ChatGPT versus le RGPD – Point d’étape au 1^er mai 2023 sur l’actualité européenne

Les risques induits par ChatGPT

Comme le grand public, les autorités de protection de données ont prêté une attention particulière à ChatGPT. En développant et en gérant cet outil, Open AI est en effet amenée à traiter des volumes importants de données à caractère personnel.

Il y a, d’une part, les données se rattachant aux utilisateurs collectées lors de la création de leurs comptes, lors de leur souscription à la version payante, lors de leurs conversations avec l’outil ou encore lors de leur simple navigation sur la plateforme de ChatGPT. Ces données peuvent être utilisées par OpenAI à des fins de gestion des comptes utilisateurs, de fourniture de ses services, mais également à d’autres fins telles que l’amélioration de ChatGPT. C’est ainsi que les conversations avec les utilisateurs alimentent l’outil qui continue à s’entraîner avec ces dernières.

Il y a, d’autre part, et cela sera très probablement le nœud du problème et le nerf de la guerre avec les autorités de protection, les données collectées massivement sur Internet et sur la base desquelles ChatGPT a été entraîné. Ce traitement de données cristallise de nombreuses difficultés d’application du RGPD. Il soulève notamment la question très controversée de la possible (ou impossible) conformité au RGPD du scraping des données en ligne, c’est-à-dire de l’aspiration massive de données publiées sur des sites internet. Cela n’est pas sans rappeler l’affaire de l’outil de reconnaissance faciale de la société Clearview AI basé sur des milliards de données collectées en ligne et jugé non conforme au RGPD en 2022 par de nombreuses autorités, y compris la CNIL (CNIL, délib. de la formation restreinte n° SAN-2022-019 du 17 oct. 2022 concernant la société CLEARVIEW AI).

Panorama non exhaustif européen

Les premières décisions et prises de position publiques révèlent ainsi de fortes inquiétudes de la part des autorités de protection des données.

Le 31 mars 2023, la Garante per la protezione dei dati personali (la « Garante »), l’autorité de protection des données italienne, a ouvert le bal des décisions. Elle a interdit temporairement à OpenAI, la société opérant l’outil ChatGPT, de traiter les données à caractère personnel des personnes établies sur le territoire italien sur le fondement de l’article 58 du RGPD (Garante, Provvedimento del 30 marzo 2023, Registro dei provvedimenti n. 112 del 30 marzo 2023, doc. web n. 9870832).
Après plusieurs échanges et rencontres, la Garante a décidé le 28 avril 2023 de lever cette interdiction au regard des mesures proposées par OpenAI pour remédier aux...