Avec les développements technologiques de ces dernières années, les chatbots d’intelligence artificielle sont entrés dans nos vies comme autant de nouveaux outils, ont évolué pour répondre à tous nos besoins et sont devenus une partie intégrante de nos vies. Conséquence naturelle de cette évolution, ces systèmes basés sur l’intelligence artificielle, qui collectent en permanence des données auprès de leurs utilisateurs, ont suscité diverses inquiétudes et font l’objet de discussions fréquentes tant au sein des autorités chargées de la protection des données que chez les professionnels de la sécurité des données et de la protection de la vie privée.
Alors que la question de savoir comment les chatbots à intelligence artificielle utilisent et stockent les données collectées auprès des utilisateurs reste d’actualité à travers les décisions publiées, les publications et les communiqués de presse, l’Autorité de protection des données personnelles a publié le 08.11.2024 une note d’information intitulée “Note d’information sur les robots de conversation (exemple ChatGPT)”, axée sur les activités intensives de ces chatbots, qui assurent l’interaction entre l’homme et la technologie, en matière de collecte et de traitement des données personnelles. La note, qui contient diverses explications sur les robots conversationnels basés sur l’intelligence artificielle, met également en lumière ce que doivent faire les praticiens et les développeurs dans le cadre de la loi sur la protection des données à caractère personnel.
Les chatbots peuvent être définis comme des applications d’intelligence artificielle qui ont la capacité d’interagir avec les utilisateurs pour répondre à des questions et fournir des informations. L’Agence les définit comme “un logiciel qui simule une conversation humaine avec l’utilisateur final, en essayant de remplir les tâches/directions qui lui sont données par l’utilisateur à travers une interface”.
On sait que tous les types de données sont des ressources indispensables pour les systèmes d’intelligence artificielle. La raison principale en est que les systèmes soutenus par l’intelligence artificielle ont besoin, par nature, de diverses et grandes quantités de données afin de fonctionner avec les meilleures performances. Dans ce contexte, les données peuvent être traitées à de nombreuses fins, telles que l’amélioration de l’expérience de l’utilisateur, l’analyse, l’amélioration des services, le développement de nouveaux programmes, bien que la nature des données puisse varier. Les données traitées comprennent, sans s’y limiter, le nom, les coordonnées, les informations relatives aux cartes de paiement, l’adresse IP (Internet Protocol) envoyée automatiquement par le navigateur ou l’appareil, le type et les paramètres du navigateur, les informations de localisation, les heures d’accès, le type d’ordinateur ou d’appareil mobile, l’historique des recherches, les informations relatives aux cookies et les données textuelles, vocales et similaires transmises par les personnes.
En ce qui concerne les applications de chatbot à intelligence artificielle telles que ChatGPT, il existe différentes approches de la protection des données personnelles dans différents pays. En ce qui concerne notre pays, il n’est pas possible de maintenir les chatbots à intelligence artificielle indépendants des principes et réglementations de la loi sur la protection des données à caractère personnel, et les pratiques doivent être méticuleusement examinées et évaluées dans le cadre de la loi. En effet, si ces réglementations visent à protéger les droits des personnes en matière de confidentialité et de sécurité des données, elles imposent également diverses obligations aux fournisseurs de chatbots dans ce cadre. Ces applications basées sur l’intelligence artificielle doivent être évaluées en particulier au regard des principes de base concernant les procédures et les principes de traitement des données régis par l’article 4 de la loi intitulé “Principes généraux”.
Dans le cadre de la loi sur la protection des données personnelles, il est très important d’obtenir un consentement explicite pour la collecte et le traitement des données des utilisateurs. L’obtention d’un consentement explicite de la part des utilisateurs qui interagissent avec les chatbots et l’explication transparente des processus de traitement des données font partie des principes de base qui sont importants en termes de conformité avec le KVKK. La transparence des processus de traitement des données peut être assurée en fournissant à l’utilisateur des informations suffisantes sur des questions telles que la manière dont les données traitées sont utilisées et à quelles fins, avec qui elles seront partagées, quelles données seront conservées pendant combien de temps et quels sont les droits des personnes. Ces textes d’information, qui doivent être rédigés avec soin afin que les personnes ne perdent pas le contrôle de leurs données, doivent être rédigés dans un langage clair et simple et doivent être conformes aux orientations et à la législation sur le respect de l’obligation de divulgation.
Outre la transparence à l’égard des personnes, une autre dimension des exigences imposées par les processus de traitement des données est que les données traitées doivent être conformes aux principes généraux déterminés par la loi. Dans ce contexte, les données à caractère personnel traitées doivent l’être pour des finalités déterminées, explicites et légitimes et doivent être pertinentes, limitées et proportionnées à la finalité pour laquelle elles sont traitées.
Dans le cas de ChatGPT, la politique de confidentialité indique que les données personnelles collectées auprès des utilisateurs sont traitées à des fins telles que la fourniture de services, l’analyse, le développement de nouvelles fonctionnalités de produits, la communication avec les utilisateurs, la prévention de l’utilisation abusive des services, le respect des obligations légales et la protection des intérêts légitimes de l’entreprise. Les utilisateurs ont également la possibilité de modifier leurs préférences en la matière s’ils ne souhaitent pas que ces données soient utilisées pour former des modèles dans le cadre de l’amélioration des services. À ce stade, on peut dire que le traitement des données repose sur des bases légales et que les utilisateurs ont le contrôle de leurs données, c’est-à-dire qu’ils autorisent ou non l’utilisation des données relatives à l’historique des conversations pour le développement de l’application. Le fait de donner aux utilisateurs le droit de choisir si leur historique de chat est utilisé ou non pour le développement de l’application est une mesure positive en termes de protection des données à caractère personnel. En ce qui concerne la destruction des données, il est indiqué que si le mode de chat temporaire est sélectionné, les données seront conservées pendant un maximum de 30 jours à des fins de sécurité, ce qui soulève la question de savoir si cet engagement fournira une protection suffisante pour les utilisateurs en Turquie. Cette question pourrait également devoir être examinée au regard du principe de “conservation pendant la durée nécessaire à la réalisation de la finalité” de la loi.
Par conséquent, il est vrai que les applications de chatbot basées sur l’intelligence artificielle comportent certaines incertitudes en termes de protection des données à caractère personnel et qu’il convient de faire preuve d’une plus grande sensibilité à l’égard de la protection des données à caractère personnel dans le cadre du développement et de l’utilisation de ces applications. L’étude publiée par l’Autorité sous la forme d’une note d’information a constitué un point de départ important à cet égard. En effet, dans la note en question, l’Autorité a mis en garde les utilisateurs contre la divulgation excessive de leurs données personnelles et a inclus des principes importants à prendre en compte lors du développement d’un chatbot, tels que “procéder à une évaluation des risques avant de toucher à des données personnelles”, “agir conformément au principe de responsabilité et aux principes énoncés dans la loi”, et “respecter l’obligation d’informer”.
Il est très important que les applications telles que les chatbots soient développées conformément aux principes susmentionnés et que les mesures nécessaires soient prises pour protéger les données des utilisateurs, et les autorités chargées de la protection des données devraient effectuer régulièrement des audits et des études dans ce domaine pour s’assurer que ce système peut être mis en œuvre dans le respect de la législation. Face à la complexité toujours croissante des technologies d’intelligence artificielle, il est estimé que l’élaboration de notes d’information plus détaillées et plus complètes contribuera à la protection des données personnelles et de la vie privée des individus et sera éclairante pour le développement des applications dans le secteur et surtout en conformité avec les principes de la protection des données personnelles.
Avocate Selin Ünverdi
