OpenAI traite des données à caractère personnel dans le cadre de l’utilisation de ses services, notamment pour assurer leur bon fonctionnement, améliorer ses modèles, communiquer avec les utilisateurs, prévenir les abus, ou encore se conformer à certaines obligations légales.

À ce titre, l’entreprise indique s’appuyer sur plusieurs bases juridiques, telles que l’exécution du contrat (ex. : traitement des requêtes utilisateurs), l’intérêt légitime (ex. : amélioration des services ou sécurité des systèmes), ainsi que le respect d’obligations légales. Dans certains cas, le traitement repose également sur le consentement, notamment pour certaines communications marketing.

OpenAI précise que les données utilisées pour entraîner ses modèles proviennent de sources librement accessibles sur Internet, à l’exclusion de données issues de canaux illégaux, tels que le « dark web ». Par ailleurs, l’entreprise affirme ne pas constituer de base de données dédiée à l’entraînement et ne pas utiliser les données à des fins de profilage ou de prospection commerciale. Des garanties techniques, telles que la pseudonymisation ou l’agrégation des données, sont mises en œuvre afin de limiter les risques pour les droits et libertés des personnes concernées.

En complément, plusieurs mécanismes sont proposés aux utilisateurs : un système d’opt-out permet de s’opposer à l’utilisation des données pour l’entraînement des modèles, et une fonctionnalité de « chats temporaires » offre la possibilité d’interagir sans que les conversations ne soient conservées ni utilisées à cette fin (sous réserve d’une conservation temporaire de 30 jours à des fins de sécurité).

Ces garanties n’ont toutefois pas suffi à convaincre l’Autorité de contrôle italienne («la Garante » ci-après). À l’issue d’une enquête ouverte en mars 2023[1], la Garante a relevé plusieurs manquements au RGPD, notamment l’absence de base légale appropriée pour le traitement des données personnelles à des fins d’entraînement du modèle, une information jugée insuffisante et peu transparente à destination des utilisateurs, ainsi que l’absence de mécanisme de vérification de l’âge. Par ailleurs, la société n’a pas notifié à l’Autorité la violation de données survenue en mars 2023.

Sur cette base, la Garante[2] a imposé à OpenAI une amende de 15 millions d’euros, assortie d’une obligation de mettre en œuvre une campagne d’information de six mois destinée à sensibiliser le public à la manière dont leurs données peuvent être utilisées pour l’entraînement de l’intelligence artificielle, et à les informer de leurs droits, notamment d’opposition, de rectification et d’effacement.