Le Délégué à la protection des données de Hambourg clarifie l'usage des IA et grands modèles de langage

Le Commissaire hambourgeois à la protection des données et à la liberté d'information (HmbBfDI) a publié un document de discussion examinant l'utilisation de l'intelligence artificielle (IA) et, en particulier, des grands modèles de langage (LLM) tels que ChatGPT, au regard du Règlement Général sur la Protection des Données (RGPD) de l'UE. Ces orientations visent à fournir aux entreprises des repères pour aborder ces nouvelles technologies.

Selon le HmbBfDI, les LLM traitent les entrées des utilisateurs et génèrent des sorties basées sur des modèles de probabilité. Même si les données d'entraînement contiennent des informations personnelles, l'autorité estime que le processus d'abstraction lors de la tokenisation supprime le lien avec les personnes. Le LLM ne stocke que des motifs et des corrélations généraux, et non des données concrètes d'individus. Par conséquent, les modèles eux-mêmes ne contiennent pas de données personnelles, et les droits des personnes concernées en vertu du RGPD ne peuvent être directement invoqués contre le modèle.

Le document aborde également les "attaques de confidentialité" (privacy attacks), qui tentent d'extraire des données d'entraînement des LLM. Le HmbBfDI s'aligne sur la jurisprudence de la Cour de justice de l'Union européenne, selon laquelle une divulgation n'est pas considérée comme telle si l'identification d'une personne n'est possible qu'avec un effort disproportionné (en temps, coût ou main-d'œuvre) ou en violation d'une interdiction légale. Ces attaques sont actuellement principalement menées dans un cadre scientifique.

Pour les entreprises, cela signifie que l'utilisation d'un LLM n'est pas intrinsèquement illégale, même si les données d'entraînement étaient problématiques, car le lien avec les personnes est perdu dans le modèle. Il est toutefois important que les entreprises s'assurent d'une base légale conforme au RGPD lors de leur propre utilisation ou réentraînement des modèles, surtout si des données internes sont employées. Lors de l'utilisation de LLM tiers, il faut également vérifier la conformité aux droits des personnes, les mesures de sécurité contre les attaques et la répartition des responsabilités en matière de protection des données.