Mercredi, les États membres de l’UE ont approuvé une modification du RGPD qui ferait passer les intérêts commerciaux d’OpenAI, d’Anthropic, de Google, de Meta et de SpaceX avant le droit fondamental des Européens à la protection des données. Selon le texte approuvé, le traitement des données à caractère personnel «dans le cadre de l’IA» devrait automatiquement être considéré comme licite. En particulier, les géants de la tech pourraient utiliser toutes les données à caractère personnel collectées au cours des dernières décennies sans pratiquement aucune restriction, à condition que cela se fasse «dans le cadre» de l’IA. Schrems : «En vertu du texte adopté, les profits des entreprises d’IA l’emporteraient généralement sur le droit fondamental des Européens à la vie privée. Cela n’est rien d’autre qu’une expropriation numérique des Européens. » Tout cela se produit alors même que les principaux responsables des entreprises d’IA mettent activement en garde contre les risques considérables associés à leurs propres produits.
Les dernières barrières tombent : les profits des entreprises d’IA l’emportent-ils sur la protection des données ? Dansle cadre de la proposition « Digital Omnibus », la Commission européenne a affirmé qu’elle n’apporterait que des modifications mineures afin de simplifier les choses pour les entreprises de l’UE. Dans le même temps, elle s’est explicitement engagée à maintenir un « niveau élevé de protection » pour les citoyens européens. C’est pourquoi une «procédure accélérée» a été choisie. Cette décision a été prise sans procéder à une évaluation au regard des droits fondamentaux ni impliquer directement le groupe d’experts européens sur la protection des données.
L’article 88 quater, tel que proposé par la Commission européenne (désormais article 88 bis dans le document du Conseil), vise à libéraliser l’utilisation des données à caractère personnel pour l’IA. La proposition est actuellement examinée par le Conseil, où la présidence irlandaise tient actuellement les rênes. L’Irlande sert également de siège européen à la majorité des entreprises américaines et chinoises spécialisées dans l’IA.
Expropriation numérique : approuvée par le Conseil. Avec le soutien de l’Allemagne et d’autres poids lourds de l’UE, le Conseil (représentant les États membres de l’UE) a approuvé mercredi le fait que les entreprises devraient en principe être autorisées à faire pratiquement tout ce qu’elles veulent lorsqu’elles utilisent des données à caractère personnel « dans le cadre de l’IA ». Cela signifie que les intérêts commerciaux des entreprises d’IA l’emporteraient généralement sur les droits fondamentaux des utilisateurs. Cette autorisation générale s’appliquerait également aux personnes qui n’ont jamais été clientes d’une entreprise d’IA et aux données saisies il y a plusieurs décennies, par exemple dans des discussions en ligne ou sur les réseaux sociaux. Toutes les données à caractère personnel auxquelles une entreprise spécialisée dans l’IA pourrait avoir accès d’une manière ou d’une autre relèveraient de cette disposition. Il ne serait pas nécessaire de demander le consentement des utilisateurs. Au contraire, on part automatiquement du principe que les entreprises ont un « intérêt légitime » prépondérant dès lors qu’elles utilisent ou entraînent un produit d’IA.
Le Conseil a ajouté une référence aux droits et obligations existants prévus à l’article 21 (droit de refus dans des cas spécifiques) et à l’article 24 du RGPD (nécessité de mettre en œuvre les obligations légales par des mesures techniques et organisationnelles), mais ces prétendues « garanties » s’appliqueraient à tout traitement même en l’absence de cette référence. En substance, le nouvel article 88 bis relatif à l’IA n’impose aucune garantie concrète.
Max Schrems : «Mercredi, les États membres de l’UE ont accepté de céder nos données gratuitement aux entreprises spécialisées dans l’IA. Depuis des décennies, nous affirmons aux citoyens que leurs données sont en sécurité et, au mieux, utilisées à des fins publicitaires. Désormais, Google, Meta et Microsoft peuvent tout simplement utiliser toutes les données qu’ils ont collectées, pratiquement sans aucune limite et pour n’importe quel projet comportant une composante « IA ». C’est le plus gros cadeau que les États membres de l’UE aient jamais fait aux géants américains de la tech. »
La vente de données européennes aux États-Unis et à la Chine. Les responsables politiques semblent croire que l’économie européenne tirera profit de la suppression du plus grand nombre possible de lois. On peut pourtant s’attendre à exactement le contraire : la plupart des entreprises de l’UE n’ont ni accès au même volume de données, ni les capitaux nécessaires pour rivaliser avec les multinationales américaines. Dans de nombreux cas, cela pourrait également signifier que les données collectées par des entreprises de l’UE (mais traitées sur des plateformes ou des services situés en dehors de l’UE) seraient transmises à des prestataires aux États-Unis ou en Chine.
