OpenAI fait face à des accusations potentielles de violation du RGPD en Italie

OpenAI, l’organisation derrière le chatbot IA ChatGPT, est sous le feu des projecteurs de l’Autorité italienne de protection des données pour des violations potentielles du Règlement général sur la protection des données (RGPD) de l’Union européenne. Suite à une enquête de plusieurs mois, l’autorité italienne a émis un avis d’objection, soupçonnant qu’OpenAI aurait enfreint les réglementations européennes en matière de confidentialité. Les détails du projet de conclusions n’ont pas été divulgués, mais OpenAI dispose de 30 jours pour répondre et présenter sa défense contre les allégations.

Contexte et actions précédentes de l’autorité italienne

L’Autorité italienne de protection des données avait précédemment soulevé des préoccupations concernant la conformité d’OpenAI au RGPD lorsqu’elle avait ordonné une interdiction temporaire du traitement des données locales de ChatGPT, entraînant la suspension du chatbot IA sur le marché italien. L’autorité a souligné des problèmes tels que l’absence de base juridique adéquate pour la collecte et le traitement des données personnelles aux fins de l’entraînement des algorithmes de ChatGPT. La sécurité des enfants et la tendance de l’outil IA à « halluciner », produisant des informations inexactes sur les individus, ont également été signalées comme des préoccupations.

Malgré la résolution temporaire de certains problèmes soulevés par l’autorité italienne, OpenAI fait désormais face à des conclusions préliminaires selon lesquelles ChatGPT viole le droit de l’UE. L’essentiel de l’affaire réside dans la base juridique qu’OpenAI invoque pour le traitement des données personnelles aux fins de l’entraînement de ses modèles d’IA, surtout compte tenu du fait que ChatGPT a été développé à l’aide de données extraites d’Internet, y compris des données personnelles d’individus.

Base juridique pour le traitement des données et conséquences potentielles

OpenAI a initialement invoqué « l’exécution d’un contrat » comme base juridique pour l’entraînement du modèle ChatGPT, mais l’autorité italienne lui a demandé de supprimer cette référence. Cela a laissé OpenAI avec seulement deux bases juridiques potentielles : le consentement ou les intérêts légitimes. Obtenir le consentement du grand nombre d’individus dont les données ont été traitées semble peu pratique, laissant les intérêts légitimes comme base juridique principale. Cependant, cette base nécessite qu’OpenAI permette aux sujets des données de s’opposer au traitement, ce qui pose des défis pour le fonctionnement continu d’un chatbot IA.

La question plus large est de savoir si le Garante, l’Autorité italienne de protection des données, acceptera finalement les intérêts légitimes comme une base juridique valide dans ce contexte. Les décisions précédentes de la plus haute juridiction de l’UE suggèrent des obstacles potentiels, car les intérêts légitimes nécessitent un équilibre soigneux entre les intérêts du responsable du traitement et les droits et libertés des individus. Notamment, la cour a jugé cette base inappropriée pour le modèle publicitaire comportemental de Meta.

Réponse d’OpenAI et efforts continus de conformité au RGPD

OpenAI a répondu aux risques réglementaires croissants en cherchant à établir une base physique en Irlande, la désignant comme prestataire de services pour les données des utilisateurs de l’UE. L’objectif est d’obtenir le statut d’« établissement principal » en Irlande et d’avoir la supervision de la conformité au RGPD dirigée par la Commission irlandaise de la protection des données. Cependant, ce statut est en attente, et ChatGPT pourrait toujours faire l’objet de sondages de la part des Autorités de protection des données (APD) dans d’autres pays de l’UE.

En plus de l’enquête italienne, OpenAI est également sous le feu en Pologne suite à une plainte concernant des informations inexactes produites par ChatGPT et la réponse d’OpenAI au plaignant. Les efforts d’OpenAI pour coordonner avec les APD de l’UE via le Comité européen de la protection des données pourraient conduire à des résultats plus harmonisés, mais les autorités individuelles restent compétentes pour émettre des décisions dans leurs marchés respectifs.