[Brésil] Régulateur vs. Meta : cas pratique sur la conformité en matière d’entraînement d’IA.

L’intelligence artificielle (IA) est très gourmande en données personnelles. Nous ne parlons pas d’opérations ciblées de collecte de données, mais d’un véritable ratissage de l’internet, pratique qui soulève d’importantes questions en matière de protection des données et de respect de la vie privée. Une affaire opposant l’Autorité brésilienne de protection des données (ANPD) à la société Meta - propriétaire, entre autres, de Facebook, WhatsApp et Instagram - a retenu l’attention des professionnels du secteur pendant les mois de juillet et août.

De par son aspect didactique, tant sur le fond du droit que sur la procédure, cette affaire constitue un véritable cas d’école de la mise en conformité des pratiques d’entraînement de l’IA et de la communication avec le régulateur. Elle donne un éclairage sur la posture adoptée par l’autorité brésilienne de protection des données personnelles, créée en 2018 mais qui n’a pris ses fonctions qu’en 2020, et dont la jurisprudence reste fragmentaire.

Les paragraphes qui suivent reviennent chronologiquement sur les épisodes de ce feuilleton estival, du prononcé de la suspension liminaire des opérations de traitement à sa levée conditionnelle. Le prisme adopté est celui du comportement procédural de l’entreprise mise en cause et ses effets sur la résolution de la situation.

I. Premier acte : la suspension des opérations de traitement.

Tout début juillet, l’ANPD surprend les professionnels des données personnelles en adoptant une mesure apparemment radicale : la suspension préventive, par Meta, des opérations de traitement des données personnelles à des fins d’entraînement de son IA [1].

Il s’agit d’une procédure administrative d’inspection, non pas de sanction.

Cette décision fait suite à des préoccupations concernant la conformité à la réglementation brésilienne (en particulier, à la loi nº Lei nº13.709/2018, dite Loi Générale sur la Protection des Données - “LGPD”) de la nouvelle politique de confidentialité de Meta. Celle-ci autorise, de manière assez large (y compris des informations contenues dans des photographies, des fichiers audio et des images partagées sur ses services et produits) et avec peu de garanties, l’utilisation des données personnelles des utilisateurs et non-utilisateurs de ses plateformes pour entraîner ses modèles d’IA générative.

Le Comité Directeur, suivant dans son intégralité le vote du rapporteur [2] adopte une mesure préventive et enjoint Meta de suspendre, au Brésil, (i) l’application des dispositions de sa nouvelle politique de confidentialité ayant trait à l’utilisation de données personnelles pour entraîner ses systèmes d’IA générative, et (ii) le traitement de données personnelles ayant cette finalité dans tous ses produits, y compris pour les personnes qui ne sont pas utilisatrices de ses plateformes, sous peine d’une amende journalière de 50.000,00R$ (un peu plus de 8.000 euros au taux actuel), en raison du risque imminent de dommage grave et irréparable, ou de difficile réparation, aux droits fondamentaux des titulaires de données personnelles affectés.

Meta doit par ailleurs soumettre à l’ANPD, dans un délai de cinq jours, (i) un document qui atteste de la mise en adéquation de sa politique de confidentialité et (ii) une déclaration écrite de suspension des opérations de traitement de données personnelles à des fins d’entraînement de ses systèmes d’IA générative au Brésil.

Cette suspension préventive est une mesure énergique, compte tenu de la création récente de l’ANPD, du nombre limité de procédures administratives à ce jour, et de son destinataire, l’un des principaux acteurs de l’économie des données personnelles au niveau mondial.

La décision soulève des inquiétudes sérieuses quant à la conformité de la nouvelle politique de Meta à la LGPD :

• Base légale inadéquate : l’ANPD conteste l’existence d’intérêt légitime pour le traitement des données et pointe le risque de traitement de données sensibles, pour lesquelles l’intérêt légitime n’est pas recevable. Pour le régulateur, cette base légale, lorsqu’elle est applicable, nécessite une évaluation minutieuse de la balance entre les intérêts de Meta et les droits et libertés des individus, ce qui semble faire défaut dans le cas présent. La nouvelle politique de confidentialité de Meta ne fournit pas de justification claire et explicite pour ce traitement.

