Le groupe de travail ChatGPT de l’UE épluche la conformité de l’IA
Quel est le véritable niveau de conformité de ChatGPT, le chatbot d'OpenAI qui a fait sensation, avec le Règlement général sur la protection des données (RGPD) de l'Union européenne ? C'est la question épineuse à laquelle a tenté de répondre le groupe de travail dédié de l'UE, après plus d'un an d'étude approfondie. Son rapport préliminaire, publié vendredi, offre un premier aperçu des défis complexes soulevés par cette IA conversationnelle en termes de protection des données personnelles.
Une task force pour évaluer les risques du chatbot
Mis en place en avril 2023, peu après l'intervention choc de l'Italie contre OpenAI, le groupe de travail ChatGPT a pour mission de coordonner l'application des règles européennes de confidentialité à cette technologie émergente. Bien que les autorités de protection des données (DPA) restent indépendantes et compétentes pour faire appliquer la loi dans leur juridiction, cette task force vise à harmoniser l'approche au niveau européen.
Cependant, le rapport préliminaire révèle que les régulateurs restent divisés sur des questions juridiques cruciales, comme la licéité et l'équité du traitement des données par OpenAI. Des amendes pouvant atteindre 4% du chiffre d'affaires annuel mondial sont en jeu en cas de violation avérée du RGPD. Les autorités pourraient aussi ordonner la suspension des traitements non conformes.
De nombreuses plaintes, peu d'actions concrètes pour l'instant
Malgré la multiplication des plaintes contre ChatGPT à travers l'Europe, pointant diverses infractions présumées au RGPD, les enquêtes des régulateurs nationaux semblent pour l'instant au point mort. L'existence même de la task force européenne pourrait inciter certaines DPA à temporiser, en attendant ses conclusions définitives qui ne sont pas attendues avant l'année prochaine.
Seule l'Italie a pris des mesures d'urgence, en bloquant temporairement ChatGPT en avril 2023. Le chatbot n'a pu reprendre qu'après qu'OpenAI ait apporté des changements, comme l'ajout d'informations et de contrôles pour les utilisateurs. Mais l'enquête italienne sur le fond, notamment sur la base légale invoquée par OpenAI pour entraîner ses modèles d'IA, se poursuit.
OpenAI peut-il vraiment s'appuyer sur l'« intérêt légitime » ?
C'est justement la question clé de la base légale qu'aborde le rapport préliminaire. Pour traiter licitement des données personnelles, le RGPD impose d'avoir un fondement, parmi six possibilités. Après l'avertissement de l'Italie, OpenAI semble s'être rabattu sur l'« intérêt légitime », qui exige une mise en balance avec les droits des personnes et permet à ces dernières de s'opposer.
Mais pour s'appuyer valablement sur cette base légale, OpenAI doit démontrer la nécessité du traitement, le limiter au strict nécessaire et mettre en place des garanties appropriées, comme des mesures techniques, des critères de collecte précis ou le blocage de certaines données. Un exercice d'équilibriste délicat pour une IA qui s'entraîne sur des données aspirées à très grande échelle sur le web.
L'exactitude et la transparence ne sont pas optionnelles
Autre pierre d'achoppement : les « hallucinations » de ChatGPT, autrement dit sa propension à inventer des informations. Pour le groupe de travail, le principe d'exactitude des données du RGPD doit être respecté. OpenAI est donc tenu d'informer correctement les utilisateurs sur le caractère probabiliste des réponses et leur fiabilité limitée.
De même, la task force insiste sur les obligations de transparence : OpenAI ne peut pas transférer les risques sur les utilisateurs en stipulant qu'ils sont responsables de leurs échanges avec le chatbot. L'entreprise doit assumer sa responsabilité et fournir une information claire, notamment sur la réutilisation des conversations pour entraîner les modèles.
Des droits difficiles à mettre en œuvre
Concernant les droits des personnes, comme le droit de rectification des données inexactes, au cœur de plusieurs plaintes contre ChatGPT, le groupe considère qu'il est impératif de permettre aux utilisateurs de les exercer facilement. Il relève toutefois les limites de l'approche actuelle d'OpenAI, qui ne propose que de bloquer la génération d'informations erronées, sans les corriger.
La task force recommande l'application de mesures appropriées et de garanties nécessaires pour se conformer au RGPD, sans donner d'indications concrètes sur la façon d'y parvenir. Signe des difficultés à trouver des solutions face à une technologie aussi nouvelle et complexe que les grands modèles de langage.
Vers un sursis à l'exécution du RGPD pour les IA ?
Certains régulateurs semblent en tout cas enclins à temporiser, arguant du besoin de prendre le temps de bien comprendre les enjeux avant d'agir. Un statu quo qui pourrait profiter à OpenAI, malgré les lourdes sanctions théoriquement encourus.
La prudence des autorités européennes, conjuguée aux récents partenariats noués par OpenAI avec de grands médias pour accéder à leurs contenus et renforcer l'entraînement de ses IA, laisse penser que nous sommes encore loin d'un ChatGPT irréprochable en matière de protection des données.
