L'autorité italienne de protection des données, Garante per la protezione dei dati personali, a infligé à la société américaine Luka Inc. Amende d'un montant de 5 millions d'euros. Luka Inc. aurait violé les principes centraux de la protection des données de l'UE avec son chatbot Replika basé sur l'IA. RGPD n'ont pas respecté la loi. La décision est remarquable non seulement par le montant de la sanction, mais aussi par son approche juridique détaillée des défis posés par les systèmes d'intelligence artificielle générative et la protection des mineurs.
La réplique et ses risques
Replika est un chatbot basé sur l'intelligence artificielle qui, grâce à une interaction textuelle et vocale, peut jouer le rôle d'accompagnateur émotionnel, d'ami ou de partenaire amoureux. Le système a notamment été commercialisé dans le but de favoriser le bien-être émotionnel. Il s'adresse également aux personnes en situation de détresse psychologique ou d'isolement social.
Sur le plan technique, Replika repose sur ce qu’on appelle un « Large Language Model » (LLM). Ses performances s’améliorent grâce à l’interaction continue avec les utilisateurs. Ce perfectionnement s'effectue à partir de données réelles fournies par les utilisateurs, parmi lesquelles figurent des informations à caractère personnel telles que le contenu des communications, les expressions vocales et, le cas échéant, des indications sur l'état mental ou l'humeur. Du point de vue de la protection des données, cela est particulièrement délicat, car ces données sont souvent très sensibles et permettent de tirer des conclusions sur la personnalité, les états d’esprit et les habitudes des personnes concernées.
Au cœur des accusations portées contre Luka Inc. : trois violations graves de la protection des données
Absence de base juridique pour le traitement des données (art. 5, paragraphe 1, point a), art. 6 RGPD)
La politique de confidentialité en vigueur au moment de l'enquête (version du 5 juillet 2022) ne prévoyait pas de classification différenciée des Bases juridiques sur des opérations de traitement spécifiques. En particulier, les Traitement pour le développement du LLM (Model Development) a eu lieu sans base juridique suffisante. Cela va à l'encontre de l'exigence de légalité, d'équité et de transparence. Traitement.
Insuffisance de Obligations d'information (Art. 12, 13 RGPD)
La déclaration de protection des données n'était disponible qu'en anglais, ce qui est contraire à l'article 12, paragraphe 1, deuxième phrase, de la directive sur la protection des données. RGPD n'est pas respectée. La norme exige que les informations soient fournies dans un langage clair et facilement compréhensible - y compris pour les utilisateurs italophones et les mineurs. En fait, la déclaration de confidentialité ne contenait aucune information sur la durée de conservation des données, ni aucune indication claire sur l'utilisation des données à caractère personnel, les transferts en dehors de l'UE ou la Traitement par une prise de décision automatisée. Il en résultait un manque de transparence considérable quant à la nature et à l'étendue du traitement des données.
Absence de protection des mineurs (art. 5, al. 1, let. c, art. 24, 25 RGPD)
Malgré un ciblage explicite de certains groupes (soutien émotionnel, relations amoureuses), Replika ne disposait d’aucun mécanisme efficace de vérification de l’âge. Les mineurs pouvaient utiliser le service sans entrave, même lorsqu’ils déclaraient ouvertement avoir moins de 18 ans. L'autorité de contrôle de la protection des données a notamment critiqué l'absence de mise en œuvre de mesures de protection techniques telles qu'un „ Age-Gate “ robuste, une procédure de „ délai de réflexion “ efficace ou des méthodes de reconnaissance vocale.
Sanctions à l'encontre de Replika : montant, motifs et mesures complémentaires
L'autorité italienne de protection des données a infligé une amende à Luka Inc. Amende d'un montant de 5 millions d'euros. La base de cette sanction était l'article 83, paragraphe 5, de la loi sur la protection des données. RGPDqui prévoit les amendes les plus élevées pour les violations particulièrement graves des principes fondamentaux de la protection des données. Lors de l'évaluation du montant concret, l'autorité a en outre tenu compte de l'article 83, paragraphe 2, de la directive sur la protection des données. RGPD critères mentionnés ci-dessus. Ceux-ci comprennent, entre autres, la nature, la gravité et la durée de la violation, le nombre de personnes concernées, l'ampleur du préjudice causé et le comportement du responsable pendant la procédure.
