- Un tribunal américain a ordonné à OpenAI de conserver indéfiniment tous les logs de ChatGPT, y compris les conversations supprimées ; deux utilisateurs ont tenté d’intervenir en invoquant une « surveillance de masse », mais leur demande a été rejetée
- L’un des utilisateurs a fait valoir qu’il avait saisi des informations personnelles sensibles et des informations commerciales, affirmant que cette ordonnance équivalait à un programme de surveillance de masse à l’échelle des États-Unis
- Le juge a clairement indiqué qu’une simple ordonnance de conservation de preuves n’est pas un programme de surveillance et que le pouvoir judiciaire n’est pas un organe d’enquête
- L’organisation de défense des droits numériques (EFF) a elle aussi exprimé des inquiétudes concernant les risques pour la vie privée des utilisateurs et les possibilités d’abus futurs
- Les utilisateurs manifestent de l’inquiétude quant à la volonté d’OpenAI de résister fermement et à propos d’une éventuelle divulgation future des données ou d’un manque de transparence
Contexte et ordonnance du tribunal
- Le tribunal a récemment ordonné à OpenAI de conserver indéfiniment tous les logs de ChatGPT, y compris les conversations supprimées
- Cette mesure a été prise afin de préserver des preuves dans le cadre d’un procès pour violation du droit d’auteur intenté par des entreprises de médias
- Certains utilisateurs se sont dits préoccupés, estimant que l’ordonnance couvre aussi les conversations supprimées et anonymes, et qu’elle est appliquée sans notification aux utilisateurs
Tentative d’intervention des utilisateurs et controverse sur la vie privée
- Un utilisateur a demandé à intervenir en faisant valoir qu’il avait saisi des informations personnelles et commerciales sensibles, soutenant que l’ordonnance menait à une surveillance de masse à l’échelle nationale
- Il a contesté le fait que des conversations supprimées et anonymes soient conservées sans notification préalable, et a demandé une exception pour les conversations portant sur des sujets sensibles comme la santé, la finance ou le droit
- Le tribunal a précisé, pour motiver son rejet, que « une ordonnance de conservation de documents n’a rien à voir avec la surveillance, et le tribunal n’est pas un organe d’enquête »
Le point de vue des organisations de défense des droits numériques
- Corynne McSherry, directrice juridique de l’Electronic Frontier Foundation (EFF), s’est inquiétée du fait que « cette ordonnance fait peser un risque réel sur la vie privée des utilisateurs et pourrait avoir des effets négatifs sur des litiges similaires »
- Elle a souligné que cela pourrait créer un précédent permettant à des autorités judiciaires ou à des parties à un litige d’exiger d’OpenAI la remise des historiques d’utilisateurs
- Elle a particulièrement insisté sur le fait que, si le contrôle des utilisateurs sur leurs historiques et les obligations de notification restent insuffisants, les chatbots d’IA pourraient devenir un nouveau vecteur de surveillance
Le raisonnement du tribunal
- Le juge a estimé qu’« une ordonnance de conservation de documents vise à préserver des preuves dans le cadre d’un litige précis » et que les atteintes alléguées à des droits constitutionnels n’étaient pas liées au fond de cette affaire
- Il a considéré que la tentative d’intervention n’avait aucun lien avec l’établissement des faits ni avec les questions juridiques du litige, et ne ferait que retarder la procédure, refusant ainsi de reconnaître un droit à intervenir
- À ce stade, aucune donnée n’a effectivement été transmise aux entreprises de médias, ce qui laisse entendre qu’une discussion supplémentaire pourrait avoir lieu si des données étaient partagées à l’avenir
Inquiétudes des utilisateurs et questions à venir
- Un utilisateur s’est inquiété du fait qu’« OpenAI pourrait faire passer d’autres intérêts — comme les coûts du litige ou la gestion de sa réputation — avant la protection de la vie privée »
- L’EFF et d’autres acteurs soulignent la nécessité pour les fournisseurs d’applications de chat IA de réellement supprimer les historiques lorsqu’un utilisateur en fait la demande et de notifier de manière transparente les demandes d’accès aux données
- En définitive, la transparence du processus de conservation et de divulgation des données utilisateur, les procédures de notification et les voies de recours a posteriori devraient devenir des enjeux majeurs
1 commentaires
Avis Hacker News
À voir les propos du juge cités dans l’article, on a l’impression qu’il ne comprend pas vraiment la nature du problème soulevé, et que la motivation de la décision est elle aussi étrange
La logique semble être : « si l’on commence à examiner ce genre de question, cela ne fera qu’entraîner un retard inapproprié dans la résolution des véritables enjeux juridiques à traiter »
Faut-il donc comprendre que, puisqu’il s’agit d’un litige lié au droit d’auteur, les questions constitutionnelles peuvent être ignorées ?
