Replika enfreint massivement le RGPD : Luka Inc. doit payer une amende de plusieurs millions en Italie

Le chatbot d'intelligence artificielle Replika enfreint massivement le RGPD.
Catégories :

L'autorité italienne de protection des données, Garante per la protezione dei dati personali, a infligé à la société américaine Luka Inc. Amende d'un montant de 5 millions d'euros. Luka Inc. aurait violé les principes centraux de la protection des données de l'UE avec son chatbot Replika basé sur l'IA. RGPD n'ont pas respecté la loi. La décision est remarquable non seulement par le montant de la sanction, mais aussi par son approche juridique détaillée des défis posés par les systèmes d'intelligence artificielle générative et la protection des mineurs.

La réplique et ses risques

Replika est un chatbot basé sur l'IA qui peut agir comme un compagnon émotionnel, un ami ou un partenaire romantique via une interaction textuelle et vocale. Le système a été commercialisé en particulier pour promouvoir le bien-être émotionnel. Il s'adresse également aux personnes souffrant de troubles psychiques ou isolées socialement.

Du point de vue technique, Replika est basé sur un "Large Language Model" (LLM). Sa performance est améliorée par l'interaction continue avec les utilisateurs. Ce développement se fait en utilisant des données réelles d'utilisateurs, y compris des informations personnelles telles que le contenu de la communication, les formes d'expression vocale et, le cas échéant, des informations sur l'état mental ou émotionnel. Du point de vue de la protection des données, cela est particulièrement délicat, car ces données sont souvent particulièrement sensibles et permettent de tirer des conclusions sur la personnalité, l'humeur et les habitudes des personnes concernées.

Au cœur des accusations contre Luka Inc. : trois graves violations de la protection des données

Absence de base juridique pour le traitement des données (art. 5, paragraphe 1, point a), art. 6 RGPD)
La déclaration de confidentialité en vigueur au moment de l'enquête (version du 5 juillet 2022) ne présentait pas d'attribution différenciée de Bases juridiques sur des opérations de traitement spécifiques. En particulier, les Traitement pour le développement du LLM (Model Development) a eu lieu sans base juridique suffisante. Cela va à l'encontre de l'exigence de légalité, d'équité et de transparence. Traitement.

Insuffisance de Obligations d'information (Art. 12, 13 RGPD)
La déclaration de protection des données n'était disponible qu'en anglais, ce qui est contraire à l'article 12, paragraphe 1, deuxième phrase, de la directive sur la protection des données. RGPD n'est pas respectée. La norme exige que les informations soient fournies dans un langage clair et facilement compréhensible - y compris pour les utilisateurs italophones et les mineurs. En fait, la déclaration de confidentialité ne contenait aucune information sur la durée de conservation des données, ni aucune indication claire sur l'utilisation des données à caractère personnel, les transferts en dehors de l'UE ou la Traitement par une prise de décision automatisée. Il en résultait un manque de transparence considérable quant à la nature et à l'étendue du traitement des données.

Absence de protection des mineurs (art. 5, al. 1, let. c, art. 24, 25 RGPD)
Malgré un ciblage explicite (soutien émotionnel, relation romantique), Replika ne contenait aucun mécanisme efficace de vérification de l'âge. Les mineurs pouvaient utiliser le service en toute liberté, même s'ils s'identifiaient ouvertement comme ayant moins de 18 ans. L'autorité de surveillance de la protection des données a notamment critiqué l'absence de mise en œuvre de mesures de protection techniques telles qu'une "porte d'âge" robuste, une procédure de "cooling-off" efficace ou des méthodes de reconnaissance basées sur la voix.

Sanctions contre les répliques : montant, justification et mesures supplémentaires

L'autorité italienne de protection des données a infligé une amende à Luka Inc. Amende d'un montant de 5 millions d'euros. La base de cette sanction était l'article 83, paragraphe 5, de la loi sur la protection des données. RGPDqui prévoit les amendes les plus élevées pour les violations particulièrement graves des principes fondamentaux de la protection des données. Lors de l'évaluation du montant concret, l'autorité a en outre tenu compte de l'article 83, paragraphe 2, de la directive sur la protection des données. RGPD critères mentionnés ci-dessus. Ceux-ci comprennent, entre autres, la nature, la gravité et la durée de la violation, le nombre de personnes concernées, l'ampleur du préjudice causé et le comportement du responsable pendant la procédure.