Plusieurs circonstances aggravantes ont été constatées dans ce cas : Premièrement, il y avait un non-respect structurel et systématique des exigences fondamentales de la législation sur la protection des données - notamment en ce qui concerne Transparence, Affectation des fonds, Bases juridiques et des mesures techniques de protection. Deuxièmement, un grand nombre d'utilisateurs ont été concernés, y compris des groupes vulnérables tels que les mineurs. Troisièmement, la portée internationale de Replika représentait un risque considérable pour les citoyens de l'UE, car aucune mesure appropriée n'avait été prise pour assurer la protection des données dans le cadre d'un traitement transfrontalier.
Outre le Amende a imposé à l'autorité italienne Luka Inc. d'apporter des mesures correctives concrètes. Il s'agissait notamment de mettre à disposition une politique de confidentialité complète et facilement compréhensible en italien. En outre, les informations relatives aux transferts de données vers des pays tiers, ainsi qu'aux durées de conservation et aux finalités du traitement, doivent être nettement plus transparentes et RGPDêtre conçu conformément à [...].
Une attention particulière est également accordée à la mise en place d'un système efficace de vérification de l'âge. Celui-ci permettra à l'avenir de contrôler efficacement l'accès des mineurs et de garantir des mesures de protection adaptées à leur âge.
Conseil de lecture : Compétences en matière d'IC et obligations de l'entreprise selon l'art. 4 du règlement IC
Implications pratiques : un précédent pour les services d'IA dans l'UE
La décision de l'autorité italienne de protection des données contre Luka Inc. a une importance fondamentale, au-delà du cas individuel, pour la gestion des systèmes d'IA générative au sein de l'Union européenne. Elle met en évidence le fait que RGPD s'applique également sans restriction aux modèles d'entreprise hautement dynamiques et axés sur la technologie. Même si le responsable fournisseur a son siège en dehors de l'UE. En effet, le principe du lieu du marché (art. 3, par. 2 RGPD) assure l'applicabilité du droit européen de la protection des données partout où données à caractère personnel sont traitées par des personnes résidant dans l'UE.
Il en ressort un message clair pour la pratique en matière de protection des données : les applications d'IA doivent être conçues dès le départ de manière à ce que Protection des données et Sécurité des données être pris en compte d'un point de vue structurel. Cela vaut en particulier pour les modèles économiques qui ciblent spécifiquement les aspects émotionnels ou psychologiques du comportement des utilisateurs. La mise en place de mécanismes de protection des mineurs, la fourniture d'informations transparentes sur les processus décisionnels automatisés et la délimitation claire des finalités du traitement des données sont absolument indispensables.
L'affaire Replika montre en outre que les autorités de contrôle sont prêtes à soumettre même des systèmes techniquement complexes à une analyse juridique approfondie et à infliger des sanctions sévères en cas d'infractions constatées. Cela devrait également inciter d’autres fournisseurs de chatbots, d’assistants virtuels ou de services thérapeutiques numériques à soumettre leurs processus et leurs politiques de confidentialité à un examen critique.
Enfin, cette décision est également un appel à la régulation internationale : Alors que la RGPD a déjà établi un niveau de protection élevé, cette affaire met en évidence la nécessité de normes minimales mondiales pour la protection des données. TransparenceLa Commission européenne a adopté une résolution sur la responsabilité et les droits de propriété intellectuelle dans le domaine de l'IA. L'affaire Luka Inc. pourrait donc jouer un rôle de précurseur pour d'autres procédures au niveau national et européen et servir de modèle pour un écosystème de l'IA respectueux de la vie privée en Europe.
German 
English 
Italian 
French