Et rejeter immédiatement une demande au seul motif qu’elle n’a pas été rédigée par un avocat me paraît contraire au rôle d’un juge
Il semble avoir négligé le fait qu’une action peut aussi être introduite sans avocat
En lisant l’ordonnance complète jointe à l’article (ici), la situation devient plus claire
La partie qui a soulevé la question a déposé une forme précise de « demande d’intervention », qui est soumise à des conditions strictes
Ces conditions n’étaient pas remplies
La décision mentionne aussi le point selon lequel le dépôt avait été fait sans avocat
Une personne physique peut se représenter elle-même, mais une personne morale (entreprise) doit obligatoirement être représentée par un avocat
Comme le dossier avait d’abord été déposé au nom d’une société, il semble que le juge ait simplement appliqué le droit
J’ai eu la même réaction, et ce qui m’inquiète encore davantage, c’est le grand nombre de services comparables qui pourraient être touchés par ce type de problème de vie privée
Il faudrait une loi forte sur la protection de la vie privée pour empêcher ce genre d’ordonnances judiciaires excessives, mais elle n’existe toujours pas
On peut imaginer par exemple une ordonnance imposant à un service de rencontre de conserver tous les messages échangés entre ses utilisateurs, à un opérateur télécom de conserver tous les SMS, ou encore à Google de stocker des milliards de Google Docs générés
Je me demande pourquoi le gouvernement n’a pas encore exigé qu’un service comme Signal ajoute une backdoor et conserve tous les messages texte
J’imagine qu’il faudrait une justification particulièrement solide pour y parvenir
Je me demande aussi si le gouvernement américain ne pratique pas déjà ce type de surveillance généralisée même sur des services commerciaux ordinaires
Il y avait déjà eu, lors des révélations d’Edward Snowden, des écoutes des communications de Google
Les juges sont généralement d’anciens avocats ou ont une expérience juridique
Cette juge a elle-même exercé comme avocate et a en plus un parcours atypique, ayant presque achevé un doctorat en zoologie
Il est très naturel que les groupes protégés par la société ne cherchent pas à traiter sur un pied d’égalité les groupes qui ne le sont pas
Et je ne vois pas vraiment de question constitutionnelle dans cette affaire ; et même s’il y en avait une, ce n’est pas ici que cela devrait être tranché
La critique selon laquelle la demande aurait été ignorée parce qu’elle avait été déposée sans avocat repose sur un malentendu à 100 %
Le cadre du Pro Se (se représenter soi-même) est clairement établi
En revanche, si l’on engage une action au nom d’une autre entité juridique, il faut obligatoirement un avocat
Ce n’est pas tant « comme c’est une affaire de copyright, on peut ignorer la Constitution », mais plutôt que, du point de vue du juge, l’argument constitutionnel ne semblait pas recevable et risquait surtout de faire perdre du temps
À propos de « s’agit-il d’un procès en droit d’auteur, donc on peut ignorer les questions constitutionnelles ? »
je me demande quelles questions constitutionnelles sont précisément visées
Et l’affirmation selon laquelle « on peut agir sans avocat » est inexacte ici, car en droit une entreprise doit obligatoirement être représentée par un avocat
Si une personne physique se représentait elle-même, il y aurait une certaine marge de tolérance, mais cela ne s’applique pas aux entreprises
Si le raisonnement vacille déjà sur un point aussi élémentaire, cela donne peu confiance sur les autres arguments
Cette affaire ne me semble pas avoir une si grande valeur d’actualité
OpenAI doit bientôt plaider oralement pour tenter de faire annuler l’ordonnance de conservation des données, et les deux demandes préventives déposées par des utilisateurs ordinaires de ChatGPT n’étaient pas de nature à décider de l’issue du dossier
Le fait que la juge semble ne pas comprendre les effets réels, dans la pratique, d’une ordonnance imposant à une entreprise de « tout conserver », et ne paraisse pas disposée à la reconsidérer rapidement, donne selon moi déjà une vraie valeur d’actualité à la décision initiale
De nos jours, même lorsqu’une conclusion est d’une évidence totale, cela peut avoir une énorme valeur d’actualité
Nous avons ainsi la confirmation que les utilisateurs ont le droit de participer directement
Ils peuvent eux aussi saisir directement la justice, comme l’ont fait les demandeurs
La question de savoir quel sera le résultat est distincte, mais ce droit existe en soi
Puisque le juge ne semble pas intéressé par la question, j’en conclus qu’il est inutile d’essayer de le convaincre
Je me demande quelles alternatives ou quelles options restent à OpenAI et à ses utilisateurs
Ce n’est pas une réponse directe, mais à l’avenir l’option la plus réaliste me semble être l’usage de LLM locaux
J’en utilise moi-même en ce moment, et même s’ils ont encore des limites en matière de mémoire de contexte et de performances pures, je ne pense pas qu’il soit irréaliste d’imaginer des LLM locaux vraiment pratiques d’ici un à deux ans
Pour ma part, c’est moins la vie privée que l’usage hors ligne qui m’attire
En droit américain, il n’y a pas d’option
C’est un cas typique de « third-party doctrine »
