RGPD : La Cnil irlandaise ouvre une enquête sur l'IA générative de Google

L’intelligence artificielle générative et le RGPD européen ne font pas bon ménage. Nouvelle illustration jeudi 12 septembre avec l’ouverture d’enquête contre Google par la Data Protection Commission, la Cnil irlandaise.

L'autorité cherche à savoir si le moteur de recherche a bien respecté les obligations du Règlement général sur la protection des données lors du développement de son grand modèle de langage PaLM 2. L’enquête devra ainsi déterminer si Google a utilisé des données personnelles d’internautes européens, sans obtenir leur consentement. Cela serait contraire à la législation européenne. Et la société s’exposerait donc à une amende.

Lancement de Bard repoussé

L’an passé, la feuille de route de Google s'était bien heurtée au RGPD. Le lancement sur le continent de son chatbot Bard (depuis rebaptisé Gemini) avait en effet été retardé de plusieurs mois sur le continent, le temps de réaliser une analyse d’impact relative à la protection des données. Une formalité obligatoire car le service est “susceptible d’engendrer un risque élevé pour les droits et libertés”.

L’exemple de Google illustre les deux problèmes de l’IA générative face au RGPD. D’une part, les services d’IA sont susceptibles de collecter des données personnelles sur leurs utilisateurs. Et ensuite de les utiliser pour améliorer leurs modèles. Cela signifie qu’ils doivent, théoriquement, obtenir l’accord des internautes.

L’an passé, l'accès à ChatGPT avait ainsi été brièvement suspendu en Italie, à la demande de la GPDP, l'autorité italienne de protection des données. Depuis, les internautes européens peuvent refuser que leurs historiques de discussions ne soient utilisés pour améliorer ChatGPT. Mais cette option n'est pas encore suffisante, estime la Cnil italienne.

Meta et X aussi dans le viseur

Deuxième problème, encore plus important : l'entraînement des modèles, qui nécessite des quantités immenses de données – dont il est souvent très difficile de connaître la provenance exacte. Cela signifie que tous les services d’IA qui récupèrent de la donnée en ligne sont potentiellement en infraction vis-à-vis du RGPD, car ils n’ont pas demandé le consentement des internautes européens.

À ce titre, les réseaux sociaux sont encore plus dans le viseur. Pour concevoir leurs IA, Meta et X utilisent tous les messages publiés par leurs plateformes. En Europe, cela nécessite d'obtenir l’aval de leurs utilisateurs. Meta refuse et a donc choisi de ne pas lancer son chatbot d’IA en Europe. X a finalement cédé devant la pression de la DPC, s’engageant à proposer une option d’opt-out sur le continent.

Sélectionné pour vous

Synapse Medicine dévoile MedGPT, son assistant médical dédié à la pratique clinique quotidienne

Le ministère marocain de la Transition Numérique signe un contrat pluriannuel avec Mistral AI

Accenture renforce les compétences de 700 000 employés sur l'IA agentique