Dans le monde actuel axé sur les données, l'avancement rapide de l'intelligence artificielle (IA) révolutionne les industries et permet aux entreprises de saisir des opportunités sans précédent. Mais ce paysage en mutation a soulevé des problèmes de confidentialité et de sécurité qui exigent un examen approfondi de la manière dont l'IA traite les données personnelles et de son impact sur la réglementation en matière de protection des données dans l'UE. Le GDPR peut-il nous protéger contre la programmation avide de données de l'IA ?
Le 31 mars 2023, l'autorité italienne de protection des données, le Garante per la Protezione dei Dati Personali, a émis une interdiction temporaire contre ChatGPT d'OpenAI pour l'utilisation des informations personnelles de millions de citoyens italiens exploitées pour les données d'entraînement de l'IA. Cet événement a ouvert la voie à un examen réglementaire de la part d'autres superviseurs européens et a mis en lumière l'abus de données personnelles par les algorithmes d'apprentissage automatique.
Depuis 2018, le Règlement général sur la protection des données (GDPR) de l'UE est la référence en matière de protection des données, établissant une nouvelle norme pour les réglementations mondiales en la matière et remodelant la manière dont les organisations traitent les données personnelles à l'ère numérique. Cependant, les récentes avancées avec les modèles de langage d'IA tels que GPT-3 et 4 utilisés pour ChatGPT ont créé un défi unique pour la conformité au GDPR en raison de l'absence de considération spécifique pour les technologies d'IA dans le règlement.
Bien que le GDPR couvre des aspects cruciaux de la confidentialité et de la protection des données, il ne traite pas spécifiquement des complexités et des menaces potentielles liées aux systèmes d'IA. Explorons de quelles manières le GDPR comble cette lacune réglementaire et ce que l'avenir réserve à la confidentialité des données.
Quels dilemmes l'IA pose-t-elle à la vie privée ?
Les modèles de langage d'IA, tels que GPT-3, ont besoin de données pour être entraînés à écrire du texte, découvrir des corrélations, faire des prédictions, améliorer leurs performances, etc. Ces modèles acquièrent leurs connaissances par une combinaison de méthodes, notamment en parcourant Internet pour trouver des informations, en recevant des données de licences tierces et via le matériel saisi par les utilisateurs via des chats. Cela inclut également les données personnelles des citoyens de l'UE qui sont accessibles au public. Cependant, selon le GDPR, cela ne signifie pas qu'elles peuvent être librement utilisées pour entraîner des modèles d'IA. L'article 6 du règlement stipule qu'à moins qu'il n'existe une base juridique suffisante, les données personnelles qui identifient directement ou indirectement un individu ne peuvent être collectées, stockées ou traitées sans fondement juridique. Cependant, aucun consentement à l'utilisation des informations personnelles n'a été demandé aux individus pendant la phase d'entraînement des modèles d'IA. Dans presque tous les cas, il était impossible de savoir ce que les systèmes d'IA parcouraient en ligne.
« Une grande quantité de données sur Internet concerne des personnes, donc nos informations d'entraînement incluent incidemment des informations personnelles. » ~ OpenAI
Un autre problème est le droit à l'oubli. L'article 17 du GDPR, souvent connu sous le nom de « Droit à l'effacement » ou « Droit à l'oubli », donne aux personnes le droit de demander la suppression de leurs données personnelles dans certaines situations. Les modèles de langage d'IA peuvent-ils oublier les données personnelles d'un individu ? Dans un article de Forbes, l'expert en IA et entrepreneur social Miguel Luengo-Oroz a noté que les réseaux de neurones d'IA n'oublient pas comme les humains, mais modifient plutôt leurs poids pour refléter plus précisément les nouvelles données. Cela signifie que les informations restent avec eux, et les réseaux se concentrent sur la collecte de nouvelles données. Il est actuellement impossible d'inverser les modifications apportées à un système d'IA par un seul point de données à la demande du propriétaire des données.
L'intérêt légitime concerne-t-il l'IA ?
Conformément au GDPR, les organisations peuvent traiter des données personnelles sans le consentement explicite de la personne concernée si elles ont un intérêt légitime à le faire et que cet intérêt n'est pas supplanté par les droits et libertés de la personne concernée. En ce qui concerne l'entraînement des modèles de langage d'IA, cela peut être délicat. Une analyse minutieuse est nécessaire pour déterminer si les intérêts de l'organisation l'emportent sur les droits de l'individu.
Un regard sur le cas de ChatGPT et les violations du GDPR
La récente action intentée contre ChatGPT par l'autorité italienne de protection des données marque la première instance où un régulateur aborde les préoccupations de confidentialité entourant le développement de grands modèles d'IA générative. Le Garante italien a identifié quatre problèmes spécifiques au GDPR concernant ChatGPT. Ceux-ci incluent l'absence de contrôles d'âge pour empêcher l'utilisation par des personnes de moins de 13 ans, la fourniture potentielle d'informations inexactes sur des individus, le manque de divulgation concernant la collecte de données et l'absence de base juridique pour la collecte d'informations personnelles pendant l'entraînement de ChatGPT.
La Commission irlandaise de protection des données a déclaré son intention de collaborer avec d'autres autorités de protection des données de l'UE sur cette question. D'autres régulateurs européens de la protection des données, y compris la Belgique et la France, examinent également la question.
