C’est une décision fort étonnante que viennent d’adopter les membres de l’Union européenne dernièrement. Ce 21 octobre, le Comité des représentants permanents de l’Union européenne, plus connu sous le nom des ambassadeurs des Vingt-Sept, a approuvé la reprise des négociations pour l’inscription au sein du RGPD d’un amendement autorisant les modèles d’intelligence artificielle à s’entraîner sur les données personnelles des utilisateurs.
En septembre, l’association européenne basée à Vienne noyb s’était déjà soulevée contre le projet du Conseil européen en expliquant qu’il ne s’agissait de “rien d’autre que l’expropriation numérique des Européens”. Peu après l’annonce de la reprise des négociations sur le sujet, l’association s’est montrée particulièrement critique envers le Conseil européen. Max Schrems, président d’honneur de noyb, y voit “la remise totale des données européennes aux multinationales”.
Un “intérêt légitime”
Concrètement, ce nouvel article 88 bis du RGPD permettrait d’invoquer l'”intérêt légitime” pour développer et exploiter des IA avec des données personnelles, et ce, sans le consentement de l’utilisateur. Ce libre accès aux données personnelles reposerait sur le principe du consentement présumé, en d’autres termes “qui ne dit mot, consent”. Toujours selon l’article 88 bis, les seules exceptions sont celles où le droit de l’Union européen ou du pays concerné exige explicitement le consentement. Le fait que la personne soit un enfant obligerait également l’IA à demander le consentement du traitement des données.
Dans le texte du Conseil européen, il est également fait mention d’un certain article 9 qui, au deuxième paragraphe, évoque le cas des données sensibles, comme le cas d’une maladie ou autre. En effet, pour entraîner une IA, son exploitant aspire des quantités énormes de textes et de photos. Dans le lot, il y a forcément des informations sensibles. Il est bien sûr impossible de tout trier à la main, mais le Conseil européen veut réguler ce type d’informations utilisées par les OpenAI et autres Anthropic.
Ainsi, le Conseil propose que si de telles données se retrouvaient dans les calculs d’entraînement par accident, alors l’entreprise ne sera pas considérée comme en tort ni punissable par la loi européenne. Elle devra tout de même faire un effort sérieux pour les éviter, comme par exemple filtrer dès la collecte, mais le Conseil européen ne quantifie ni ne définit clairement les limites. Et si l’entreprise repère des données sensibles, elle doit les effacer sans tarder.
Pour l’instant, ce texte de loi polémique n’en est qu’au stade des négociations au sein du Conseil européen. Il n’y a pas encore de calendrier officiel établi. Espérons toutefois que les négociations prennent du temps…