Le 20 décembre 2024, l’Autorité italienne de protection des données a prononcé une amende de 15 millions d'euros à OpenAI. Elle lui a infligé une obligation inédite de réaliser une campagne de communication d’une durée de six mois. Cette décision marque un tournant dans la régulation de l’intelligence artificielle (IA) en Europe, en renforçant l’application du RGPD (Règlement Général sur la Protection des Données) aux modèles d'IA. L’analyse ci-après détaille cette décision, ses implications pour la conformité à l’AI Act et son impact sur le secteur de l’IA.

Contexte de l’enquête de l’autorité italienne contre OpenAI

En mars 2023, le déclencheur de l'enquête est une faille de sécurité ayant exposé des informations personnelles d’utilisateurs italiens.

Des rapports de presse ont révélé qu’en raison d’un bug sur la page d’accueil de ChatGPT, certains utilisateurs ont pu voir l’historique des titres des conversations d’autres utilisateurs. OpenAI a reconnu publiquement l’incident. OpenAI a précisé que les données exposées incluaient le nom, le prénom, l’adresse e-mail, ainsi que les 4 derniers chiffres et la date d’expiration de la carte de crédit utilisée pour payer l’abonnement ChatGPT Plus.

L’enquête de l'autorité italienne de protection des données personnelles a débuté en mars 2023. L'autorité a examiné comment  OpenAI utilise des données personnelles pour l’entraînement de ChatGPT. L’Italie est ainsi devenue le premier pays occidental à bloquer temporairement ChatGPT le 30 mars 2023. Cette décision a eu un fort retentissement international et a conduit à la formation d’une task force européenne sous l’égide du Comité Européen de la Protection des Données (EDPB).

Une mesure d’urgence prise par l’Autorité italienne

Le 30 mars 2023, le Président de l’Autorité italienne a pris une mesure d’urgence à l’encontre d’OpenAI, conformément à l’article 5, paragraphe 8, du règlement du Garant n° 1/2000. Cette mesure (n° 112/2023, prot. n° 54718/23) imposait une limitation temporaire du traitement des données personnelles des utilisateurs établis en Italie, en vertu de l’article 58, paragraphe 2, lettre f) du RGPD.

Par la suite, l’Autorité a accepté de lever cette restriction, à condition qu’OpenAI prenne des mesures appropriées pour garantir la conformité du traitement des données personnelles aux lois en vigueur.

Les actions d’OpenAI pour se conformer aux exigences du RGPD

OpenAI a mis en œuvre plusieurs mesures pour répondre aux exigences de l’Autorité italienne :

• Publication d’une Politique de confidentialité spécifique au traitement des données utilisées pour l’entraînement des modèles.
• Mise en place d’une adresse e-mail dédiée permettant aux utilisateurs d’exercer leurs droits d’opposition et de suppression de leurs données.
• Adoption de l’intérêt légitime comme base juridique pour le traitement des données.
• Introduction d’un filtre d’âge interdisant la création de compte aux moins de 13 ans.
• Pour les mineurs âgés de 13 à 18 ans, la nécessité d’un consentement parental avant l’accès aux services de ChatGPT.
• Délégation de la vérification de l’âge des mineurs à un prestataire tiers.

Évolution de l’instruction de l’enquête

Après le blocage initial, OpenAI a collaboré avec l'autorité italienne, en mettant en place des mesures de transparence.
Cependant, l’enquête s’est poursuivie afin d’évaluer la conformité du service sur le long terme. En janvier 2024, l'autorité italienne a signalé des violations et accordé à OpenAI un délai de 30 jours pour répondre. L’affaire a finalement été clôturée en décembre 2024 avec une décision définitive.

Décision du Garante du 20 décembre 2024

Violations constatées par l’autorité italienne au RGPD 

L'autorité a identifié des infractions au RGPD dans la gestion des données par OpenAI via ChatGPT :

• Absence de base légale pour le traitement des données : Avant mars 2023, OpenAI a utilisé les données personnelles des utilisateurs pour entraîner ChatGPT sans base légale clairement définie. L’entreprise a ensuite invoqué « l’intérêt légitime », mais cette justification est toujours en cours d’examen par l’Autorité irlandaise de protection des données (DPC).
• Manque de transparence : Les utilisateurs n’étaient pas suffisamment informés de la collecte et de l’utilisation de leurs données pour l’entraînement de l’IA.
• Non-notification d’une violation de données : OpenAI n’a pas signalé la fuite de données de mars 2023 , contrevenant ainsi à l’obligation de notification dans un délai de 72 heures.
• Absence de vérification de l’âge des utilisateurs : l'autorité  a également reproché à OpenAI de ne pas avoir mis en place un filtre d’âge, alors que le service est censé être réservé aux utilisateurs de plus de 13 ans. Cette faille exposait potentiellement les mineurs à des contenus inadaptés à leur niveau de développement et de conscience.

Mesures correctives et sanctions imposées par l’autorité italienne

L'autorité a adopté une approche à la fois punitive et éducative.

