Dans l’IA, Meta teste les limites du RGPD

C’est un premier avertissement pour Meta, déjà lourdement sanctionné pour ne pas avoir respecté Règlement général sur la protection des données (RGPD). En Allemagne, l’agence de protection des consommateurs de la Rhénanie du Nord-Westphalie, la région la plus peuplée du pays, vient de lui adresser une mise en demeure. Dans son viseur: la décision du réseau social utiliser les messages et les commentaires publiés sur Facebook et Instagram – mais pas les messages privés – pour “entraîner et améliorer” ses modèles d’intelligence artificielle générative, sans demander le consentement de ses utilisateurs.

Cette pratique doit entrer en vigueur le 27 mai. Cela represente une volte-face: en mars, lors de l’annonce du lancement en Europe de Meta AI, son assistant d’IA, la société assurait que les données des internautes européens ne seraient pas utilisées dans l’entraînement de ses modèles. Avant donc de changer d’avis… moins d’un mois plus tard. Pour se justifier, elle s’appuie sur un avis rendu fin 2024 par les Cnils européennes. Mais son interprétation est contestée.

Principe “d’intérêt légitime”

Meta n’est pas seule. En avril, la Cnil irlandaise (la DPC) a ouvert une enquête sur xAI, la start-up d’IA d’Elon Musk qui vient officiellement de racheter X, l’ex Twitter. Lancées dans une course de vitesse, les deux entreprises veulent profiter de l’avantage concurrentiel dont elles disposent: leur gigantesque base de messages, quand OpenAI et Google ont dû conclure des accords payants. Elles testent ainsi les limites du RGPD.

Entrée en vigueur en 2018, avant l’essor de l’IA générative, la réglementation instaure l’obligation d’obtenir le consentement “libre” et “éclairé” des internautes avant d’utiliser leurs données personnelles. Un consentement que Meta et X ne veulent pas mettre en place, car l’immense majorité des utilisateurs ne le donneraient pas. À la place, elles proposent seulement à un système d’opt-out.

Pour justifier ses pratiques, Meta invoque le principe “d’intérêt légitime”, prévu dans le RGPD, qui permet de ne pas demander le consentement. Cette stratégie n’est pas nouvelle: le groupe de Menlo Park l’avait déjà tentée dans le domaine de la publicité ciblée. Mais elle avait été retoquée par la justice européenne. Dans ce dossier, Meta estime avoir obtenu le feu vert du Comité européen de la protection des données, qui regroupent les Cnils du continent.

Vers une nouvelle amende ?

Saisi par la DPC irlandaise, celui-ci avait en effet estimé en décembre que le principe “d’intérêt légitime” pouvait s’appliquer dans le développement d’une IA. Mais seulement si l’utilisation de données est “absolument nécessaire”. Une notion qui laisse place à l’interprétation. Les pratiques de Meta sont “clairement contraires au RGPD”, estime ainsi l’activiste autrichien Max Schrems.

Un autre élément pourrait jouer en la défaveur du géant américain. “Il ne peut être exclu que des informations particulièrement sensibles, protégées par le RGPD, soient aussi utilisées dans l’entraînement de l’IA”, souligne Christine Steffen, l’agence de protection des consommateurs de la Rhénanie du Nord-Westphalie. La stratégie de Meta semble donc très risquée. Et une autre amende n’est pas à exclure. Mais la société estime peut-être que ce prix à payer est acceptable pour ne pas perdre de temps dans l’IA, placée au coeur de sa stratégie.