Panorama rapide de l’actualité « Technologies de l’information » des semaines des 19 et 26 mai 2025

Données personnelles

IA générative et données personnelles : la CNIL italienne affine sa politique de mise en conformité

• La question de la protection des données personnelles concerne le chatbot « Replika » qui permet à ses utilisateurs d’interagir avec une entité virtuelle personnalisable, qui remplit des fonctions allant du thérapeute au partenaire amoureux avec des fonctionnalités vocales et textuelles évolutives.
  Le 19 mai 2025, la CNIL italienne a infligé une amende de 5 millions d’euros à la société américaine Luka Inc., responsable de l’exploitation du chatbot « Replika » en raison de violations du RGPD. Parallèlement, elle a ouvert une enquête indépendante visant à vérifier la conformité des traitements de données personnelles opérés par le système d’intelligence artificielle générative à la base de ce service.
  La CNIL italienne a ainsi notamment relevé, comme cela avait déjà été le cas en février 2023, l’absence d’identification par la société Luka Inc. de base légale de traitement et la non-conformité de sa politique de confidentialité à plusieurs égards. Cela avait alors justifié le blocage du service. A l’époque, la CNIL italienne avait également constaté que la société Luka Inc. n’avait pas mis en œuvre de mécanisme efficace de vérification de l’âge. Aussi, en complément de la sanction pécuniaire, la CNIL italienne a ordonné à la société de mettre l’ensemble de ses traitements en conformité avec les exigences du RGPD.
  Par ailleurs, la CNIL italienne affine son appréciation de la conformité des systèmes IA avec la protection des données personnelles : elle a initié une enquête indépendante en demandant à la société Luka Inc. de lui fournir des renseignements s’agissant des traitements de données effectués pendant l’ensemble du « cycle de vie » du système d’intelligence artificielle générative à la base du service « Replika » et en particulier des informations concernant l’évaluation des risques, les mesures adoptées pour assurer la protection des données aux différentes étapes de développement et d’entraînement du modèle de langage à la base de « Replika », les types et catégories de données traitées, ainsi que l’éventuelle mise en œuvre de mesures d’anonymisation ou de pseudonymisation des données.

Démarcharge sans consentement, la CNIL sanctionne et le fait savoir

• Par une délibération en date du 15 mai 2025, la CNIL a sanctionné la...