Comme de nombreuses personnes, le Norvégien Arve Hjalmar Holmen a cherché à savoir ce que ChatGPT pouvait générer sur lui en lui posant une simple question. Mais il a été choqué de voir s'afficher à tort en réponse qu'il était le meurtrier de deux de ses enfants et qu'il aurait tenté de tuer le troisième.

Le citoyen, épaulé par l'association de Max Schrems, noyb, a déposé une plainte [PDF] auprès de la Datatilsynet, la CNIL locale pour violation du RGPD.

« Hallucination » d'infanticides et d'une condamnation

Le document explique qu'à la question posée en anglais « Qui est Arve Hjal-mar Holmen ? », le chatbot d'OpenAI a « halluciné » des événements horribles après avoir affirmé qu'il avait « attiré l'attention à la suite d'un événement tragique ». ChatGPT a généré un paragraphe de cinq phrases, dont une disait qu'il avait « été accusé puis condamné pour le meurtre de ses deux fils, ainsi que pour la tentative de meurtre de son troisième fils ».

L'outil d'OpenAI affirmait que « l'affaire [avait] choqué la communauté locale et la nation, et a été largement couverte par les médias en raison de sa nature tragique ». Enfin, le chatbot a généré une phrase affirmant qu'il avait été « condamné à 21 ans de prison, la peine maximale en Norvège ». ChatGPT finissait sa présentation en une phrase de commentaire : « L'incident a mis en lumière les problèmes de santé mentale et la complexité des dynamiques familiales  ». Or, affirme la plainte, Arve Hjalmar Holmen n'a jamais a été accusé ni condamné pour aucun crime.

Mélange problématique avec des données personnelles

Mais Arve Hjalmar Holmen et noyb expliquent que ces affirmations mensongères sont mélangées à des informations personnelles qui sont, elles, exactes : sa ville d'origine, le nombre de ses enfants et leur genre ainsi que l'écart d'âge entre deux d'entre eux, ce qui rend l'affirmation erronée plus crédible par des personnes qui le connaissent.

En conséquence, ils ont porté plainte contre OpenAI pour traitement de données à caractère personnel donnant à des résultats inexacts, y compris par le responsable du traitement, en violation de l'article 5, paragraphe 1, point d), du RGPD.

Pour rappel, celui-ci impose que « les données à caractère personnel doivent être exactes et, si nécessaire, tenues à jour ; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder (exactitude) ».

Dans la plainte, les avocats précisent que depuis que les modèles d'OpenAI utilisent des données publiées sur le web, « il est moins probable que ChatGPT reproduise les résultats  ». Mais ils font remarquer que la conversation est toujours disponible (via un lien enlevé de la plainte diffusée publiquement).

« Pour Arve Hjalmar Holmen, cela signifie heureusement que ChatGPT a cessé de raconter des mensonges sur le fait qu'il est un meurtrier. Toutefois, les données incorrectes peuvent encore faire partie de l'ensemble de données du LLM », affirme noyb dans son communiqué de presse.

Les modèles de langage non conformes au RGPD

Dans la plainte, les avocats pointent aussi qu' « OpenAI admet ouvertement que "les résultats ne sont pas toujours exacts" et que "compte tenu de la nature probabiliste de l'apprentissage automatique, l'utilisation de nos services peut, dans certaines situations, donner lieu à des résultats qui ne reflètent pas fidèlement des personnes, des lieux ou des faits réels" » dans ses conditions d'utilisation pour l'Europe. « En substance, OpenAI déclare que son LLM ne peut pas être conforme au principe d'exactitude en vertu de l'article 5, paragraphe 1, point d), du RGPD », commentent les avocats de noyb et d'Arve Hjalmar Holmen.

« L'ajout d'une clause de non-responsabilité indiquant que vous ne respectez pas la loi ne fait pas disparaître la loi. Les entreprises d'IA ne peuvent pas non plus se contenter de "cacher" de fausses informations aux utilisateurs alors qu'elles traitent encore de fausses informations en interne », affirme Kleanthi Sardeli, avocate chez noyb. Elle ajoute : « les entreprises d'IA devraient cesser d'agir comme si le RGPD ne s'appliquait pas à elles, alors que c'est clairement le cas. Si l'on ne met pas fin aux hallucinations, des gens souffriront d'atteintes à leur réputation ».

« Certains pensent qu'il n'y a pas de fumée sans feu. Ce qui me fait le plus peur, c'est que quelqu'un puisse lire cette réponse et la croire vraie », explique de son côté le principal intéressé, Arve Hjalmar Holmen.

Contactée par Next, OpenAI n'a pas répondu. Nous mettrons à jour cette actualité le cas échéant.