Le manque de transparence d'OpenAI concernant l'ensemble de données utilisé pour entraîner ChatGPT a également suscité des inquiétudes. Des chercheurs de Microsoft – le principal investisseur d'OpenAI – ont admis ne pas avoir accès aux détails complets des vastes données d'entraînement de ChatGPT. De plus, une violation de données en mars 2023 a entraîné l'exposition des conversations et des informations de paiement des utilisateurs, compliquant davantage la position d'OpenAI. Les régulateurs, comme le commissaire de l'État allemand du Schleswig-Holstein, demandent des évaluations d'impact sur la protection des données et des informations concernant la conformité au GDPR.
Quels autres systèmes d'IA ont violé les règles de protection des données ?
ChatGPT n'est pas le seul système d'IA qui s'est avéré violer les règles de protection des données. Voici quelques exemples supplémentaires :
En octobre 2022, Clearview AI a reçu une amende de 20 millions d'euros de la part de l'autorité française de protection des données, la CNIL, pour son service de reconnaissance faciale qui collectait des photographies de citoyens français sans base juridique.
En février 2023, le Garante italien a agi contre Replika, un chatbot IA, en lui demandant de cesser de traiter les données des utilisateurs italiens. La préoccupation découlait de l'absence d'une base juridique appropriée pour le traitement des données des enfants conformément au GDPR.
En mai 2022, l'autorité hongroise de protection des données a infligé une amende de 250 millions de HUF (665 000 €) à Budapest Bank pour l'utilisation d'une solution d'IA utilisée pour analyser les enregistrements vocaux des appels entre ses clients et le centre d'appels. La banque a fourni des informations vagues sur la manière dont l'IA traitait les données des clients, et son évaluation d'impact sur la protection des données ainsi que sa documentation pour le test d'équilibrage étaient en violation du GDPR.
En mai 2023, Samsung Electronics Co. a mis en œuvre une interdiction de l'utilisation par les employés d'outils d'IA générative, y compris ChatGPT, après avoir découvert que des employés avaient téléchargé du code sensible sur la plateforme. La décision a été motivée par des préoccupations selon lesquelles les données transmises à des plateformes d'IA comme Google Bard et Bing sont stockées sur des serveurs externes, posant des défis pour la récupération et la suppression, et pouvant potentiellement conduire à une divulgation involontaire à d'autres utilisateurs.
Comment les modèles d'IA peuvent-ils devenir conformes au GDPR ?
Le Parlement européen a publié une étude en juin 2020 intitulée « L'impact du Règlement général sur la protection des données (GDPR) sur l'intelligence artificielle », qui aide à éclairer la manière dont un modèle d'IA peut être conforme au GDPR. Elle indique qu'un système d'IA qui utilise des données personnelles doit être créé, entraîné et déployé avec un objectif juridique spécifique en tête. Cet objectif doit être connu, clair et aligné sur la mission de l'organisation. Il doit être développé à l'avance pendant le processus de planification du projet. L'utilisation de systèmes d'IA nécessite un fondement légitime. Ces justifications juridiques incluent :
Que ce soit pendant les phases d'entraînement ou opérationnelles du modèle d'IA, il est important d'utiliser des données collectées légalement. La protection du GDPR est toujours applicable à des fins d'apprentissage si la phase d'apprentissage est clairement distinguée de la mise en œuvre opérationnelle et a pour seul objectif d'améliorer les performances du système d'IA. Une règle cruciale pour les systèmes d'IA utilisant des données personnelles est la réduction des données. Seules les informations pertinentes, nécessaires et appropriées doivent être collectées et utilisées pour atteindre l'objectif déclaré. La quantité de données nécessaire pour entraîner le système doit être soigneusement examinée pendant le processus d'apprentissage. Les entreprises doivent soigneusement considérer le type et le volume de données, tester les performances du système avec de nouvelles données, différencier clairement les données d'apprentissage et de production, utiliser des mécanismes de pseudonymisation ou de filtrage des données, maintenir une documentation sur la compilation et les propriétés des ensembles de données, réévaluer régulièrement les risques pour les personnes concernées, assurer la sécurité des données et établir des cadres d'autorisation d'accès.
Quel est l'avenir du GDPR et de l'IA ?
L'avenir du GDPR et de l'IA présente un ensemble unique de défis et de considérations. Bien que le GDPR se soit principalement concentré sur la résolution des défis émergents liés à Internet, il n'incluait pas de concepts liés à l'IA. Bien que le règlement européen ne nécessite pas de modifications significatives pour s'adapter à l'IA, il existe des incertitudes et des lacunes dans le traitement des problèmes de protection des données liés à l'IA.
Proposée en 2021, la Réglementation de l'UE sur l'IA est un développement significatif dans ce domaine. Elle distingue les systèmes d'IA à haut risque (destinés à être utilisés comme composants de sécurité) des autres systèmes d'IA, reconnaissant la nécessité d'approches adaptées.
De plus, le GDPR joue un rôle dans le traitement de la surveillance des biais et du traitement des données biométriques au sein des systèmes d'IA. Mais bien que la Réglementation sur l'IA vise à compléter le GDPR, elle offre une clarté limitée sur le traitement des données personnelles par les systèmes d'IA autres que ceux à haut risque. Pour que les modèles d'IA soient conformes au GDPR, des discussions continues, des collaborations entre autorités et entreprises, et des orientations supplémentaires de la part de l'UE sont nécessaires à court terme.