Sanction financière

• L’Autorité italienne a estimé, sur la base des données fiscales d’OpenAI, que l’amende administrative devait s’élever à 15 millions d’euros, soit 1,58 % du chiffre d’affaires annuel mondial d’OpenAI pour l’année 2023. Cette somme constitue l’une des plus lourdes sanctions infligées à une entreprise d’IA en Europe.
• Justification : Cette sanction repose sur un chiffre d’affaires mondial d’OpenAI estimé à 948 millions d’euros en 2023. Conformément au RGPD, l’amende maximale pouvait atteindre 4 % du chiffre d’affaires annuel, soit 37 millions d’euros. OpenAI, pour sa part, conteste ce calcul et estime que l’amende devrait être évaluée en fonction de son chiffre d’affaires en Italie uniquement.

Le montant de 15 millions d’euros a été réparti comme suit :

• 9 millions d’euros pour la violation des articles 5 (paragraphes 1 et 2), 6, 12, 13, 24 et 25 du RGPD.
• 320 000 euros pour la violation de l’article 33 du RGPD (obligation de notification des violations de données).
• 5,68 millions d’euros pour la violation de l’article 83 (paragraphe 5, point e).

L'autorité a justifié cette sanction par la gravité des infractions commises, notamment en raison de l’ampleur du traitement des données, impliquant un grand nombre d’utilisateurs. Le service, basé sur une technologie innovante et complexe, présente également des risques significatifs en matière de protection des données personnelles.

Obligation de campagne de communication

En complément de l’amende, OpenAI est contraint de mener une campagne de communication institutionnelle.
Le Garante considère que cette mesure est nécessaire, car OpenAI n’a pas suffisamment informé les utilisateurs sur leurs droits fondamentaux (droit d’opposition, de rectification et de suppression des données). L’entreprise doit désormais communiquer de manière claire et concrète sur les moyens permettant aux utilisateurs d’exercer ces droits.

Transfert à l’Autorité Irlandaise

Depuis qu’OpenAI a établi son siège européen en Irlande en 2023, l'autorité italienne a transmis le dossier à la Data Protection Commission (DPC) irlandaise. Cette dernière devient ainsi l’autorité principale compétente sous le principe du « guichet unique » (one-stop-shop). Elle sera chargée d’examiner les éventuelles violations persistantes après 2023.

Implications de cette décision pour la conformité à l’AI Act

Alignement avec l’approche basée sur les risques

Adopté en 2024, l’AI Act classe les systèmes d’intelligence artificielle selon leur niveau de risque : inacceptable, élevé, limité ou minimal.

La décision de l'autorité  anticipe son application :

• ChatGPT, un système à risque limité : Bien qu’il ne soit pas considéré comme à haut risque, son impact sur la vie privée justifie des exigences accrues en matière de transparence.
• Un précédent réglementaire : L’obligation imposée à OpenAI de mener une campagne de communication institutionnelle reflète les dispositions de l’AI Act pour les systèmes à risque limité, notamment en matière d’information des utilisateurs.

Leçons à retenir pour les développeurs d’IA

• Transparence obligatoire : Les entreprises doivent clairement informer les utilisateurs sur l’utilisation de leurs données, un principe fondamental du RGPD et de l’AI Act.
• Gestion des risques : Définir une base légale solide (consentement ou intérêt légitime) est crucial pour éviter des sanctions.

Réaction d’OpenAI et perspectives juridiques

Position d’OpenAI

OpenAI a jugé la sanction « disproportionnée » et a décidé de faire appel.

• Argument principal : L’amende représente 20 fois son chiffre d’affaires en Italie en 2023, ce qu’OpenAI considère comme excessif.
• Mise en avant de sa coopération : L’entreprise rappelle qu’elle avait collaboré avec le Garante en 2023 pour lever le blocage de ChatGPT.

Prochaines étapes

• Recours en Italie : OpenAI peut contester la décision devant les tribunaux italiens, ce qui pourrait retarder son application.
• Enquête en Irlande : La DPC analysera les pratiques actuelles d’OpenAI, potentiellement en coordination avec l’EDPB, ce qui pourrait influencer la régulation européenne de l’IA.

Impact sur l’écosystème de l’IA en Europe

Un signal fort envoyé aux géants de la tech

Cette décision renforce le rôle de l’Europe en tant que leader en matière de régulation de l’intelligence artificielle :

• Un précédent juridique : Elle établit un modèle pour sanctionner les infractions liées à l’entraînement des modèles d’IA.
• Pression sur les grandes entreprises : Des acteurs comme Google, Meta ou xAI devront adapter leurs pratiques pour éviter des amendes similaires.

Conséquences pour les utilisateurs

• Une meilleure sensibilisation : La campagne d’information prévue permettra aux citoyens italiens de mieux comprendre leurs droits et augmentera la pression sur les fournisseurs d’IA pour plus de transparence.
• Renforcement de la confiance dans l’IA : Une meilleure compréhension des usages des données personnelles pourrait réduire les inquiétudes liées à la vie privée.

Sources :

Communiqué de presse de l'Autorité de protection des données italienne du  20 décembre 2024.

Décision de l'Autorité italienne de protection des données à l'encontre d'OpenAI du 30 décembre 2024.

Mesure du 30 mars 2023 prise par le Président de l'Autorité italienne de protection des données.