Plusieurs circonstances aggravantes ont été constatées dans ce cas : Premièrement, il y avait un non-respect structurel et systématique des exigences fondamentales de la législation sur la protection des données - notamment en ce qui concerne Transparence, Affectation des fonds, Bases juridiques et des mesures techniques de protection. Deuxièmement, un grand nombre d'utilisateurs étaient concernés, y compris des groupes vulnérables tels que les mineurs. Troisièmement, la portée internationale de Replika représentait un risque important pour les citoyens de l'UE, étant donné qu'aucune précaution adéquate n'avait été prise pour protéger le traitement transfrontalier des données.

Outre le Amende l'autorité italienne a obligé Luka Inc. à apporter des améliorations concrètes. Il s'agissait notamment de fournir une déclaration de confidentialité complète et facilement compréhensible en italien. En outre, les informations relatives aux transferts de données vers des pays tiers ainsi qu'aux périodes de stockage et aux finalités du traitement doivent être nettement plus transparentes et conformes au RGPD.

En outre, l'accent est mis sur la mise en œuvre d'un système efficace de vérification de l'âge. Celui-ci doit permettre de contrôler efficacement l'accès des mineurs à l'avenir et de garantir des mesures de protection adaptées à leur âge.

Conseil de lecture : Compétences en matière d'IC et obligations de l'entreprise selon l'art. 4 du règlement IC

Importance pour la pratique : précédent pour les services d'IA dans l'UE

La décision de l'autorité italienne de protection des données contre Luka Inc. a une importance fondamentale, au-delà du cas individuel, pour la gestion des systèmes d'IA générative au sein de l'Union européenne. Elle met en évidence le fait que RGPD s'applique également sans restriction aux modèles d'entreprise hautement dynamiques et axés sur la technologie. Même si le responsable fournisseur a son siège en dehors de l'UE. En effet, le principe du lieu du marché (art. 3, par. 2 RGPD) assure l'applicabilité du droit européen de la protection des données partout où données à caractère personnel traitées par des résidents de l'UE.

Pour la pratique de la protection des données, il en résulte un signal clair : les applications d'IA doivent être conçues dès le départ de manière à ce que Protection des données et Sécurité des données être pris en compte de manière structurelle. Cela vaut en particulier pour les modèles commerciaux qui ciblent spécifiquement les aspects émotionnels ou psychologiques du comportement des utilisateurs. Il est impératif de tenir compte des mécanismes de protection des mineurs, de fournir des informations transparentes sur les processus de décision automatisés et de délimiter clairement les finalités du traitement des données.

Le cas de Replika montre en outre que les autorités de surveillance sont prêtes à soumettre des systèmes techniquement complexes à une analyse juridique approfondie et à infliger des sanctions sévères en cas d'infractions constatées. Cela devrait également inciter d'autres fournisseurs de chatbots, d'assistants virtuels ou d'offres thérapeutiques numériques à soumettre leurs processus et leurs déclarations de protection des données à un examen critique.

Enfin, cette décision est également un appel à la régulation internationale : Alors que la RGPD a déjà établi un niveau de protection élevé, cette affaire met en évidence la nécessité de normes minimales mondiales pour la protection des données. TransparenceLa Commission européenne a adopté une résolution sur la responsabilité et les droits de propriété intellectuelle dans le domaine de l'IA. L'affaire Luka Inc. pourrait donc jouer un rôle de précurseur pour d'autres procédures au niveau national et européen et servir de modèle pour un écosystème de l'IA respectueux de la vie privée en Europe.

Source : L'autorité italienne de protection des données Garante per la protezione dei dati personali inflige une amende à Luka Inc.

Les tags :
Partager ce post :