Quand les ambitions de Meta dans l’IA générative mettent le RGPD à rude épreuve

Depuis le 27 mai 2025, Meta collecte et traite certaines données de ses utilisateurs européens pour alimenter ses modèles d'intelligence artificielle générative, dont son chatbot Meta AI. Les informations concernées sont les publications, les photos et leurs légendes, ainsi que les commentaires des utilisateurs adultes des services proposés par l'entreprise américaine. Sont également affectées les données issues des interactions des utilisateurs avec les services d'IA de Meta, quel que soit leur âge. Les messages privés ne sont, en revanche, pas concernés. Les données des utilisateurs de Meta AI sur WhatsApp non plus.

La stratégie de l'opt-out

Les utilisateurs des réseaux sociaux de Meta peuvent s'opposer au traitement de leurs données, via un formulaire. Autrement dit, c'est la stratégie du "opt-out" qui a été choisie. Ce choix permet à Meta de maximiser le volume de données utilisables par défaut, en ne restreignant leur exploitation que si l’utilisateur en fait expressément la demande. Il s'agit donc d'un levier stratégique dans un contexte où la qualité et la quantité de données disponibles sont cruciales pour entraîner les modèles.

A noter que cette opposition ne s'applique qu'aux contenus publiés par la personne elle-même. Elle ne s'applique pas si un autre utilisateur met publiquement en ligne une publication ou des photos concernant l'utilisateur réfractaire. Autre précision : la Commission nationale de l'informatique et des libertés (Cnil) a récemment fait part du renforcement par Meta de "mesures de filtrage" pour réduire le risque que des données personnelles soient "mémorisées" lors de la phase d'entraînement des modèles.

Un lancement retardé par la DPC

Rappelons que le lancement de Meta AI avait été retardé au sein de l'Union européenne par une décision de la Data Protection Commission (DPC), l'homologue irlandais de la Cnil. La base juridique et la transparence du traitement des données à des fins d'entraînement de modèles d'IA étaient en coeur des discussions. Que s'est-il passé entre cet épisode et le lancement de l'assistant en mars 2025 ? "Nous avons engagé un dialogue constructif avec la DPC", a simplement indiqué la société américaine dans un billet de blog annonçant le lancement de son produit. Ces discussions seraient toujours engagées, précise l'autorité française de protection des données.

Sans grande surprise, l'association autrichienne Noyb - présidée par le militant Max Schrems, connu pour ses croisades contre Meta - a rapidement réagi. Elle a sommé l'entreprise d'arrêter d'utiliser les données des utilisateurs européens de ses services. En s'appuyant sur un prétendu "intérêt légitime", en tant que base légale, elle violerait le Règlement général sur la protection des données (RGPD).

Le raisonnement de l'association repose, en partie, sur une décision de la Cour de justice de l'Union européenne. Celle-ci ayant jugé que l'entreprise "ne pouvait invoquer 'un intérêt légitime' à cibler les utilisateurs avec la publicité". "Comment pourrait-elle avoir un 'intérêt légitime' à collecter toutes les données pour l’entraînement de l’IA ? (...) Meta affirme simplement que son intérêt à gagner de l’argent prime sur les droits de ses utilisateurs", dénonçait Max Schrems. Si Meta ne stoppait pas la réutilisation des données, Noyb se réservait le droit de lancer une procédure.

Le tribunal allemand donne raison à Meta

Or, sa chance de gagner est en train de s'amenuir. En effet, le 23 mai 2025, le tribunal régional allemand de Cologne a rejeté le référé déposé par des associations de protection des consommateurs. "Meta poursuit une fin légitime en utilisant les données pour former des modèles d'intelligence artificielle (...) même sans le consentement des personnes concernées", a tranché la juridiction. Elle avait ainsi précisé que la formation des systèmes "ne peut être réalisée par d'autres moyens tout aussi efficaces et moins intrusifs". Dans son jugement, elle a aussi considéré que Meta avait "pris des mesures efficaces pour atténuer considérablement l'impact" sur les utilisateurs de ses services.

Cependant, Noyb ne veut pas baisser les bras. "Alors que VZ NRW [association de protection des consommateurs] porte plainte pour l'Allemagne, noyb prévoit également de porter plainte pour l'ensemble de l'UE. D'autres organisations envisagent également de prendre des mesures ces jours-ci - la tâche est donc loin d'être terminée pour Meta", a réagi le président de l'association. Ce dernier pointe une incohérence dans le jugement allemand : "il est intéressant de noter que le tribunal allemand a estimé que Meta avait suivi les lignes directrices des autorités de protection des données de l'UE, alors que les autorités elles-mêmes ont introduit une procédure d'urgence".

C'est l'autorité de protection des données de Hambourg qui a lancé une procédure d'urgence. Procédure à laquelle elle vient de renoncer en réponse à la décision du tribunal allemand. L’autorité a ainsi estimé qu’une telle action isolée nuirait à la cohérence européenne. Elle préfère attendre l’évaluation commune en cours au niveau de l’UE, afin de garantir une réponse coordonnée et juridiquement robuste face aux pratiques de Meta.

Des discussions en cours à l'échelle européenne

Les discussions en cours avec la société portent sur la légalité de ses pratiques, le caractère effectif du droit d'opposition ainsi que la compatibilité entre les finalités d'origine des traitements et cette nouvelle utilisation des données. Meta est également interrogé sur l'utilisation d'images d'utilisateurs de moins de 18 ans dans le cas où elles sont publiées par des utilisateurs adultes.

Le bras de fer entre Meta, les régulateurs européens et les associations de défense des droits numériques illustre les limites actuelles du RGPD lorsqu’il est confronté aux spécificités de l’intelligence artificielle générative. Pensé à une époque où cette technologie n’était encore qu’un champ de recherche émergent, le règlement peine aujourd’hui à encadrer de manière cohérente l’utilisation massive de données personnelles pour l’entraînement de modèles dont les usages restent parfois flous.

Une interprétation à rebours du RGPD ?

La stratégie d’opt-out, tolérée à ce stade, fait primer une logique d’efficacité économique sur une approche fondée sur le consentement explicite. Les débats autour de la légitimité de cette base juridique révèlent des divergences d’interprétation profondes, y compris entre juridictions et autorités de protection des données. La décision du tribunal de Cologne a accordé un blanc-seing temporaire à Meta, en reconnaissant la légalité d’un tel traitement.

Cette affaire agit comme un stress test pour le cadre réglementaire européen. Elle met en lumière l’absence de ligne claire sur ce que le RGPD permet ou interdit en matière d’IA, ainsi que la difficulté pour les autorités à adopter une position coordonnée à l’échelle de l’Union. En attendant une éventuelle clarification via la jurisprudence ou l'AI Act, les entreprises disposent d’une marge d’action pour imposer leurs propres standards.

L'enquête en cours de la DPC sur l'utilisation de données publiques d'utilisateurs européens disponibles sur le réseau social X à des fins d'entraînement de la famille de LLM Grok pourrait apporter certaines précisions. Reste à voir si les autorités de protection des données parviendront à une position commune, dans un contexte où les interprétations du RGPD peuvent varier et où les décisions des tribunaux pourraient également diverger.