Entraîner ou nourrir une IA avec des données personnelles sans base légale
"C'était sur internet" n'est pas une base légale. Dans l'UE, c'est à peine une excuse.
Ceci n'est pas un conseil juridique. Sally critique des comportements et des cas d'usage en general, jamais votre situation precise, et rien ici ne remplace un vrai avocat. Les affaires sont reelles ; ce que vous en faites regarde vous et une personne habilitee a vous conseiller.
Déverser des données personnelles scrapées ou issues de clients dans un modèle sans identifier de base légale ni en informer qui que ce soit.
Garante (Italian DPA) v. OpenAI
EUR 15M fine, ruling Dec. 2024 · EU (Italy)
Le régulateur italien a constaté qu'OpenAI avait entraîné ChatGPT sur des données personnelles sans base légale valable, manqué à ses devoirs de transparence et omis de notifier une violation.
Une amende de 15 millions d'euros, la première grande sanction RGPD visant l'IA générative, assortie d'une campagne de sensibilisation du public imposée. OpenAI fait appel.
Une autorité de protection des données a infligé une amende majeure à huit chiffres pour avoir entraîné une IA sur des données personnelles sans base légale valable, doublée de manquements à la transparence et d'une notification de violation manquée. C'était la première grosse sanction "IA générative" sous le droit européen des données, et ce ne sera pas la dernière.
L'intuition selon laquelle public signifie libre d'utilisation ne survit pas au contact du RGPD. Une donnée personnelle porte des obligations peu importe où tu l'as trouvée : une base légale, de la transparence sur ce que tu fais, et un moyen pour les personnes d'exercer leurs droits.
“Tu t'es entraîné sur les données de tout le monde et tu n'as budgété aucune des conséquences. Le régulateur a fait le budget à ta place.”
- 01Identifie une base légale avant qu'une donnée personnelle n'approche un modèle, et documente-la.
- 02Sois transparent sur ce que tu collectes et pourquoi. La surprise est l'ennemie de la conformité.
- 03Supprime ou pseudonymise les données personnelles dont tu n'as pas réellement besoin pour la tâche.
Pas un conseil juridique. Commentaire general sur un cas d'usage, pas sur votre situation. Parlez a un vrai avocat avant d'agir.