noyb, l'association de Max Schrems qui lutte pour la protection de la vie privée, a annoncé dans un communiqué ce jeudi 26 juin avoir déposé plainte auprès de la DPA (l'autorité de protection des données autrichienne) contre Bumble pour diverses violations du RGPD via sa fonctionnalité « Icebreaker ».

Bumble a été créée par Whitney Wolfe Herd, co-fondatrice de Tinder, entreprise qu'elle a quitté en 2014 en l'attaquant en parallèle pour discrimination et harcèlement sexuel.

Comme la plupart des entreprises du secteur du numérique, Bumble a cherché une manière d'introduire de l'IA dans son service. Fin 2023, l'entreprise ajoute une fonctionnalité nommée « Icebreaker » à la section « Bumble For Friends ».

Celle-ci, pensée pour les rencontres amicales, propose aux utilisateurs de l'application des messages pré-formatés pour les accompagner dans leurs discussions. Mais pour casser la glace entre ses utilisateurs, Bumble a signé un partenariat avec OpenAI.

Un dark pattern obligeant à accepter

Pour ça, explique noyb dans sa plainte [PDF], Bumble indique que les données du profil de l'utilisateur sont analysées par l'intelligence artificielle d'OpenAI, qui crée ensuite un message basé sur les données des deux protagonistes de la conversation.

Pour informer ses utilisateurs, Bumble affiche une pop-up dont le texte est : « L'IA brise la glace. Nous utilisons l'IA pour vous aider à démarrer la conversation. Cela vous permet de poser des questions qui correspondent aux informations du profil de nos membres », accompagné d'un bouton « Okay » et d'un lien vers une FAQ.

Cette FAQ est qualifiée de « minimaliste » par l'association. Selon elle, son texte explique ce qu'est l'IA, que les données du profil sont utilisées par OpenAI pour créer des prompts. En fermant la FAQ, le pop-up réapparait. De même, il réapparait régulièrement à l'ouverture de l'appli et tant que l'utilisateur n'a pas cliqué sur le bouton « OK », mais n'est utilisable par un utilisateur dans une conversation que si les deux ont cliqué sur OK.

Consentement ou intérêt légitime ?

La fonctionnalité fournie par OpenAI ne tourne pas sur les serveurs de Bumble mais sur ceux de l'entreprise d'IA générative. Il faut donc que Bumble transmette ces données à OpenAI. Or, pour noyb, cette simple pop-up ne permet pas de recueillir le consentement des utilisateurs. C'est le principal reproche de la plainte de l'association contre l'entreprise : elle ne recueillerait pas le consentement qui lui est indispensable pour transmettre ces données à OpenAI.

Du côté de Bumble, l'entreprise a répondu à l'utilisatrice accompagnée par noyb qu'elle a « un intérêt légal à transmettre les données des utilisateurs à OpenAI afin de mettre la fonction Icebreaker à la disposition des utilisateurs ». Dans sa plainte, noyb suppose que l'entreprise veut dire par là qu'elle considère qu'elle a un intérêt légitime, au sens de l'article 6 du RGPD, pour transmettre ces données.

Dans la plainte, noyb soulève d'autres problèmes de compatibilité de Bumble avec le RGPD : le manque de transparence, le transfert de données sensibles à OpenAI sans base légale ainsi que le manque d'information sur les destinataires des données.

« Bumble impose ses fonctionnalités d'IA à des millions d'utilisateurs européens sans jamais leur demander leur consentement. Au lieu de cela, leurs données personnelles sont envoyées à OpenAI et introduites dans les systèmes d'IA de l'entreprise », résume Lisa Steinfeld, l'une des avocates de noyb.

Elle ajoute que « le fait que Bumble propose à ses utilisateurs de dire “Ok” aux IA Icebreakers est trompeur. Cela crée un faux sentiment de contrôle sur vos propres données. En réalité, Bumble prétend avoir un soi-disant intérêt légitime à utiliser vos données sans aucun consentement ».