L’Italie est le premier pays à suspendre temporairement ChatGPT, l’intelligence artificielle qui fait tant parler d’elle. Face à l’envoi des premières plaintes à la CNIL, une interdiction similaire en France est désormais envisagée.
La possibilité d’un blocage de ChatGPT en France, jusqu’alors hypothétique, se concrétise de plus en plus. Deux plaintes auprès de la Commission nationale de l’informatique et des libertés (CNIL) ont été déposées. Leur examen par l’autorité de protection des données personnelles pourrait, en théorie, aboutir à une interdiction du chatbot sur le territoire français.
Invraisemblable ? Les récents événements en Italie démontrent au contraire que l’accès à l’agent conversationnel développé par la société américaine OpenAI n’est pas assuré. Par ailleurs, l’agent conversationnel capable de produire du texte en temps réel suscite l’intérêt grandissant de différents régulateurs – en Allemagne, au Canada, aux États-Unis, en Irlande, ou encore au Royaume-Uni.
À la fin du mois de mars, l’autorité de protection des données en Italie, équivalente à la CNIL, soulignait plusieurs infractions et problèmes liés à ChatGPT. Elle demandait à OpenAI de suspendre « ChatGPT jusqu’à ce qu’il se conforme à la réglementation en matière de protection de la vie privée ».
Dans les heures qui ont suivi, la société a obtempéré : elle a interrompu l’accès à ChatGPT depuis l’Italie.
Comme on pouvait s’y attendre, l’arrêt de ChatGPT a provoqué une augmentation spectaculaire de la demande pour les VPN en Italie. Les utilisateurs doivent, en effet, recourir à ces services pour contourner le blocage et faire croire à OpenAI que leur connexion provient en réalité d’un autre pays. Par conséquent, il est tout à fait plausible qu’une interdiction en France engendrerait également un afflux massif vers les VPN.
Les premières plaintes soumises à la CNIL concernant ChatGPT
Pour le moment, on n’en est pas encore là. La première plainte en France, signalée le 5 avril par le site L’Informé, a été déposée par l’avocate Zoé Villain, présidente de l’association Janus International, consacrée à la sensibilisation aux enjeux du numérique. La seconde émane d’un développeur, David Libeau, qui a récemment mis en ligne un site contestant la vidéosurveillance.
Dans sa plainte, Zoé Villain relate sa tentative infructueuse d’obtenir l’accès à ses données personnelles, après avoir constaté plusieurs manquements de la part d’OpenAI. Elle s’étonne de ne pas avoir lu ni accepté de politique de confidentialité ou de conditions générales d’utilisation. Pourtant, elle a fourni des données lors de son inscription et de l’utilisation du service.
L’avocate estime que le public n’est pas suffisamment informé sur la manière dont OpenAI traite les données personnelles.
Un premier contact a été établi avec OpenAI, mais les discussions n’ont pas abouti. Zoé Villain affirme ne jamais avoir pu obtenir une copie des informations souhaitées, malgré la fourniture d’éléments supplémentaires pour prouver son identité.
« OpenAI n’a pas été en mesure de donner droit à ma demande d’accès à mes données personnelles dans les délais impartis, et ce sans justification », écrit-elle dans sa plainte.
Pourtant, le RGPD stipule que le responsable du traitement – en l’occurrence OpenAI – doit « faciliter l’exercice des droits des personnes concernées », sauf s’il est démontré que l’identification est impossible.
C’est pourquoi Zoé Villain sollicite l’aide de la CNIL, en l’incitant implicitement à envisager des sanctions qu’elle jugerait “appropriées” pour contraindre la société américaine à se conformer à la législation européenne. Selon l’avocate, l’objectif est qu’OpenAI respecte les règles relatives aux données personnelles.
Dans sa plainte, Zoé Villain rappelle d’ailleurs à la Commission les événements récents en Italie. En effet, l’Autorité italienne pour la protection des données personnelles a estimé que l’activité d’OpenAI ne respectait pas le droit relatif aux données personnelles. Or, l’Italie est également soumise au RGPD, tout comme la France. Par conséquent, il est tout à fait possible que la CNIL parvienne aux mêmes conclusions.
Diverses sanctions possibles sont à disposition
Il est déjà connu que la Commission nationale de l’informatique et des libertés a pris contact avec son homologue italienne afin de “discuter des observations qui ont été faites“.
C’était le 31 mars dernier.
Depuis, deux plaintes ont été déposées et d’autres pourraient suivre, en France comme dans le reste de l’Union européenne. Le RGPD est en vigueur dans 27 États.
Un blocage en France constituerait l’option la plus drastique, mais c’est une mesure extrêmement rare. Avant d’en arriver à cette “arme ultime“, la CNIL dispose de plusieurs autres moyens d’action offrant des alternatives intermédiaires pour mettre fin à une infraction.
Les diverses mesures à la disposition de la CNIL sont énumérées sur son site web :
- Un rappel aux obligations légales ;
- Une injonction de se conformer, pouvant être accompagnée d’une astreinte allant jusqu’à 100 000 euros par jour de retard ;
- Une limitation temporaire ou définitive du traitement, son interdiction ou la révocation d’une autorisation ;
- Une sanction administrative pouvant aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial de l’entreprise.
Chacune de ces sanctions peut être envisagée si les violations constatées sont avérées — ce que l’enquête de la CNIL doit établir. Le blocage de ChatGPT en France pourrait d’ailleurs ne pas être initié par la Commission, mais par OpenAI, par peur des conséquences de certaines décisions. Cela pourrait être le cas, par exemple, si une amende très importante était à l’horizon.
