Exercice du droit d’opposition (RGPD).
Pour s’opposer au traitement de ses données aux fins d’amélioration des modèles d’IA de ces services, un utilisateur doit d’abord créer un compte et fournir plusieurs données personnelles.
Autrement dit, il faut donner plus de données pour pouvoir en refuser l’usage.
Cette pratique soulève de sérieux problèmes au regard du RGPD.
D’une part, l’article 5 (1) (c) du RGPD impose que les données collectées soient limitées à ce qui est strictement nécessaire à la finalité poursuivie.
Or, la création d’un compte complet pour exercer un droit d’opposition conduit à collecter des données non indispensables à cette seule finalité.
D’autre part, l’article 12 (2) du RGPD prévoit que le responsable du traitement doit faciliter l’exercice des droits des personnes concernées.
Conditionner l’exercice du droit d’opposition à une procédure lourde et à la communication d’informations supplémentaires apparaît comme contraire à cette obligation de simplicité et d’accessibilité.
Surtout, les IA en cause proposent déjà des options d’opt‑out parfaitement fonctionnelles pour leurs utilisateurs connectés.
Il convient de relever que la CNIL dispose d’une page web indiquant comment exercer son droit d’opposition sur plusieurs IA, dont Grok et Meta AI. Cette page n'envisage absolument pas le cas des utilisateurs non-connectés, en partant du principe que le droit d’opposition ne s’exerce qu’une fois connecté.
Des pratiques plus respectueuses sont possibles.
OpenAI (ChatGPT) et Mistral AI (Le Chat) permettent d’exercer le droit d’opposition sans créer de compte.
Cela fait suite à une ordonnance du 11 avril 2023 du Garante, homologue italien de la CNIL, qui a imposé à OpenAI de permettre aux utilisateurs de ChatGPT d’exercer leur droit d’opposition.
Le Garante a clos cette procédure par une décision du 20 décembre 2024 assortie d’une amende de 15 millions d’euros.
Anthropic (Claude) et Google (Gemini) bloquent purement et simplement l’accès au service en l’absence de compte, comme Grok initialement. Cela est parfaitement licite et permet d’éviter la présente problématique.
Deux de ces trois acteurs ont par ailleurs une politique de confidentialité non traduite en français, ce qui est contraire à l’article 12 (1) du RGPD qui impose que toute information fournie soit « concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples ».
Les lignes directrices du CEPD n°2016/679 du WP260 adoptées le 11 avril 2018 et reprises par le CEPD précisent qu’une traduction doit être prévue lorsque le responsable de traitement cible des personnes parlant une langue donnée. Depuis une IP française, ces chatbots ont une interface en français. Leur politique de confidentialité devrait donc en être de même.
Source :
Page web CNIL - "IA et vie privée : comment s’opposer à la réutilisation de ses données personnelles pour l’entraînement d’agents conversationnels ?" : https://www.cnil.fr/fr/ia-comment-sopposer-la-reutilisation-de-ses-donnees-personnelles-entrainement-agent-conversationnel
Cette page n'envisage malheureusement à ce jour que la situation des utilisateurs connectés, ce qui occulte la problématique relative à l'exercice des droits des utilisateurs non-connectés.
Crédits image : Unsplash - Aerps.com