Ces autorités se sont d’abord concentrées sur les questions liées à la concurrence déloyale ou encore à la protection des données et c’est désormais l’intelligence artificielle (IA) qui se trouve au cœur de leurs préoccupations.
A ce titre, Google se retrouve au cœur de l’actualité avec l’ouverture, par la Commission irlandaise de protection des données (DPC), d’une enquête transnationale le 12 septembre dernier.
Une enquête centrée sur l'IA de Google et la protection des données personnelles
La DPC, qui est chargée de faire respecter les règles européennes en matière de protection des données, a lancé une enquête concernant l’utilisation par Google des données personnelles des citoyens de l’Union européenne (UE) pour entraîner son modèle d’IA : PaLM2.
Lancée en 2023, cette IA est une version avancée des modèles de langage développés par Google ces dernières années.
La principale question soulevée par l’enquête est de savoir si l’entreprise respecte l’obligation qu’elle aurait pu avoir de procéder à une analyse d’impact sur la protection des données avant d’utiliser ces dernières pour entraîner son IA PaLM2. Une telle analyse est exigée par le Règlement général de la protection des données (RGPD) pour tout projet comportant un risque élevé pour les informations personnelles des utilisateurs.
Les précédentes enquêtes de la DPC concernant les géants du numérique
Ce n'est pas la première fois que la DPC s'attaque à un géant du numérique. En juin 2023, elle avait déjà ouvert des enquêtes similaires concernant Meta ou encore X.
Il existe effectivement une véritable course entre les géants du numérique afin de créer l’IA la plus performante du marché. Chacun cherche à développer des modèles plus performants et puissants que les autres, ce qui implique une quête de données.
Cette quête n’est pas sans risque pour ces entreprises qui doivent faire face à des autorités de plus en plus vigilantes. Ainsi, dans le cadre de l’enquête menée contre X, la DPC avait rappelé que l’utilisation massive de données personnelles se devait obligatoirement de respecter les exigences du RGPD.
Il est à noter que l’enquête concernant X a été officiellement annulée le 4 septembre dernier, dès lors que l’entreprise a accepté de cesser définitivement le traitement de certaines données personnelles collectées au sein de l’Union européenne pour former son IA.
Les pouvoirs de la DPC
En tant que régulateur principal en Europe, la DPC se trouve habilitée à ouvrir une telle enquête en raison de la présence du siège européen du géant Américain en Irlande.
L’article 100 de la loi irlandaise sur la protection des données de 2018 lui confère les pouvoirs nécessaires afin d’entamer une procédure légale pour déterminer si Google a bien respecté les obligations qui lui incombaient en vertu du RGPD.
Inscrivez-vous à la newsletter Livv
et recevez chaque semaine des informations exclusives en droit des affaires. En savoir plus
La protection des données dans le contexte de l'intelligence artificielle
L’enjeu central de cette enquête concerne le respect du RGPD. En vertu de l’article 35 du Règlement, les entreprises doivent réaliser une analyse d’impact lorsqu’un projet présente des risques élevés pour les droits et libertés des individus.
Dans le cadre de l’enquête contre Google, se pose la question de savoir si l’entreprise a effectué cette analyse avant d’entraîner son modèle PaLM2 avec les données des citoyens de l’UE. Une telle analyse constitue une étape clé afin d’identifier et d’atténuer les risques liés à
- la confidentialité,
- la sécurité des données ou
- la protection des droits fondamentaux des individus concernés.
En cas d’absence de cette analyse, le géant Américain pourrait se voir infliger des sanctions, notamment pécuniaires.
Pourquoi une telle analyse d'impact est-elle nécessaire ?
L'analyse d'impact sur la protection des données personnelles vise à garantir que les entreprises prennent en compte les droits et libertés des individus lorsqu'elles envisagent de traiter des données à caractère personnel et que cela représente un risque élevé.
Pour le développement des modèles d’IA, le traitement de données représente un risque élevé en raison du volume important nécessaire afin de les entraîner.
En effet, l’entraînement des IA génératives passe par processus d’apprentissage initial du modèle (aussi appelé “modèle de fondation” incluant les grands modèles de langage ou LLM pour Large Language Model en anglais) nécessitant une puissance de calcul très importante ainsi qu’un volume de données considérable.
Une telle exigence s’inscrit dans la volonté des autorités européennes de renforcer le contrôle de l’utilisation des données personnelles par les géants du numérique dans le développement de leur IA.
Ces exigences ont par ailleurs poussé Meta et Apple à suspendre le lancement de leurs IA génératives au sein de l’espace européen. Les deux géants de la Silicon Vally estiment en effet que les règles du RGPD sont trop strictes et ont initié un bras de fer avec l’Union européenne affirmant devoir priver les utilisateurs européens de leurs avancées technologiques.
L’entreprise de messagerie Slack avait également fait l’objet d’accusations concernant l'entraînement de son IA.
La réponse de Google et sa collaboration avec les régulateurs
Face à cette enquête, Google a rapidement pris position en déclarant prendre très au sérieux ses obligations en vertu du RGPD. L’entreprise affirme collaborer avec la DPC pour répondre à toutes ses interrogations.
