IA générative : ChatGPT viole le principe d'exactitude des données protégé par le RGPD, selon Noyb

L'association Noyb, spécialisée dans la défense de la vie privée, a introduit une nouvelle plainte contre OpenAI devant la Datatilsynet, l'autorité norvégienne de protection des données. Elle l'accuse de violer l'article 5 (d) du Règlement général sur la protection des données (RGPD) qui garantit le principe d'exactitude des données personnelles. Autrement dit, un responsable du traitement doit s'assurer que les informations qu'il traite sont exactes, à jour, rectifiées ou supprimées lorsqu'elles sont inexactes. Ce principe vise à garantir que les personnes concernées ne subissent pas de préjudices liés à des informations erronées les concernant. 

Dans le détail, la plainte a été déposée par un ressortissant néerlandais - représenté par l'association Noyb - qui avait demandé à ChatGPT des informations le concernant. Il avait eu une réponse totalement fausse à caractère diffamatoire, ponctuée de données véridiques.

Des propos diffamatoires 

Plus précisément, le chatbot a rapporté que le requérant était un criminel condamné qui avait assassiné deux de ses enfants et tenté d'assassiner son troisième fils. Le nombre et le sexe de ses enfants, ainsi que sa ville natale, étaient quant à eux vrais. Il s'agit d'une hallucination, analyse Noyb. Pour rappel cette expression désigne une information fausse ou incohérente produite par un modèle, qui semble crédible mais n’a aucun fondement réel. Elle peut être liée à une lacune dans l'entraînement du modèle ou à une mauvaise compréhension du contexte. 

Or, d'après l'article 5 (d) du RGPD, OpenAI a l'obligation de s'assurer que les données personnelles qu'il traite sont exactes, rétorque l'association autrichienne dans la plainte. Elle précise que, depuis le lancement de cette procédure, le modèle a été mis à jour et n'affiche plus ces informations. Or, ce que craint le requérant est que - pendant ce laps de temps - ces fausses informations diffamatoires aient pu circuler, engendrant un important préjudice moral. 

OpenAI ne supprime pas les données fausses

Dans sa plainte, l'association précise que le plaignant s'est adressé à OpenAI pour faire corriger les informations le concernant. L'organisation américaine n'a soumis qu'une réponse générique, mais n'a pas véritablement répondu à sa demande. C'est la deuxième fois que Noyb adresse une demande de rectification à OpenAI. La première fois, en avril 2024, elle a simplement fait valoir qu'elle ne pouvait pas corriger les données, seulement les "bloquer" pour certaines personnes. "Les fausses informations restent dans le système", alerte l'association. 

Pour se dédouaner, poursuit-elle, OpenAI a introduit "une clause de non-responsabilité" selon laquelle elle ne peut garantir l'exactitude des données et que les utilisateurs de ChatGPT doivent toujours vérifier la véracité des informations transmises. "L'ajout d'une clause de non-responsabilité indiquant que vous ne respectez pas la loi ne fait pas disparaître la loi. Les entreprises d'IA ne peuvent pas non plus se contenter de "cacher" de fausses informations aux utilisateurs alors qu'elles traitent encore de fausses informations en interne", note Kleanthi Sardeli, avocate spécialisée dans la protection des données au sein de Noyb. 

Imposer une amende pour violation du RGPD

Face à cette situation, l'association demande à l'autorité norvégienne d'ordonner à OpenAI de supprimer "les résultats diffamatoires"  et d'affiner son modèle afin d'éliminer les résultats inexacts. Elle lui suggère, en outre, d'imposer une amende pour violation du RGPD. Pour rappel, elle peut aller jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial en cas de violations graves des données personnelles.