Le droit à l’oubli à l’ère de ChatGPT : un droit « effacé »
Résumés
L’avènement des systèmes d’intelligence artificielle générative (IAG), auxquels le nouveau règlement sur l’intelligence artificielle (RIA) consacre un cadre réglementaire propre, soulève des enjeux considérables pour la protection des données à caractère personnel et notamment pour les droits des personnes concernées par les traitements de données opérés. L’analyse du cas particulier de ChatGPT montre que le droit à l’oubli est l’un des droits les plus malmenés. Déjà contraint par le RGPD, il se trouve limité par la complexité technique des IAG, mais aussi par les transferts internationaux de données impliqués. L’étude de ce cas met alors en lumière les difficultés en la matière ainsi que les ambiguïtés concernant la protection des données personnelles entretenues par OpenAI, l’entreprise développant l’outil.
Entrées d’index
Mots-clés :
protection des données personnelles, droit à l’oubli, intelligence artificielle, transferts de données, RGPDKeywords:
personal data protection, right to be forgotten, articifial intelligence, data transfers, GDPPlan
Haut de pageNotes de l’auteur
Cette recherche est soutenue par le projet ANR 22-PECY-0002 IPOP (Interdisciplinary Project on Privacy) du PEPR Cybersécurité.
Texte intégral
- 1 Règl. (UE) 2024/1689 du PE et du Conseil, 13 juin 2024, établissant des règles harmonisées concerna (...)
- 2 Par la suite « Données personnelles ».
- 3 Règl. (UE) 2016/679 du PE et du Conseil, 27 avr. 2016, relatif à la protection des personnes physiq (...)
- 4 GPDP, Provvedimento del 30 marzo 2023 [9870832], disponible en langue italienne à l’adresse suivant (...)
1Introduction. Depuis son adoption, le règlement européen sur l’intelligence artificielle (RIA)1, ne tarit pas les questions d’encadrement de l’IA et en particulier celles relatives aux IA dites génératives, capables de créer des contenus en réponse à des questions. En effet, le droit des données à caractère personnel2 constitue une porte d’entrée singulière pour répondre aux enjeux posés par ces outils automatisés traitant des données. Dans ce cadre, le moratoire imposé par le Garante italiano per la protezione dei dati personali, autorité de contrôle italienne de la protection des données personnelles a fait grand bruit, ordonnant la suspension des services fournis par ChatGPT en Italie pendant quelques semaines en 2023 en raison du non-respect de certaines dispositions du règlement général sur la protection des données3 (RGPD) et, plus particulièrement, de la présence de données personnelles incorrectes fournies par le chatbot4 dans les résultats proposés aux utilisateurs.
- 5 EDPB, Report of the work undertaken by the ChatGPT Taskforce, 24 mai 2024, disponible à l’adresse s (...)
- 6 Avant le 15 février 2024, OpenAI n’avait pas d’établissement sur le territoire de l’UE, ce qui empê (...)
- 7 Juliette Sénéchal, « L’AI Act dans sa version finale – provisoire –, une hydre à trois têtes », Dal (...)
- 8 RIA, précité, art. 3 « Définitions », 1), disponible à l’adresse suivante : https://www.europarl.eu (...)
- 9 Pour la définition de « systèmes d’intelligence artificielle à usage général », v. RIA, précité, ar (...)
2La sonnette d’alarme ainsi tirée par l’autorité italienne a déclenché l’ouverture d’une ChatGPT Task force dont les résultats ont été publiés par le Comité européen de la protection des données le 23 mai 20245. Le but de cette Task force était de promouvoir une approche coordonnée entre les différentes autorités de contrôle nationales saisies de plaintes en raison de la violation du droit de la protection des données personnelles6 par ce système d’intelligence artificielle dont la mise sur le marché en novembre 2022 a profondément bouleversé les négociations du RIA pour l’adapter à ce contexte particulier7. Ainsi, en plus de définir les systèmes d’IA (« un système automatisé qui […] peut faire preuve d'une capacité d'adaptation après son déploiement, et qui […] déduit, à partir des entrées qu'il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions […]8 »), le texte introduit la notion de « système d’intelligence artificielle à usage général » (SIAG), dont ChatGPT fait partie. La distinction posée est importante car si les systèmes d’intelligence artificielle « classiques » sont capables de faire des prédictions, les SIAG sont aussi en mesure de produire de nouveaux contenus, qui ressemblent aux données servant à leur apprentissage9. Le RIA, qui ménage pour les SIAG un encadrement dédié, a été crucial, mettant en exergue les capacités mais aussi les risques de ces systèmes, notamment pour la vie privée.