Max Schrems : « Ce changement législatif profite avant tout aux grands acteurs, ceux qui ont collecté d’énormes quantités de données européennes. Il s’agit d’une véritable braderie des données européennes au profit des multinationales. Cela entraînerait également un transfert massif de savoir-faire des entreprises de l’UE vers les États-Unis ou la Chine. Du point de vue de la politique industrielle, une telle approche relève de la folie. »
Un blanc-seing pour toute une technologie ? En règle générale, le RGPD autorise le traitement à des fins spécifiques (par exemple, la conservation à des fins fiscales ou la prévention de la fraude). Or, l’article 88c (ou article 88bis) adopté légitime une technologie dans son ensemble. Quelle que soit la finalité pour laquelle il est utilisé, tout système d’IA pourrait légalement collecter n’importe quelle donnée à caractère personnel par défaut. Par exemple, l’article proposé autoriserait également l’entraînement et l’utilisation de l’IA à des fins de manipulation, de désinformation, de génération d’images de nudité ou de drones tueurs, et en réalité à toute autre finalité contestable. De nombreuses opérations de traitement qui étaient jusqu’à présent illégales pourraient soudainement devenir légales – simplement parce qu’elles sont effectuées «dans le cadre» d’un système d’IA. Par exemple, le traitement de données à des fins de publicité personnalisée (sans consentement) est actuellement illégal dans l’UE. Or, la publicité pourrait désormais devenir légale si elle est personnalisée à l’aide de la technologie de l’IA.
Max Schrems : « C’est comme dire que tout est permis – quoi que l’on fasse – tant que cela est fait avec l’IA. Si quelque chose est illégal dans un tableur Excel, cela devient légal si c’est effectué par un agent d’IA. Il est tout à fait absurde d’accorder un traitement préférentiel à une technologie à haut risque par rapport à tout autre système informatique. »
La promesse de protection des données, vieille de 45 ans, est en train de s’effondrer. Au niveau européen, la législation sur la protection des données existe depuis 1981. Depuis des décennies, on promet aux Européens qu’une telle protection des données (soi-disant) « stricte » garantirait que des plateformes telles que Twitter/X, Facebook ou Instagram, et des entreprises telles que Google ou Microsoft, qui collectent d’énormes quantités de données, ne les utiliseraient « jamais » à d’autres fins que celles pour lesquelles elles ont été partagées. L’article 88c (ou désormais 88bis) proposé rompt cette promesse : toutes les données collectées sont soudainement à la disposition de n’importe quel système d’IA, pour n’importe quelle utilisation.
Max Schrems : «Depuis les années 1980, nous avons promis aux citoyens que, même si les grandes entreprises pouvaient conserver des données, elles n’étaient autorisées à les utiliser que dans une mesure limitée. Or, l’article 88 bis ouvre soudainement les vannes et autorise une utilisation illimitée de toutes les données pour l’IA. »
De nouvelles restrictions massives en matière de protections et de droits. Par ailleurs, les États membres de l’UE ont proposé de restreindre considérablement la définition des « données à caractère personnel ». Cela signifie notamment qu’il n’est pas clair si le suivi en ligne serait toujours couvert par le RGPD. Cela est censé se faire à l’aide de ce qu’on appelle des « pseudonymes », qui ne devraient généralement plus être couverts par le RGPD. Le problème est que la plupart des systèmes informatiques fonctionnent principalement avec des pseudonymes (tels que les identifiants d’utilisateur, les identifiants de suivi, les adresses IP ou les numéros de sécurité sociale). La décision de savoir si des données sont toujours « à caractère personnel » reviendrait principalement aux entreprises soumises à la loi. De tels débats s’éternisent généralement pendant des années et entraînent des retards considérables ainsi que des coûts énormes dans les procédures – ce qui est tout sauf une « simplification ».
Max Schrems : «Ces changements sortent tout droit du manuel de n’importe quel grand cabinet d’avocats défendant les géants de la tech. Nous avons passé des années devant les tribunaux et les autorités pour faire rejeter ces arguments. Le législateur européen va probablement leur donner un coup de fouet et, ce faisant, rendre le droit européen encore plus complexe et inapplicable.»
Prochain champ de bataille : le Parlement européen. Cet accord ne constitue pas un accord sur le texte définitif de la loi. Le Conseil doit encore négocier le libellé final avec le Parlement européen, qui n’a pas encore pris position. La Commission européenne est la troisième institution impliquée dans ce qu’on appelle les «trilogues» qui déboucheront sur une loi européenne définitive. La Commission a déjà opéré un revirement à 180 degrés il y a quelque temps et privilégie désormais clairement les intérêts des lobbies industriels au détriment des droits fondamentaux.
La position du Parlement européen est encore en cours d’élaboration. Alors que la plupart des membres du Parti populaire européen (PPE) ont tendance à plaider en faveur de l’introduction d’un nombre croissant de failles dans la législation numérique de l’UE, les députés européens des groupes de centre-gauche ont jusqu’à présent résisté et se sont prononcés en faveur du maintien du statu quo. De plus en plus, les groupes d’extrême droite s’opposent également aux propositions visant à accorder un « passe-droit » aux géants de la tech.
Dernier espoir : la Cour de justice ? Laquestion principale semble être de savoir si une loi dépourvue de toute restriction significative peut, d’une quelconque manière, être conciliée avec les droits fondamentaux de l’UE. Par le passé, la Cour de justice de l’Union européenne a invalidé des textes législatifs européens dans des affaires impliquant des atteintes bien moins graves aux droits fondamentaux de l’UE, telles que la conservation des données ou le transfert de données de l’UE vers les États-Unis.
Max Schrems : «Si le législateur a perdu tout sens de la mesure et toute orientation, les citoyens ne peuvent que se tourner vers les tribunaux. Toute loi extrême présentant un risque élevé d’être invalidée ne ferait qu’accroître l’insécurité juridique au lieu d’apporter la simplification promise. »
