Le rapport de l’enquête menée en collaboration par quatre commissaires à la protection de la vie privée rendu public le 6 mai dernier est éclairant quant aux enjeux que pose le déploiement de l’intelligence artificielle (IA). L’enquête démontre que la mise en service d’outils d’IA par OpenAI a eu lieu sans garantie que des mesures sérieuses ont été prises afin que soient identifiés les risques et les enjeux posés par l’aspiration et le traitement massif de données sur les citoyens.

On y apprend que l’entreprise OpenAI a aspiré les données personnelles des Canadiens circulant dans les espaces d’Internet. Cela, sans se soucier de savoir si les personnes concernées avaient effectivement consenti à pareilles utilisations et sans égard à la confidentialité de ces données. Le rapport relève plusieurs manquements aux exigences des lois canadiennes sur la protection des renseignements personnels. L’enquête est surtout un rappel de l’urgence de donner des dents aux lois imposant des devoirs aux entreprises qui font de l’argent avec nos données.

Les mises en garde au sujet des risques de dérapage dans les usages de l’IA sont quasi quotidiennes. Mais il n’est pas toujours facile de cerner les défis que pose le déploiement non encadré de ces puissants outils. Les dispositifs numériques, objets connectés, sites Internet, transactions électroniques, réseaux sociaux et messageries en ligne fonctionnent en utilisant et en produisant des masses de données. Pour fonctionner, les dispositifs d’IA aspirent des masses de données rattachées directement ou indirectement aux interactions des individus qui agissent dans l’espace connecté.

Les commissaires à la vie privée du Canada, de l’Alberta et de la Colombie-Britannique, de même que la Commission d’accès à l’information du Québec (CAI), ont établi que les aspirateurs de données utilisés par OpenAI pour entraîner ses dispositifs ont collecté un large éventail de renseignements personnels circulant en ligne. Et parmi ces renseignements personnels, plusieurs présentaient un haut degré de confidentialité. Par exemple, les propos échangés lors d’interactions sur des plateformes de réseaux sociaux. Cela a été fait sans s’assurer que les individus y avaient consenti ou avaient même conscience que les données qu’ils produisent du seul fait de leur activité en ligne pouvaient être captées pour de tels usages.

Les commissaires ont constaté qu’OpenAI n’a pas obtenu un consentement valide (implicite ou autre) en ce qui concerne la collecte et l’utilisation de renseignements personnels provenant de sources accessibles au public pour entraîner ses modèles. Les commissariats rappellent que lorsque les renseignements recueillis et utilisés sont susceptibles d’être sensibles ou lorsque la pratique est susceptible de dépasser les attentes raisonnables de l’individu, il est nécessaire de s’assurer du consentement exprès des individus concernés.

Au regard de la législation québécoise, la CAI a conclu qu’OpenAI n’avait pas suffisamment documenté le contexte dans lequel l’obligation d’informer prévue par la législation québécoise avait été remplie relativement aux individus concernés par les renseignements personnels qu’elle avait recueillis.

Selon le rapport, l’entreprise aurait accepté de coopérer avec les autorités afin de se conformer aux exigences des lois sur la protection des renseignements personnels. Les commissaires lui ont formulé des recommandations à cet égard.

La démarche des commissaires à la vie privée est un exemple de ce que les autorités doivent faire à plus grande échelle. Voilà quatre organismes publics qui travaillent de concert : c’est essentiel. Les entreprises comme OpenAI fonctionnent sur une base planétaire ; les instances étatiques doivent se donner les moyens d’agir de façon concertée. La coopération entre les organismes publics doit s’étendre à l’ensemble des instances de réglementation qui sont concernées par l’une ou l’autre des activités qui se déroulent désormais en ligne ou carburent à l’IA. Il y va de l’efficacité des lois qui nous protègent contre les fraudes, le harcèlement en ligne, la désinformation, les procédés frauduleux utilisés pour influencer les élections, ainsi que bien d’autres fléaux, comme la pornographie juvénile.

Toutefois, la loi fédérale sur la protection des renseignements personnels ne prévoit pas que le commissaire puisse imposer des sanctions aux entreprises qui ne s’y conforment pas. Quant à la loi québécoise, elle permet d’imposer des sanctions, mais le rapport rendu public la semaine dernière mentionne que la commission chargée de l’appliquer a choisi de s’en tenir à des recommandations.

L’enquête des commissaires a permis de constater que les grandes entreprises technologiques considèrent les données des individus comme une ressource à leur disposition. On peut certes leur reprocher d’ignorer les exigences minimales prévues par nos lois pour protéger les données personnelles, mais que dire de la nonchalance de nos législateurs, qui tardent à imposer à ces entreprises des obligations à la mesure des risques que ces technologies font courir aux populations ?

C’est bien de s’interroger s’il est opportun d’interdire la fréquentation des réseaux sociaux aux moins de 16 ans, mais c’est à l’égard des pratiques non réglementées des géants d’Internet et de l’IA qu’il est encore plus urgent d’agir. Le rapport des commissaires à la vie privée expose concrètement les risques auxquels tous sont exposés si nos gouvernements continuent de se traîner les pieds pour imposer de réelles obligations à ces entreprises qui font fonctionner des aspirateurs de données.