Des associations de consommateurs déposent une plainte contre X pour violation de la protection des données

Des associations de consommateurs ont déposé une plainte auprès de la Commission irlandaise de protection des données (DPC) lundi 5 août. Elles accusent l’outil d’intelligence artificielle (IA) de X d’enfreindre le règlement général sur la protection des données (RGPD).

La plainte officielle, déposée au nom de l’avocat Marco Scialdone, pour Euroconsumers et Altroconsumo, mentionne que le réseau social X a commis de multiples violations du règlement historique de l’UE sur la protection des données.

Marco Scialdone est avocat et professeur adjoint de droit et de gestion des contenus et services numériques à l’Université européenne de Rome. Euroconsumers est un groupe qui réunit des associations européennes de consommateurs, tandis qu’Altroconsumo est une association italienne de consommateurs qui en est membre.

Les utilisateurs de X ont remarqué que le partage des données pour la formation d’un chatbot d’IA générative, Grok, a été activé automatiquement à la fin du mois de juillet. Grok a été développé par xAI, une société fondée par le propriétaire de X, Elon Musk, et est utilisé comme assistant de recherche dans X.

Manque de clarté

La plainte remet en cause le manque d’explication claire sur l’usage des données pour l’entraînement de l’IA par X. Par ailleurs, les associations de consommateurs arguent que la plateforme collecte plus de données que nécessaire, et pourrait traiter des données sensibles sans raison suffisante.

Marco Scialdone a donc demandé au DPC irlandais d’adresser un avertissement à X, lui ordonnant de cesser d’utiliser des données à caractère personnel pour l’IA et de veiller à ce que l’entreprise se conforme au GDPR. Cela incombe à l’autorité irlandaise car le siège européen de X se situe à Dublin.

Des plaintes similaires contre Meta ont été déposées début juin par l’organisation à but non lucratif de défense des droits numériques Noyb. Meta a retiré ses fonctions d’IA de l’UE quelques jours plus tard, en invoquant une demande du DPC irlandais.

Dans sa plainte, Marco Scialdone s’inquiète du fait que cette utilisation des données n’est pas clairement communiquée ou justifiée. Il affirme que la politique de confidentialité de la société X n’explique pas de manière transparente la base juridique de l’utilisation des données à caractère personnel pour former des modèles d’IA. La base juridique de ce traitement n’est mentionnée que dans un lien secondaire, ce qui, selon lui, n’est pas immédiatement évident pour les utilisateurs.

La dernière politique de confidentialité de X, datant de septembre 2023, indique que l’entreprise « peut utiliser les informations recueillies et les informations accessibles au public pour former les modèles d’apprentissage automatique ou d’intelligence artificielle aux fins décrites dans la présente politique ».

X s’appuie sur la base juridique appelée « intérêt légitime » en vertu du GDPR pour traiter les données personnelles afin de former des modèles d’IA. Cela signifie que la plateforme peut recourir aux données si elles sont nécessaires à une finalité valable, tant que cela ne porte pas atteinte aux droits des utilisateurs.

Marco Scialdone a également mentionné des problèmes tels que l’absence de réponse de X à sa demande d’arrêt du traitement des données à des fins d’IA, les difficultés rencontrées pour soumettre la demande et une communication inadéquate sur le processus.

La tendance commune

Le mois dernier, Marco Scialdone et Euroconsumers ont déposé une plainte similaire concernant les pratiques de LinkedIn en matière d’IA auprès de l’autorité italienne de protection des données ainsi que du DPC irlandais.

Les plaintes de X et de LinkedIn « mettent en évidence une tendance commune parmi les VLOP [Very Large Online Platforms, très grandes plateformes en ligne] concernant l’utilisation des données personnelles des utilisateurs pour l’entraînement des systèmes d’intelligence artificielle », a expliqué Marco Scialdone à Euractiv.

Les VLOP désignent entre autres les grands réseaux sociaux comme Instagram et X, tels qu’ils sont décrits dans le cadre des règles de modération de contenu de l’UE, le règlement sur les services numériques (DSA). Ces derniers doivent suivre des exigences strictes conformément au DSA.

Marco Scialdone espère que sa plainte permettra d’obtenir « une approche uniforme de la part des autorités chargées de la protection des données ; sinon, outre les disparités de traitement entre les utilisateurs en fonction de la plateforme, il y a un risque de créer des inégalités sur le marché».

Au moment de la publication, la plateforme X n’a pas répondu à la demande de commentaire d’Euractiv sur la plainte.

[Édité par Sarah N’tsia]