- 10 LINC, [Dossier IA générative] – « ChatGPT : un beau parleur bien entraîné », article en ligne, publ (...)
- 11 CEDPO, Generative AI: The Data Protection Implications, CEDPO AI Working Group 16 October 2023, p. (...)
- 12 Agarwal Shubham, « With privacy concerns rising, can we teach AI chatbots to forget? », NewScientis (...)
- 13 https://openai.com/fr-FR/policies/row-privacy-policy/, pt. 5 « Vos droits » : « OpenAI traite vos D (...)
3En pratique, ChatGPT peut être amené à traiter des données personnelles pendant la phase d’entraînement, qui se sert de données publiques, provenant des sites institutionnels, de Wikipédia, d’œuvres littéraires, ou de grandes bases de données, telles que Reddit, par exemple, ainsi qu’à la demande des utilisateurs, dans le cadre des requêtes (« prompts ») que ces derniers adressent à l’agent conversationnel10. Mais, il peut s’agir aussi de données obtenues par des courtiers de données, ou déjà stockées dans les bases de données des fournisseurs d’IAG11. Ainsi, des données personnelles sont traitées dans la phase d’entraînement et de déploiement du SIAG, ce qui implique de penser les droits des personnes concernées par les données et notamment le droit à l’effacement des données. À cet égard, en novembre 2023, le journaliste spécialiste de la tech, Shubam Agarwal publiait un article sur New Scientist relatant que ChatGPT se laissait influencer par leurs échanges dans les réponses que l’outil apportait à d’autres utilisateurs. Alarmé par cette déclaration, le journaliste tenta d’obtenir l’effacement de ses données personnelles, mais se heurta à l’impossibilité de les faire supprimer12. Cet exemple montre qu’une fois que les données sont entrées dans le traitement, il est techniquement difficile, voire impossible de les effacer. De plus, un autre élément rend complexe l’analyse de ChatGPT sous le prisme du droit à l’effacement : le fait qu’OpenAI, entreprise à l’origine de ChatGPT, déclare dans sa politique de confidentialité transférer les données collectées vers la société mère située aux États-Unis13.
4Dans ces conditions, l’effectivité juridique du droit à l’oubli est fragilisée par les limites techniques et territoriales auxquelles elle est confrontée en raison des traitements réalisés par ChatGPT. Il s’ensuit que le droit à l’oubli est un droit lui-même « effacé », remis en cause par l’émergence des SIAG (I), à l’heure où le transfert de données personnelles vers les États-Unis l’affaiblit en raison de ses limites territoriales (II).
1. Un droit à l’oubli remis en cause pour les systèmes d’IA générative
5L’application du droit à l’oubli à des systèmes d’intelligence artificielle générative, tels que ChatGPT, confronte ce droit, au champ d’application déjà restreint par le RGPD (A), à des contraintes technologiques importantes et sous-estimées par la politique de confidentialité d’OpenAI (B).
1.1. Un droit à l’oubli restreint par le RGPD et contraint techniquement
- 14 Règl. (UE) 2016/679, précité, art. 17 « Droit à l’effacement (“droit à l’oubli”) », § 1.
- 15 Ibid., art. 17 « Droit à l’effacement (“droit à l’oubli”) », § 3.
- 16 Ibid., art. 17 « Droit à l’effacement (“droit à l’oubli”) », § 2.
- 17 Cette disposition est également reprise au considérant 66 du règlement 2016/679.