• Manque de transparence : l’ANPD pointe le manque de clarté et d’accessibilité des informations fournies aux utilisateurs concernant l’utilisation de leurs données pour l’entraînement de l’IA. Le régulateur évoque “un grave déficit d’information”, qui “accroît l’asymétrie d’informations entre titulaires et responsable” du traitement. Les utilisateurs devraient être informés de manière précise et compréhensible sur la finalité du traitement, les types de données utilisées, les mesures de sécurité mises en place, etc.

• Exercice des droits limité : la procédure de retrait du consentement (opt-out) mise en place par Meta est jugée complexe et peu transparente. L’analyse préliminaire évoque “un obscur schéma de camouflage de l’information”, qui entrave la capacité des utilisateurs à exercer leurs droits, tels que le droit d’opposition au traitement de leurs données.

• Traitement des données de mineurs : l’ANPD exprime des préoccupations particulières concernant l’utilisation des données de mineurs, compte tenu de leur vulnérabilité. Le traitement de ces données exige des garanties supplémentaires, et l’intérêt du mineur doit toujours prévaloir lors du choix de l’hypothèse légale de traitement [3]. Or, Meta n’a apparemment rien fait sur ce point.

Le caractère préventif de cette mesure se justifie par l’impératif de protection des droits des citoyens brésiliens, compte tenu du nombre élevé de personnes éventuellement concernées (Facebook seul compte environ 102 millions d’utilisateurs actifs au Brésil). Ainsi, Meta devra démontrer qu’elle se conforme à la LGPD avant de pouvoir reprendre ses activités de traitement de données pour l’entraînement de son IA générative.

Cette décision envoie un signal fort aux entreprises qui utilisent des données personnelles, soulignant l’importance de respecter la législation et de garantir la transparence et le contrôle des utilisateurs sur leurs données, en particulier dans le contexte de l’IA.

II. Deuxième acte : l’adoption de mesures correctives.

Meta réplique quelques jours plus tard, en demandant au régulateur de reconsidérer sa décision et en requérant (i) à titre liminaire et au vu des risques de dommages irréversibles, la suspension immédiate de la mesure préventive, pour pouvoir établir en concertation avec l’ANPD un calendrier de mise en œuvre des mesures demandées ; et (ii) sur le fond, la reconsidération de la mesure préventive, compte tenue de l’engagement de Meta de mettre en œuvre les mesures complémentaires proposées ainsi que toute autre mesure qui viendrait à être évoquée avec l’ANPD, selon un calendrier à arrêter d’un commun accord.

Le 10 juillet, le régulateur rejette la requête de Meta et maintient la mesure préventive, tout en concédant cinq jours de plus à Meta pour mettre en œuvre les mesures préventives. Il conditionne l’analyse des demandes de Meta à la réalisation d’une analyse technique et à la présentation du plan de conformité, et demande la présentation d’un rapport d’impact sous 10 jours [4].

L’ANPD fonde notamment sa décision sur les éléments suivants :

• Manque de preuves concrètes : Meta n’a pas fourni de preuves suffisantes démontrant qu’elle a effectivement suspendu le traitement des données comme l’exigeait la mesure préventive initiale.

• Nécessité d’un examen approfondi : un examen minutieux des mesures proposées par Meta est nécessaire avant d’envisager la levée de la suspension.

• Complexité de l’affaire : le court délai imparti ne permet pas à l’ANPD de prendre une décision éclairée sur la suspension de la mesure préventive à titre liminaire.

Cette décision semble équilibrée, entre la nécessaire protection des droits des utilisateurs et la prise en compte des difficultés techniques.

Suite à ce revers, Meta présente quelques semaines plus tard un plan de conformité visant à répondre aux préoccupations de l’autorité. Ce plan inclut les mesures suivantes :

• Transparence : Meta s’engage à fournir des informations claires et accessibles aux utilisateurs sur la manière dont leurs données sont utilisées pour entraîner son IA.

