Le Comité européen de la protection des données vient de publier un rapport sur les efforts fournis par OpenAI afin d’assurer le respect du RGPD par ChatGPT, tout en pointant certaines pistes d’amélioration.
ChatGPT et la collecte de données personnelles, une préoccupation européenne
Le 23 mai 2024, le Comité européen de la protection des données (CEPD) a publié un rapport sur les efforts d’OpenAI pour assurer la conformité de ChatGPT au RGPD. Si un chatbot peut apporter des avantages significatifs, son fonctionnement inclura également des données personnelles extraites du site Web pour former et améliorer le modèle. Il est donc important que les modèles linguistiques à grande échelle fonctionnent de manière conforme au RGPD.
Le CEPD avait décidé le 13 avril 2023 de créer un groupe de travail pour promouvoir la coopération et l’échange d’informations sur d’éventuelles mesures concernant le traitement des données personnelles au sein de ChatGPT. La tâche de ce groupe de travail était de faciliter la coordination et l’échange d’informations entre les régulateurs concernant les activités d’OpenAI et d’identifier une liste de sujets pour lesquels une approche commune était jugée nécessaire.
Le bilan de la conformité de ChatGPT au RGPD
En ce qui concerne la collecte de données de formation, le Comité note que le « web scraping » (collecte de grandes quantités de données) effectué par OpenAI empêchent un examen indépendant des données. Certaines mesures peuvent cependant permettre de répondre aux exigences du RGPD. Le CEPD insiste ainsi sur le filtrage des catégories de données, un mécanisme qui doit être appliqué en amont de la collecte avec une sélection de critères précis ainsi qu’en aval avec la suppression des données.
Le Comité s’est également penché sur le principe de loyauté. Il estime que la responsabilité du traitement des données ne devrait pas être transférée à la personne concernée par l’insertion dans les conditions générales d’une clause stipulant que la personne concernée est responsable des données saisies dans le Chatbot.
Le but du traitement de données opéré par ChatGPT est de « former » l’intelligence artificielle, et non de fournir des informations exactes. L’exactitude des données n’est donc pas garantie : les résultats peuvent être biaisés ou même fabriqués. Le CEPD indique à cet égard qu’il est de la responsabilité d’OpenAI de prendre les mesures appropriées pour signaler un niveau de fiabilité jusqu’à présent insuffisant.
Enfin, OpenAI se doit d’améliorer les moyens mis à disposition pour faciliter l’exercice des droits garantis par le RGPD. Il convient notamment de proposer aux utilisateurs de recourir à la suppression des données si la rectification n’est techniquement pas possible. Sur la base de ces avis préliminaires du groupe de travail du Comité européen de la protection des données, une enquête est en cours par les autorités de contrôle.
La position mitigée du CEPD sur l’action de la Commission en matière d’IA
Le 29 mai 2024, le CEPD a publié un rapport sur la réponse de l’UE au défi de l’intelligence artificielle, pointant du doigt un investissement insuffisant. Bien qu’elle ait été définie comme une « technologie majeure » par la Commission européenne, le CEPD a constaté l’accroissement de l’écart entre les investissements américains et européens dans l’intelligence artificielle (IA). Elle considère d’ailleurs que les objectifs d’investissement fixés dans les Plans de la Commission en 2018 étaient trop vagues et n’ont jamais été actualisés. Ils suivaient les recommandations de l’OCDE en la matière sans fixer de priorités de recherche pour guider les investissements des états membres.
La Commission devait également coordonner les mesures visant à ajuster et à renforcer l’investissement. Mais l’action du Groupe d’experts des États membres s’est avérée inefficace. Par exemple, à la date fixée dans les Plans, seuls 10 États membres avaient publié des stratégies nationales en matière d’IA. En outre, l’Union européenne prévoyait un soutien à la fois financier (au moyen de prêts de participation aux PME) et technologique (au moyen du développement d’une infrastructure technologique européenne en matière d’IA). Mais ces mesures n’ont jusqu’à présent pas réussi à stimuler l’investissement.
Enfin, la Commission européenne a augmenté le financement de la recherche et de l’innovation en matière d’IA, mais les dépenses réelles étaient inférieures à l’objectif.
En conséquence, le CEPD recommande plusieurs choses à la Commission, notamment améliorer la planification et la coordination des investissements en IA et renforcer la surveillance du financement de l’UE pour la recherche et l’innovation en matière d’IA par exemple.
***
Pour toute demande de conseil juridique, n’hésitez pas à nous contacter. Vous pouvez dès à présent demander un devis gratuit ici.