6En pratique, le droit à l’oubli reconnu par l’article 17 du RGPD permet à un individu qui a connaissance que ses données personnelles font l’objet d’un traitement d’en exiger l’effacement. Toutefois, comme l’indique le paragraphe 1 de cet article, ce droit n’est pas absolu et il est soumis à conditions14. En effet, sa mise en œuvre doit tenir compte d’éventuels droits ou intérêts concurrents et de même valeur dans la hiérarchie des normes, dont le droit à la liberté d’expression ou l’intérêt public, pour n’en citer que certains15. Le paragraphe 2 de l’article 17 fait également des contraintes technologiques et des coûts de mise en œuvre du droit à l’effacement un possible obstacle autorisé à l’implémentation de ce droit. Cela sera notamment le cas lorsque la responsabilité du traitement est partagée par plusieurs responsables du traitement, rendant alors complexe l’effacement des données. Dans ce cadre, le RGPD prévoit alors que « [C]ompte tenu des technologies disponibles et des coûts de mise en œuvre, [le responsable de traitement] prend des mesures raisonnables, y compris d'ordre technique16 » pour informer les autres responsables de traitement que la personne a demandé l’effacement de ses données personnelles et qu’ils doivent s’y conformer17.
7L’injonction d’adopter des « mesures raisonnables », « y compris d’ordre technique » pour supprimer les données personnelles de l’utilisateur ne vise toutefois pas spécifiquement l’hypothèse d’un agent conversationnel qui ne saurait oublier les données personnelles de ses utilisateurs, tel que ChatGPT. En cause, l’émergence trop récente des systèmes d’intelligence artificielle générative par rapport à l’adoption du règlement, qui date de 2016.
- 18 Règl. (UE) 2016/679 précité, cons. 78 : « […] Lors de l’élaboration, de la conception, de la sélect (...)
8Or, face à la conception de nouveaux outils, tels que les SIAG, le RGPD laisse le juriste sur sa faim. En effet, le considérant 78 dispose qu’il incombe aux producteurs et aux prestataires de biens ou de services de s’assurer que les responsables de traitement soient en mesure de respecter le droit de la protection des données personnelles18. Cela implique que la garantie de l’effacement des données personnelles repose davantage sur des solutions techniques et sur la bonne volonté des concepteurs et/ou fournisseurs de ces outils de les mettre en place, que sur un cadre contraignant qui s’imposerait quelles que soient les configurations techniques et pratiques.
- 19 Philippe Pradal, Stéphane Rambaud, Rapport d’information, déposé en application de l’article 145 du (...)
9La question de l’effectivité du droit à l’oubli n’est toutefois pas nouvelle. En effet, les contraintes technologiques découlant des algorithmes, lesquels sont « conçu[s] de telle sorte qu’il[s] peu[ven]t découvrir […] [eux-mêmes] les opérations à suivre et progresser dans le temps à partir de […] [leur] expérience19 » et qui avaient vu le jour dans les années 1980, rendaient déjà ce droit difficile à mettre en œuvre. La montée en puissance des SIAG et la généralisation de leur usage permettent alors de mettre en lumière des difficultés qui n’avaient que peu mobilisé la doctrine jusque-là.
- 20 Sanjam Garg, Shafi Goldwasser, Prashant Nalini Vasudevan, « Formalizing Data Deletion in the Contex (...)
- 21 Ibid., p. 378.
- 22 Ibid.
10En pratique, la mise en œuvre effective pour la personne de son droit à l’oubli impose non seulement d’effacer les données collectées mais aussi celles qui sont en proximité et ont un rapport d’interdépendance avec elles, susceptible de permettre d’inférer des informations sur les données supprimées20. Le responsable de traitement devrait donc aussi effacer d’éventuelles données qui dépendent de l’information supprimée21. Cependant, ces démarches dépassent largement ce qui est exigé par le RGPD, à savoir la suppression des seules données que l’utilisateur souhaite effacer22.
11La complexité des SIAG aggrave cette remise en cause du droit à l’oubli, en dépit de la reconnaissance de ce droit dans la politique de confidentialité de l’entreprise étasunienne à l’origine de ChatGPT.
1.2. Un droit à l’oubli présent dans la politique de confidentialité d’OpenAI mais irréaliste
- 23 LINC, [Dossier IA générative], précité.
- 24 Ibid.
- 25 Ibid.
