ChatGPT et les cookies : le droit à l'opt-out à l'ère de l'IA

En 2024, le Garante pour la Protection des Données Personnelles italien a rendu une décision historique contre OpenAI, la sanctionnant pour avoir utilisé les données des utilisateurs européens afin d'entraîner ChatGPT sans fondement juridique valide. La question des cookies et du consentement s'est révélée être le catalyseur d'un débat plus large : jusqu'où les entreprises technologiques peuvent-elles utiliser nos données pour construire des modèles d'intelligence artificielle ? La réponse du RGPD est claire : le consentement doit être libre, spécifique, éclairé et révocable à tout moment.

L'affaire OpenAI : qu'est-il arrivé

OpenAI a commencé à collecter des données auprès des utilisateurs de ChatGPT via des cookies, des trackeurs et des comportements en ligne, utilisant ces informations pour améliorer ses modèles. Le problème est que cela se fait souvent sans transparence adéquate. Les utilisateurs n'ont pas été clairement informés du fait que leurs données personnelles — y compris des conversations privées, des habitudes de navigation et des préférences — seraient utilisées pour l'entraînement des IA.

Le Garante italien a établi qu'OpenAI ne disposait pas de base juridique valide pour traiter ces données au sens de l'article 6 du RGPD. Le consentement n'avait pas été recueilli de manière conforme aux normes requises : ni clair, ni explicite, ni facilement révocable. La conséquence ? Une amende de 15 millions d'euros et l'obligation d'interrompre le traitement des données des utilisateurs européens.

Pourquoi le consentement aux cookies est fondamental pour l'IA

Les cookies et les technologies de traçage sont souvent le premier point de collecte des données personnelles. Lorsqu'un utilisateur accepte les cookies sur un site, il donne son consentement pour ce site spécifique, et non pour l'entraînement de modèles d'IA tierce. Cette distinction est cruciale et trop souvent ignorée par les grandes plateformes technologiques.

Le principe de limitation de finalité, consacré par l'article 5 du RGPD, établit que les données collectées pour une raison déterminée ne peuvent pas être réutilisées à des fins différentes sans un nouveau consentement. Lorsque OpenAI utilise les données des utilisateurs pour entraîner ChatGPT, elle viole en réalité ce principe fondamental, transformant un cookie marketing accepté à des fins spécifiques en autorisation indiscriminée pour l'usage industriel des données.

Comment exercer le droit à l'opt-out

La bonne nouvelle est que le RGPD fournit des outils concrets pour se protéger. Voici ce que vous pouvez faire pour exercer votre droit à l'opt-out du traitement des données aux fins d'entraînement des IA :

• Utilisez des navigateurs et extensions qui bloquent automatiquement les cookies de traçage, comme Privacy Badger ou uBlock Origin.
• Exercez le droit d'opposition au titre de l'article 21 du RGPD, en envoyant une demande formelle au responsable du traitement.
• Vérifiez les paramètres de confidentialité sur ChatGPT et désactivez l'option « Contribuer à l'amélioration des produits ».
• Signalez toute violation au Garante pour la Protection des Données Personnelles via le portail dédié.
• Utilisez des services de messagerie et de navigation qui ne collectent pas de données à des fins d'entraînement.

L'avenir du consentement numérique

L'affaire OpenAI ne représente que le début d'un changement plus large dans le paysage de la confidentialité numérique. Avec l'avènement de l'IA générative, les entreprises tech cherchent à élargir le périmètre d'utilisation des données personnelles, exploitant souvent des zones grises réglementaires. Le RGPD, cependant, fait la preuve d'être un outil efficace lorsqu'il est appliqué avec rigueur.

Il est important de rappeler que le consentement n'est pas un acte unique et définitif. Vous pouvez le révoquer à tout moment, gratuitement et sans difficulté. Les entreprises sont tenues de faciliter cette procédure, en la rendant aussi simple que l'octroi du consentement. Si un service rend le désengagement compliqué ou impossible, il viole le principe de consentement librement donné, qui exige que le refus soit également aisé que le consentement.