Les confidences faites aux chatbots de Character.AI, en faillite, pourraient être vendues

« Pas sans votre permission explicite. » C'est, selon un document judiciaire cité par The Record, ce que répondait le chatbot de Character.AI aux utilisateurs qui demandaient si leurs conversations étaient privées. Aujourd'hui, ces mêmes conversations font partie des actifs d'une entreprise en faillite. Et la justice américaine s'inquiète de ce que pourrait en faire un acheteur.

Le mardi 27 octobre, le service des syndics du ministère de la Justice des États-Unis a déposé une demande dans la procédure de faillite de Character.AI. Il demande la nomination d'un médiateur chargé de la protection de la vie privée des consommateurs. Son rôle : conseiller le tribunal sur les données d'utilisateurs qui peuvent être vendues, et à quelles conditions. The Record en a rendu compte le 30 octobre.

Ce que contiennent ces conversations

Character.AI permet de discuter avec des personnages animés par l'IA. Selon le document cité par The Record, la plateforme compte 12 millions d'utilisateurs actifs par mois dans le monde, qui y passent en moyenne deux heures par jour. Autant dire que les historiques de discussion peuvent contenir beaucoup de confidences.

Le ministère s'inquiète en particulier des données de mineurs, des informations de santé ou démographiques, et de tout ce que les utilisateurs pouvaient raisonnablement croire privé. Il juge la politique de confidentialité de l'entreprise « ambiguë » : elle pourrait permettre de divulguer des informations personnelles identifiables, y compris lors d'une vente. Le tribunal a d'ailleurs le pouvoir de restreindre la cession de ces données, rappelle The Record.

Qui pourrait les récupérer ?

La demande du ministère conteste les règles de mise aux enchères proposées par l'entreprise. Mi-octobre, Disney avait proposé 20 millions de dollars pour une licence non exclusive sur une partie de la propriété intellectuelle de l'entreprise, comme nous l'avions raconté au moment de l'annonce de la faillite de Character.AI. Selon les documents déposés par l'entreprise, cette offre exclut les informations personnelles identifiables ; l'application et les comptes des utilisateurs n'en font pas partie.

Pour Sydney Saubestre, du Center for Democracy and Technology, une association de défense des libertés numériques citée par The Record, les clients « devraient au minimum avoir à donner leur accord » avant toute vente de leurs données.

Et pour les utilisateurs européens ?

La procédure se déroule aux États-Unis, mais l'audience de Character.AI est mondiale. En Europe, le règlement général sur la protection des données (RGPD) limite la réutilisation de données personnelles pour une autre finalité que celle annoncée. Il donne aussi un droit d'effacement. Pour les utilisateurs inquiets :

• supprimez les conversations que vous ne voulez pas voir circuler, si votre compte le permet ;
• demandez l'effacement de vos données par écrit, en gardant une trace de la demande ;
• parents, vérifiez si vos enfants utilisaient la plateforme.

L'affaire pose une question qui dépasse Character.AI : que deviennent les confidences faites à un chatbot quand son éditeur disparaît ? Lors d'une audience le 30 octobre, le juge des faillites n'a pas imposé de médiateur, mais a fortement encouragé l'entreprise à en désigner un.