12La complexité des agents conversationnels et des SIAG dépend de l’introduction, en 2017, d’un nouveau type d’algorithme appelé transformer, basé sur des « réseaux de neurones », qui permet de traiter une quantité de données sans précédent. L’amélioration de la puissance des processeurs et des capacités des mémoires des systèmes informatiques offre une puissance de traitement inédite, et permet de mettre en œuvre de nouveaux algorithmes plus gourmands en ressources23. Un dossier de la CNIL consacré à ChatGPT livre la « recette étape par étape de ChatGPT24 ». Cette interface numérique utilise les entrées ou « prompts » de l’utilisateur pour alimenter son algorithme et présenter des résultats compréhensibles par les humains. Ce texte doit d’abord être « encodé », à savoir traduit dans un langage compréhensible à la machine (vectorisation). Les vecteurs sont des valeurs numériques, représentant chaque mot, mais dont le « sens » est déduit en fonction du contexte, à savoir de la comparaison avec les « représentations vectorielles » des autres mots. Une fois achevée la phase d’encodage, celle de décodage permet de produire du texte en générant des mots selon la probabilité de leur occurrence. Pour que les réponses de ce dernier soient les plus ajustées aux attentes des utilisateurs, l’algorithme doit être « aligné », à savoir perfectionné par deux techniques de paramétrage : un apprentissage supervisé, se servant de « réponses types » qui sont rédigées par des humains et un apprentissage par renforcement, utilisant un modèle de récompense qui reconnaît les bonnes réponses et fournit un haut score le cas échéant25. Cette phase, aussi appelée fine-tuning, implique dans la majorité des cas le traitement de données personnelles.
- 26 https://openai.com/fr-FR/policies/row-privacy-policy/, pt. 5 « Vos droits ».
- 27 Ibid., pt. 5 « Vos droits ».
- 28 https://help.openai.com/en/articles/9299480-processus-de-dveloppement-de-chatgpt-et-de-nos-modles-d (...)
- 29 https://openai.com/fr-FR/policies/row-privacy-policy/, pt. 5 « Vos droits ».
- 30 Florence G’Sell, « An Overview of the European Union Framework Governing Generative AI Models and S (...)
- 31 Ibid., p. 11.
13Ne détaillant pas cette complexité, la politique de confidentialité d’OpenAI tente d’insuffler de la confiance chez les utilisateurs dont les données à caractère personnel sont traitées. L’entreprise indique, en effet, permettre aux personnes concernées de demander l’effacement des données personnelles des registres de l’entreprise26, de retirer leur consentement, ainsi que de s’opposer au traitement de leurs données27. Le document précise que l’entreprise s’engage à limiter la manière dont elle traite des données personnelles28. De plus, OpenAI ajoute que des erreurs concernant les données personnelles de l’utilisateur générées par le système peuvent être rectifiées ou effacées à la demande de l’utilisateur29. Toutefois, cela ne semble pas réalisable d’un point de vue technique. En effet, après l’entraînement et le fine-tuning, il est impossible de retirer des données brutes (qu’elles soient personnelles ou non) de l’ensemble des paramètres des SIAG30. Pour que l’effacement soit effectif, il faudrait effacer l’ensemble des données produites, enlever les données personnelles des jeux de données qui ont servi à son entraînement, pour en constituer un autre et l’entraîner sans ces données31.
- 32 Michael Veale, Reuben Binns, Lilian Edwards, « Algorithms that remember: model inversion attacks an (...)
- 33 Voir notamment : Dawen Zhang, Pamela Finckenberg-Broman, Thong Hoang, Shidong Pan, Zhenchang Xing, (...)
- 34 Ibid., p. 10.
14Ces obstacles au droit à l’effacement sont particulièrement problématiques car, après le fine-tuning, les protections techniques des données personnelles mises en place par les développeurs des modèles de langage pour éviter toute divulgation des données ne sont pas efficaces. Le modèle peut alors mémoriser des données d’entraînement32 et les « régurgiter » par inadvertance, c’est-à-dire les divulguer auprès d’un autre utilisateur33. Ce phénomène doit être distingué d’une autre forme de perturbation affectant les SIAG et nommée « hallucinations ». Il s’agit d’une conséquence de jeux de données incomplets et présentant des biais liés à la langue ou à la localisation des données, ainsi que du fonctionnement probabiliste du système. Toutefois, cet effacement des données est impossible34, constat particulièrement regrettable au regard des atteintes qu’elles sont susceptibles de porter à la réputation des personnes concernées.
