OpenAI condamnée à 15 millions d'euros d'amende en Italie pour violation du RGPD et à conduire une campagne de sensibilisation

La société américaine OpenAI, propriétaire de ChatGPT, s’est vu infliger une amende de 15 millions d'euros par l'autorité italienne de protection des données (GPDP), équivalente de la CNIL en France, pour violation du Règlement Général sur la Protection des Données (RGPD).

Pour mémoire, l'Autorité italienne avait bloqué, brièvement, en mars 2023 l’accès à ChatGPT, qu'elle accusait de ne pas respecter la réglementation européenne.

L'Italie avait été le premier pays en Europe à prendre des mesures à l'encontre de la plateforme ChatGPT.

Autorisant à nouveau l’accès après avoir considéré qu’OpenAI avait manifesté une volonté de coopérer, l’autorité a poursuivi son enquête initiée en mars 2023.

A l’issue de cette enquête, l’autorité italienne a révélé lors d’un communiqué du 20 décembre 2024 (Source : https://www.gpdp.it/home/docweb/-/docweb-display/docweb/10085432#english), que la société OpenAI :

• utilisait les données personnelles des utilisateurs pour entraîner ChatGPT, sans base légale adéquate
• ne lui avait pas notifié une violation de données survenue en mars 2023 et
• n’avait pas mis en place de mécanisme de vérification de l'âge, exposant potentiellement les mineurs à des contenus inappropriés générés par l’IA.

Outre l’amende, l'Autorité italienne a également ordonné, de manière inédite, à OpenAI de mener une campagne de communication institutionnelle de six mois, à la radio, à la télévision, dans les journaux et sur l'Internet, pour informer le public sur le fonctionnement de ChatGPT et les droits des utilisateurs en matière de protection des données.

Le contenu de cette campagne de sensibilisation, à convenir avec l'Autorité, devrait promouvoir la compréhension et la sensibilisation du public sur le fonctionnement du ChatGPT, en particulier sur la collecte de données d'utilisateurs et de non-utilisateurs pour la formation de l'intelligence artificielle générative et les droits exercés par les personnes concernées, notamment les droits d'opposition, de rectification et d'effacement de leurs données personnelles.

L'affaire a été transférée à l'autorité irlandaise de protection des données (DPC), OpenAI ayant établi son siège européen en Irlande pendant l'enquête.

Cette décision pourrait faire jurisprudence pour d'autres procédures d’enquêtes en cours en Europe sur ChatGPT et intervient peu après que l'EDPB (European Data Protection Board) a publié son avis identifiant une approche commune de certaines des questions les plus importantes liées au traitement des données personnelles dans le contexte de la conception, du développement et du déploiement de services basés sur l'IA (Source : https://www.edpb.europa.eu/news/news/2024/edpb-opinion-ai-models-gdpr-principles-support-responsible-ai_fr).