RGPD : OpenAI condamné pour avoir traité illégalement les données personnelles dans ChatGPT

Le feuilleton entre OpenAI et l'autorité italienne de protection des données touche à sa fin. La Garante per la protezione dei dati personali a annoncé le 20 décembre avoir infligé une amende de 15 millions d'euros à l'entreprise à l'origine du fameux chatbot, ChatGPT.

Une campagne de sensibilisation

Elle l'a également enjoint de lancer une campagne de communication d'un mois à la télévision, à la radio, dans les journaux et sur Internet pour sensibiliser le public au fonctionnement de son outil basé sur l'intelligence artificielle générative ainsi que de leur rappeler les droits issus du Règlement général sur la protection des données (droit de rectification, droit d'opposition...). Le contenu de la campagne doit être convenu avec la Garante. 

Cette décision met fin à près de deux ans de procédure. L'autorité italienne s'était intéressée à l'entreprise américaine à la suite de la publication de plusieurs articles de presse faisant état de bugs techniques qui permettaient à un utilisateur de consulter l'historique des titres de discussion des autres utilisateurs du service au lieu du sien. Le 30 mars 2023, ChatGPT a été interdit temporairement en Italie, laissant 20 jours à OpenAI pour répondre aux préoccupations de la Garante en matière de confidentialité des données. L'interdiction avait été levée le 11 avril 2023 grâce à "des pas en avant accomplis pour conjuguer le progrès technologique avec le droit des personnes", avait indiqué l'autorité. 

Plusieurs violations du RGPD

Mais l'affaire ne s'est pas arrêtée là. En janvier 2024, la Garante a notifié à OpenAI un acte de contestation, pointant plusieurs violations de la législation sur la protection des données. Le verdict est désormais connu : la pépite de Sam Altman est condamnée pour ne pas lui avoir notifié la violation de données de mars 2023, pour avoir traité les données personnelles des utilisateurs du chatbot sans base légale, ni responsable du traitement identifié, ainsi que pour ne pas avoir respecté le droit des personnes (obligation d'information...). 

OpenAI a également été critiqué pour ne pas avoir mis en place un mécanisme de vérification de l'âge "avec le risque important d'exposer les enfants de moins de 13 ans à des réponses inadaptées à leur niveau de développement et de conscience de soi". 

Les outils basés sur l'IA générative soulèvent de nombreuses questions en matière de protection des données personnelles. Pour y répondre, le Comité européen de la protection des données a lancé, en avril 2023, une task force dédiée à ChatGPT. En France, la Commission nationale de l'informatique et des libertés (Cnil) a initié un travail de clarification de la législation en vigueur.