- 35 Des solutions d’effacement par l’identification des points de données dans le modèle, de même que p (...)
- 36 CEDPO, Generative AI: The Data Protection Implications, précité, p. 22. ; v. égal. sur le sujet : A (...)
15Des solutions techniques s’offrent pour éviter l’usage de données personnelles ou permettre leur effacement35. Une piste possible est le recours à des données synthétiques : c’est-à-dire des données reproduisant les caractéristiques des données originelles, personnelles le cas échéant, mais qui ne les contiennent pas. Néanmoins, il ne s’agit pas d’une solution miracle, car des risques pour la protection des données personnelles demeurent36. Cette conclusion n’est pas pour rassurer d’autant que la transmission des données personnelles aux États-Unis demande une application extraterritoriale du droit à l’oubli, ce qui entraîne une insécurité juridique concernant l’exercice de ce droit.
2. Un droit à l’oubli fragilisé par ses limites territoriales
- 37 OpenAI a toutefois ouvert une filiale en Irlande pour faciliter le traitement des plaintes : EDPS, (...)
16OpenAI est une entreprise étasunienne, dont l’établissement principal se situe à San Francisco aux États-Unis37. Cette circonstance fragilise encore plus le droit à l’oubli pouvant être confronté à une législation différente de celle du RGPD (A), d’autant qu’il n’existe pas de droit mondial à l’oubli, comme le précise la jurisprudence de la Cour de Justice de l’UE (B).
2.1. Un droit menacé par une législation différente de celle du RGPD
- 38 Règl. (UE) 2016/679, précité, chap. 5 « Transferts de données à caractère personnel vers des pays t (...)
- 39 Décision 2000/520/CE de la Commission du 26 juillet 2000 conformément à la directive 95/46/CE du Pa (...)
- 40 Décision d’exécution (UE) 2016/1250 de la Commission du 12 juillet 2016 conformément à la directive (...)
- 41 CJUE, 6 oct. 2015, Schrems, C-362/14.
- 42 CJUE, 16 juill. 2020, Facebook Ireland, C-311/18.
- 43 Ibid., pt. 180.
- 44 Ibid., pt. 181.
- 45 Décision d’exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 constatant, conformément au (...)
- 46 Règl. (UE) 2016/679, précité, art. 45 « Transferts fondés sur une décision d’adéquation », § 1.
- 47 Executive Order 14086 of October 7, 2022, Enhancing Safeguards for United States Signals Intelligen (...)
- 48 Décision d’exécution (UE) 2023/1795, précité, 2.1.2 Definition of personal data and concepts of con (...)
17Le transfert des données personnelles de l’Union européenne vers des pays tiers est traité au chapitre V du RGPD, qui prévoit plusieurs mécanismes, garantissant que les entreprises ou les États destinataires de ces données assurent un niveau de protection adéquat par rapport à celui du règlement 2016/67938. À l’égard des États-Unis, deux décisions d’adéquation ont été adoptées par la Commission, d’abord en 2000 (Safe Harbour39) et ensuite en 2016 (Privacy Shield40), lesquelles ont toutes les deux été invalidées par la CJUE (arrêts Shrems I41 et II42). Il était notamment reproché au Privacy Shield de ne pas empêcher l’accès des services de renseignement étasuniens aux données collectées par les fournisseurs d’accès à Internet et par les services de télécommunication43. En outre, le texte ne prévoyait pas de mécanismes de recours suffisants pour que les individus fassent valoir leurs droits44. Une nouvelle décision d’adéquation a été adoptée par la Commission le 10 juillet 202345. Celle-ci autorise le transfert de données personnelles vers les États-Unis, dans la mesure où le niveau de protection qu’ils garantissent est équivalent à celui du RGPD46. En effet, celle-ci s’appuie sur le décret adopté par le Président Biden en octobre 202247, lequel cherche à renforcer les garanties pour les personnes concernées par la collecte des données personnelles de la part des services de renseignement étasuniens. Le mécanisme de protection fonctionne en imposant aux organismes traitant des données personnelles de ressortissants de l’UE d’adhérer au Cadre de protection des données personnelles UE-EU en certifiant qu’ils traitent les données personnelles selon les conditions établies par cet accord48.
