X d’Elon Musk face à des plaintes RGPD
X, la plateforme de médias sociaux appartenant à Elon Musk, a fait l’objet d’une série de plaintes relatives à la protection de la vie privée. Elle s’est en effet servie des données d’utilisateurs de l’Union européenne pour entraîner des modèles d’IA sans demander le consentement des personnes concernées.
À la fin du mois dernier, un utilisateur a repéré un paramètre indiquant que X avait discrètement commencé à traiter les données postales d’utilisateurs régionaux pour entraîner son chatbot Grok AI. Cette révélation a suscité la surprise de la Commission irlandaise de protection des données (DPC), l’organisme de surveillance chargé de contrôler la conformité de X au règlement général sur la protection des données (RGPD) de l’Union européenne.
Les risques du non-respect du RGPD pour X
Le GDPR, qui peut sanctionner les infractions confirmées par des amendes allant jusqu’à 4% du chiffre d’affaires annuel mondial, exige que toutes les utilisations de données personnelles aient une base juridique valide. Les neuf plaintes contre X, qui ont été déposées auprès des autorités chargées de la protection des données en Autriche, en Belgique, en France, en Grèce, en Irlande, en Italie, aux Pays-Bas, en Pologne et en Espagne, accusent l’entreprise d’avoir manqué à cette obligation en traitant les postes des Européens pour former l’IA sans avoir obtenu leur consentement.
La DPC a déjà pris des mesures en engageant une action en justice devant la Haute Cour irlandaise pour obtenir une injonction l’obligeant à cesser d’utiliser ces données. Mais les mesures prises jusqu’à présent par la DPC semblent être insuffisantes. Il n’y aurait aucun moyen pour les utilisateurs de X d’obtenir de l’entreprise qu’elle supprime les données déjà ingérées.
Selon ces plaintes, X ne dispose pas d’une base valable pour utiliser les données de quelque 60 millions de personnes dans l’UE afin d’entraîner des IA sans obtenir leur consentement. La plateforme semble s’appuyer sur une base juridique connue sous le nom d’intérêt légitime pour le traitement lié à l’IA. Toutefois, les experts en protection de la vie privée estiment qu’elle doit obtenir le consentement des personnes concernées.
Un manque de transparence critiqué
Les entreprises qui interagissent directement avec les utilisateurs n’ont qu’à leur montrer un message oui/non avant d’utiliser leurs données. Elles le font régulièrement pour beaucoup d’autres choses, donc ce serait certainement possible pour la formation à l’IA également. Mais l’approche de X, qui consiste à s’approprier discrètement les données des utilisateurs pour l’entraînement de l’IA sans même en informer les gens, semble lui avoir permis de passer sous le radar pendant plusieurs semaines. Selon la DPC, X a traité des données d’Européens pour l’entraînement de modèles d’IA entre le 7 mai et le 1er août.
Les utilisateurs de X ont eu la possibilité de refuser ce traitement grâce à un paramètre ajouté à la version web de la plateforme, apparemment à la fin du mois de juillet. Mais il n’y avait aucun moyen de bloquer le traitement avant cela. Et bien sûr, il est difficile de refuser que ses données soient utilisées pour l’entraînement à l’IA si l’on ne sait même pas que cela se produit. Ce point est important car le GDPR vise explicitement à protéger les Européens contre les utilisations inattendues de leurs informations qui pourraient avoir des conséquences sur leurs droits et libertés.
