enfants et des adolescents. Selon la LGPD, ce traitement doit toujours "être effectué dans leur meilleur intérêt" avec "l'adoption de garanties et de mesures d'atténuation des risques". Or, le respect de ces conditions n'a pas été vérifié "dans le cadre de l'analyse préliminaire", dénonce l'organisme brésilien.

Un coup d'arrêt en Europe

Il y a quelques semaines, c'est la Data Protection Commission (DPC), l'équivalent irlandais de la Commission de l'informatique et des libertés (Cnil), qui a enjoint Meta de suspendre sa nouvelle politique de confidentialité au sein de l'Espace économique européen (EEE). Meta avait réagi à cette décision en se disant être "profondément déçu (...) en particulier puisque nous avons intégré les retours réglementaires". L'association autrichienne Noyb, spécialisée dans la protection de la vie privée, pointait notamment du doigt le choix de la base légale choisi par Meta estimant qu'il n'avait "aucun intérêt légitime [pour traiter] des quantités aussi importantes de données à caractère personnel pour des finalités totalement indéterminées".

Il reste à voir quelle stratégie choisira Meta pour se sortir de cette impasse. Sans changer de base légale, il pourrait décider de modifier sa nouvelle politique de confidentialité en réduisant la quantité de données collectées pour alimenter ses algorithmes. Mais au risque de réduire leurs performances et donc leur intérêt. C'est d'ailleurs l'argument principal de l'entreprise pour sa stratégie européenne : "sans inclure les données locales, nous ne pourrions offrir aux personnes qu'une expérience de second ordre" ajoutant que "si nous n'entraînons pas nos modèles sur le contenu public que les Européens partagent sur nos services et autres (...) alors les modèles et les fonctionnalités d'IA qu'ils alimentent ne comprendront pas avec précision les langues régionales importantes, les cultures ou les sujets d'actualité sur réseaux sociaux".

Sélectionné pour vous

Une organisation sur deux a déjà écarté une solution IT pour des raisons de souveraineté

Droits d'auteur : Anthropic met fin à un procès en payant 1,5 milliard de dollars

Supply chain, gouvernance, audibilité : Les leçons à tirer du stress test sur la sécurisation de l'IA