RGPD : Mistral AI accusé d’exploiter illégalement les données personnelles de ses utilisateurs

La start-up française Mistral AI espère concurrencer le leader américain Open AI, en lançant une application mobile de son agent conversationnel Le Chat. Timon / stock.adobe.com

Mistral AI n’a pas fini de faire parler d’elle. La semaine dernière, la start-up française de l’intelligence artificielle (IA) lançait la version mobile de son agent conversationnel Le Chat. Cette semaine, son cofondateur Arthur Mensch arpentait les allées du Grand Palais à l’occasion du Sommet de l’action sur l’intelligence artificielle, s’affichant comme la vitrine de l’IA française capable de concurrencer les mastodontes américains Open AI, Gemini et Perplexity.

À lire aussi Yann Le Cun, Joëlle Barral, Arthur Mensch... Ces sept grandes figures françaises de l’intelligence artificielle

L’entreprise fait néanmoins l’objet d’une plainte pour non-respect du règlement européen sur la protection des données (RGPD), a révélé L’Informé. L’avocat Me Jérémy Roche, qui a saisi la Commission nationale de l’informatique et des libertés (CNIL), estime que la start-up collecte abusivement les données personnelles des utilisateurs de la version gratuite de son robot Le Chat.

La politique de confidentialité de Mistral AI indique que les données contenues dans les requêtes des utilisateurs sont exploitées pour «développer et entraîner nos modèles d’intelligence artificielle à usage général.» Pour s’affranchir de ce paramètre par défaut, l’utilisateur n’aurait selon lui pas eu d’autre choix que de s’abonner à l’une des formules payantes de la solution d’IA. L’abonnement «pro» permet de retirer son autorisation à la collecte de ses données à tout moment, tandis que la formule « Team » désactive automatiquement le traitement des données.

Mistral nie toute infraction

Or, l’article 12.5 du RGPD stipule qu’aucun paiement ne peut être exigé en échange de l’exercice de droits reconnus aux personnes, dont le droit de s’opposer à la collecte de ses données personnelles (le droit «d’opt-out»). Dans sa plainte à la CNIL, retranscrite par l’Informé, l’avocat Me Jérémy Roche explique donc que « Mistral AI conditionne l’exercice de ce droit à un abonnement payant (…) et il est absolument impossible pour un utilisateur de l’offre gratuite d’exercer son droit d’opt-out.» 

Mistral AI réfute cette appréciation faite par le juriste. La start-up rappelle certes que « les informations contenues dans les requêtes des utilisateurs sont utiles à l’amélioration de la pertinence des réponses de notre assistant». Mais elle assure également au Figaro qu’elle a « a toujours permis à ses utilisateurs de refuser l’utilisation des informations contenues dans les requêtes adressées au Chat».

Dans ses conditions d’utilisation, il est rappelé dans la section concernant les données personnelles que Mistral déploie « des efforts commercialement raisonnables pour dé-identifier ces données avant de les utiliser». Puis un peu plus loin, que les utilisateurs peuvent s’«opposer au traitement» de leurs données personnelles en « contactant à l’adresse email privacy@mistral.ai». À l’entendre, Mistral respecterait donc bien le droit d’ «opt-out».

Différences entre utilisateurs gratuits et payants

Contacté par Le Figaro, Me Jérémy Roche souligne que la politique de confidentialité de Mistral AI a été légèrement modifiée depuis le dépôt de sa plainte : la procédure n’était auparavant décrite qu’en fin de document, dans une section portant sur l’ensemble des droits de l’utilisateur.

Selon l’avocat, le manque de clarté sur la marche à suivre pour s’opposer au traitement de ses données est contraire à l’article 12.2 du RGPD, qui exige que «le responsable du traitement facilite l’exercice des droits conférés à la personne.» «Ecrire un e-mail n’est pas donné à tout le monde, et la politique de confidentialité ne précise pas le contenu du mail attendu pour exercer ses droits, estime-il. Il faudrait que les utilisateurs gratuits et payant soient logés à la même enseigne.»

Reste à savoir désormais qu’elle sera l’appréciation de la CNIL. Le groupe français n’est pas le premier acteur de l’IA générative à être pointé du doigt pour l’utilisation des données personnelles de ses utilisateurs. En 2023, l’autorité italienne de protection des données (GPDP) a temporairement suspendu l’accès à Chat GPT en Italie, le robot conversationnel d’Open AI, pour non-respect du RGPD. Depuis, OpenAI a finalement reconnu à ses utilisateurs enregistrés le droit de s’opposer au traitement de leurs données.