Faut-il redoubler de prudence lorsqu’on converse avec ChatGPT, le populaire chatbot d’OpenAI ? Depuis son lancement, en novembre 2022, ses utilisateurs s’en sont servis pour effectuer de nombreuses tâches créatives, comme écrire des poèmes ou résoudre des questions mathématiques. Ce genre de requête pose, en théorie, peu de problèmes de confidentialité ou de sécurité.

Cependant, le programme informatique est aussi capable de fournir des réponses et des solutions prometteuses à des problèmes beaucoup plus personnels, comme des questions sur des soucis de santé. Lorsque Le Devoir lui a soumis trois cas médicaux fictifs, le robot a été en mesure de fournir des conseils en fonction de problèmes médicaux très précis.

La question est maintenant de savoir : ChatGPT conserve-t-il ces données, et comment les utilise-t-il ?

Dans la plus récente politique de confidentialité d’OpenAI, on peut lire : « Lorsque vous utilisez nos Services, nous pouvons collecter des informations personnelles qui sont incluses dans les entrées, les téléchargements de fichiers ou les commentaires que vous fournissez à nos Services [“Contenu”] ». Ces données personnelles peuvent être utilisées aux fins d’analyse, de recherche et d’amélioration des services.

« Quand on s’inscrit sur ChatGPT, [on donne] déjà toutes nos informations personnelles, et ensuite, l’historique et le contenu de notre conversation deviennent eux aussi des renseignements personnels », résume d’emblée Anne-Sophie Hulin, professeure adjointe à la Faculté de droit de l’Université de Sherbrooke.

L’entreprise indique également que « dans certaines circonstances, [elle peut] fournir vos informations personnelles à des tiers sans préavis, sauf si la loi l’exige ».

« Ils sont assez vagues sur le partage de nos données à des tiers. Donc, dans quelle mesure est-ce que ChatGPT collecte des données, les revend à des tiers, crée des profils de consommateurs, devient un élément d’influence du consommateur ? Ça ne s’est pas encore tout à fait avéré, mais c’est certain qu’il y a des risques importants », indique la professeure spécialisée en droit des données et de l’intelligence artificielle (IA).

Législation québécoise

Qu’y a-t-il de différent lorsque l’on confie des informations personnelles à ChatGPT et à Google ? « Les moteurs de recherche ont dû se conformer à des pratiques et à des standards éthiques et juridiques qui limitent l’utilisation de nos données », nuance-t-elle. Un encadrement juridique qu’il reste à établir pour le robot conversationnel.

La loi qui encadre la politique de confidentialité de ChatGPT a été construite conformément au California Privacy Rights Act, soit la loi californienne qui assure une protection des renseignements personnels.

« Comparativement au Règlement général sur la protection des données (RGPD) [de l’Union européenne] et notre législation [québécoise], la législation californienne est un peu moins protectrice », note M^me Hulin.

Au Québec, des mesures devraient entrer en vigueur en septembre 2023, avec l’application de la loi 25, la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels. « C’est la loi la plus protectrice que l’on ait actuellement. Même le projet de loi qui est sur la table au fédéral ne va pas aussi loin que la loi 25 à certains égards », explique M^me Hulin.

« On ne peut toutefois pas garantir que ChatGPT sera obligé de s’y conformer, puisque le critère de rattachement pour une entreprise étrangère à la loi 25 n’est pas si certain que ça », prévient-elle.

En d’autres mots, rien ne garantit que ChatGPT sera considéré comme une entreprise au sens de la loi — soit une entité établie au Québec, rappelle la juriste. Il serait donc possible pour ChatGPT de poursuivre ses activités sans se soumettre au régime de protection des renseignements personnels qu’impose la loi québécoise.

La professeure de droit privé rappelle que si ChatGPT se conformait à la loi 25 ou même au RGPD, il serait possible de condamner des pratiques comme la divulgation d’informations à des compagnies d’assurances.

« Comme la politique de confidentialité de ChatGPT est assez évasive sur la manière dont elle partage ces renseignements personnels à des entreprises, on pourrait tout à fait imaginer que ces données soient vendues à des compagnies d’assurances qui pourraient réévaluer leur politique d’assurance au regard des informations collectées », fait valoir M^me Hulin.

Un regard critique

Pour M^me Hulin, la particularité de ChatGPT réside surtout dans sa démocratisation extrêmement rapide. Le programme a atteint 100 millions d’utilisateurs actifs par mois en janvier, deux mois seulement après son lancement, ce qui en fait l’application grand public à la croissance la plus rapide de l’histoire.

« Soudainement, l’intelligence artificielle, ce n’est plus un phénomène contraint quand on va à l’aéroport et qu’on se fait prendre en photo. Maintenant, c’est de pouvoir se connecter de n’importe où et d’avoir accès à une IA super performante qui peut répondre à n’importe lequel de mes besoins », illustre-t-elle.

Concrètement, il n’y a rien de mal à ce que les gens aient envie d’utiliser ChatGPT et utilisent leurs informations personnelles pour obtenir des réponses, croit la professeure. Il faut simplement qu’ils aient une bonne compréhension des conséquences d’un tel geste.

La professeure insiste sur le fait qu’il est de la responsabilité de tous de s’éduquer adéquatement sur les questions de confidentialité de l’IA.

« Il faut avoir une forme d’éducation à tout niveau, auprès des professionnels, du grand public, des étudiants… C’est à nous, les utilisateurs, de développer un usage prudent, et de comprendre que tout n’est pas bon à mettre sur ChatGPT — tout comme tout n’est pas bon à mettre sur les réseaux sociaux », conclut-elle.