Même s’il s’agit de vos propres données, dès lors que vous les fournissez volontairement à un tiers (OpenAI), elles ne sont plus vraiment considérées comme les vôtres et toute attente de vie privée cesse juridiquement d’exister
Les exceptions ne peuvent être reconnues que si une loi nouvelle les crée expressément, ce qui n’est pas le cas d’OpenAI dans le droit actuel
La décision s’inscrit elle aussi dans ce cadre du droit américain : à ce jour, il n’existe pas de protection de la vie privée pour les conversations envoyées à OpenAI
Il vaudrait mieux cesser d’attendre de la vie privée de la part de tiers
Même les informations bancaires peuvent être divulguées sur réquisition dans le cadre d’une enquête
Beaucoup de programmeurs se trompent parce qu’ils ignorent cette réalité et se focalisent seulement sur les débats du moment
Quelle que soit l’issue à venir, l’appel pourra peut-être constituer une solution
À la question « quelles options restent à OpenAI et à ses utilisateurs ? »
une possibilité consiste à chercher des services situés dans des pays auxquels les données ne sont pas remises aux États-Unis
Si quelqu’un croit qu’OpenAI ne conserve pas tout ce qui est saisi dans ses chats ou dans son API, je lui recommande vivement de regarder de près la composition actuelle de son conseil d’administration
Même si des fournisseurs de LLM comme OpenAI se voyaient légalement interdire de conserver les données, j’aurais du mal à croire qu’ils respecteraient réellement cette politique dans la pratique
Je recommande donc de ne saisir les données sensibles que dans des LLM locaux
Il faut voir la double négation
Le monde entier dispose désormais de la capacité technique de surveiller tous les aspects de la vie quotidienne ; la vraie question est donc de savoir comment gérer cela
À l’avenir, cette masse de données pourrait faire émerger de nouveaux domaines comme la médecine, l’épidémiologie, ou une psychologie à grande échelle (j’appelle ça Massive open online psychology, moop), et permettre aussi aux gouvernements de mieux servir en temps réel les citoyens marginalisés grâce au big data
Mais pour que cet avenir soit possible, il faut impérativement un cadre juridique digne de confiance, et cela ne peut pas se construire de manière fragmentaire au fil des décisions de justice
À titre personnel, je pense que toute donnée qui ne peut être produite que par l’action directe d’un être humain devrait appartenir à cette personne, et que sa mise en dépôt ne devrait être autorisée que si ces données sont utilisées au bénéfice de cet être humain
Si l’on introduisait un standard élevé de « bénéfice pour l’utilisateur / le citoyen », cela changerait complètement la manière de penser des entreprises de la donnée
J’aimerais savoir ce que les autres en pensent
C’est encore une orientation souvent taboue sur HN et ailleurs, mais je pense que ce n’est qu’en verrouillant les données autour de l’utilisateur et en les distribuant au lieu de les enfermer dans des silos centralisés qu’on pourra concilier à la fois la vie privée et les avantages du big data
La juge dans cette affaire est en réalité une magistrate à qui il reste à peine plus d’un an de mandat
Il y a déjà eu des cas où des magistrats ayant rendu ce genre de décisions faibles n’ont pas vu leur mandat renouvelé, et j’espère que ce sera encore le cas ici
Lien vers l’avis de reconduction
Je ne comprends pas pourquoi mettre des guillemets autour du mot « juge »
Un magistrat est bel et bien un juge
Référence : types de juges des tribunaux fédéraux américains
Je ne pense pas qu’une application ordinaire de la third-party doctrine doive nuire au mandat ou à la réputation d’un magistrat
Référence à une discussion antérieure sur le même sujet OpenAI conteste une ordonnance judiciaire lui imposant de conserver tous les logs ChatGPT, y compris les conversations supprimées
Aucun juge ne peut arrêter un programme de surveillance de masse qui dure depuis plus de dix ans
À ce stade, c’est presque une plaisanterie et une controverse vide de sens
OpenAI, comme les autres entreprises, collecte toutes les informations possibles et nous profile
Je trouve étrange que tant de gens soient choqués ou en colère face à cette situation
La plupart ignorent, ou passent sous silence, le fait que les services en ligne qu’ils utilisent au quotidien conservent exactement le même type de données
En pratique, à moins d’être sur un service E2EE comme Signal, tous les grands services — Gmail, les opérateurs télécoms, Reddit, Xitter, etc. — conservent les données et les métadonnées
Que cela soit bien ou mal est une autre question, mais c’est aujourd’hui la réalité normale des services en ligne
Si les gens sont en colère, c’est parce qu’ils ont l’impression que cette réalité franchit ici un seuil inacceptable
Indépendamment des conditions d’utilisation ou des politiques internes, OpenAI se retrouve dans une situation où il doit conserver de force jusqu’aux données que l’utilisateur voulait supprimer
Personnellement, je ne suis pas surpris que les gens expriment activement leur désaccord
Je pense que la plupart des gens n’en ont absolument aucune idée
Si vous demandez à des amis non techniciens autour de vous, ou à n’importe qui dans la rue, vous verrez qu’en réalité beaucoup ne sont pas conscients de cette situation