• Exercice des droits des utilisateurs : Meta s’engage à mettre en place des mécanismes simples permettant aux utilisateurs d’exercer leurs droits, notamment leur droit d’opposition au traitement de leurs données à des fins d’entraînement de l’IA.

• Données des enfants et des adolescents : Meta s’engage à ne pas utiliser les données personnelles des comptes d’individus de moins de 18 ans pour entraîner ses modèles d’IA.

Face à l’échec de sa demande en reconsidération initiale, plaintive et très peu documentée, Meta a donc finalement opté pour une position beaucoup plus constructive. C’est un indice de ce que les demandes du régulateur n’étaient pas dans leur ensemble disproportionnées. Cette attitude a apparemment porté ses fruits.

III. Troisième acte : la levée conditionnelle de la suspension.

Le 30 août, après analyse du plan de conformité et des documents justificatifs présentés par Meta, la décision du régulateur est publiée, qui approuve le plan et suspend la mesure préventive [5].

Le Comité Directeur, suivant une nouvelle fois dans son intégralité le vote du rapporteur [6] autorise Meta à reprendre le traitement de données personnelles pour l’entraînement de son IA générative sous réserve du respect de son plan de conformité. Ce plan prévoit notamment :

• Mesures de transparence : Meta doit informer les utilisateurs, par e-mail et par notifications dans les applications, du traitement de leurs données dans le but d’entraîner son programme d’IA.

• Droit d’opposition : Meta doit informer les utilisateurs de leur droit de s’opposer au traitement de leurs données. Ce droit devra pouvoir être exercé facilement, même après le début du traitement.

• Restriction de l’utilisation des données des mineurs : Meta ne traitera pas les données des mineurs jusqu’à ce que l’ANPD prenne une décision définitive sur ce point.

Ces mesures montrent que Meta a pris au sérieux les préoccupations de l’ANPD et a fait des efforts jugés suffisants pour se conformer aux exigences de la loi.

La levée de la suspension ne signifie cependant pas que l’ANPD approuve sans réserve les pratiques de traitement des données de Meta. Le régulateur continuera à surveiller la mise en œuvre du plan de conformité par Meta et se réserve le droit de prendre de nouvelles mesures si nécessaire pour protéger les droits des individus.

La décision va même au-delà de la mise en application du plan et vise expressément le “suivi rigoureux [...] du lancement et de la mise en œuvre du nouveau système d’IA [...], en vue d’un contrôle continu des risques et des impacts sur les titulaires, et du traitement des plaintes et réclamations déposées auprès de l’ANPD.”

La décision au fond quant à l’utilisation de l’intérêt légitime comme fondement légal pour les opérations de traitement et l’utilisation des données personnelles des mineurs nécessite une étude technique plus approfondie et a été repoussée à un moment ultérieur de la procédure.

Ainsi, l’ANPD semble faire preuve d’une position nuancée concernant les intérêts respectifs en jeu en matière d’IA. Si l’innovation technologique est légitime, elle doit se faire dans le respect des droits des individus et en adoptant des pratiques transparentes.

IV. Conclusion : deux approches contrastées face à la conformité.

L’affaire Meta illustre l’importance de la coopération entre les entreprises (et autres organisations qui procèdent à des opérations de traitement des données personnelles) et les régulateurs pour assurer la protection des droits des individus. En adoptant des mesures correctives et en se conformant aux exigences du régulateur brésilien, Meta a pu reprendre ses activités de traitement de données à d’entraînement de son IA après “seulement” quelques semaines.

Cette approche contraste avec l’attitude beaucoup plus catégorique du réseau social X vis-à-vis des autorités judiciaires brésiliennes. Au cours de cet été également, le réseau social a été banni au Brésil par la Cour Suprême (STF) pour son refus de se conformer aux règles locales en matière de désinformation et de discours haineux et sa décision de ne pas nommer de représentant légal au Brésil qui puisse être convoqué par la justice.

Ces approches opposées de la conformité soulignent l’importance, pour les entreprises présentes dans différents marchés, de prendre en compte les obligations réglementaires locales et de coopérer avec les régulateurs.