- 49 https://openai.com/policies/data-processing-addendum/, pt. 7. International Data Transfers, « a. Op (...)
- 50 OpenAI n’est cependant pas incluse dans la liste des entreprises adhérant au Data Privacy Framework(...)
- 51 Décision d’exécution (UE) 2023/1795, précité, 2.2.4. Transparence, (28).
18À cet égard, la position d’OpenAI laisse perplexe. En effet, l’entreprise n’adhère pas officiellement au cadre posé par l’UE. Toutefois, dans sa politique de confidentialité à destination des usagers du Royaume-Uni, de la Suisse et des résidents de l’espace économique européen, la société indique que les transferts vers d’autres pays sont régis par les décisions d’adéquation de la Commission et, à défaut, par des clauses contractuelles types49. Il pourrait s’ensuivre que pour les transferts vers les États-Unis, la société se fie à la décision d’adéquation de la Commission50. Néanmoins, dans la décision d’adéquation, il est précisé qu’il incombe à l’organisme adhérant d’informer précisément les personnes concernées que l’entreprise souscrit au CPD UE-EU51. OpenAI est donc défaillante vis-à-vis de son obligation de transparence découlant de ladite décision.
- 52 C’est le cas notamment depuis l’investiture de Donald Trump. Voir Brian Hengesbaugh, Lukas Feiler, (...)
- 53 Conformément à l’article 70 « Missions du comité », § 1, point s du RGPD, le Comité européen pour l (...)
- 54 EDPB, avis 5/2023 relatif au projet de décision d’exécution de la Commission européenne constatant (...)
- 55 Ibid., p. 37, pt 144. Sur les risques de partage des données personnelles traitées par ChatGPT en a (...)
- 56 Executive Order 14215 of February 18, 2025: Ensuring Accountability for All Agencies, https://www.w (...)
- 57 Il s’agit d’une agence fédérale en charge de garantir le juste équilibre entre la protection de la (...)
- 58 Trib. UE, 3 sept. 2025, Latombe c. Commission, T-553/23.
19Par ailleurs, le cadre du Privacy Framework est perfectible52. Le Comité européen pour la protection des données (CEPD) souligne qu’en dépit des améliorations garanties par le décret étasunien de 2022, des lacunes demeurent quant à l’exercice des droits des personnes53. Dans son avis 5/2023 du 28 février 2023, il affirme que les citoyens européens n’ont pas le droit d’accéder à leurs données si elles sont obtenues à partir de registres publics, ce qui remet en cause l’exercice d’autres droits, dont le droit à l’effacement54. De plus, en cas de menace à la sécurité nationale, une collecte massive des données personnelles y compris des citoyens européens ne nécessiterait point d’autorisation de la part d’une autorité administrative ou judiciaire indépendante55. Malgré ces lacunes, aggravées par l’adoption d’un Executive Order de la part de Donald Trump, fragilisant l’indépendance de la FTC (Federal Trade Commission), supervisant le respect du DPF56, ainsi que le licenciement des trois membres démocrates du Privacy and Civil Liberties Oversight Board57, le Tribunal de l’UE a confirmé que le Privacy Framework était conforme au droit de l’UE58. Cet état des choses ne renforce cependant pas la sécurité juridique du droit à l’oubli, notamment pour le cas où OpenAI serait sommée de transmettre les données personnelles des citoyens européens, d’autant plus que l’entreprise n’adhère pas à ce mécanisme.
- 59 Le texte qui reconnaît le droit à l’oubli en Californie est le suivant : California Consumer Privac (...)
- 60 C. Castets-Renard, « Rumeur et droit à l’oubli : une comparaison UE-États-Unis », LEGICOM, 60(1), (...)
- 61 Sur les différences entre le droit à l’oubli en Europe et aux États-Unis, v. égal. Bruno Ancel, « L (...)
20OpenAI a son siège principal en Californie, État qui reconnaît le droit à l’oubli59. Cependant, il n’y a pas de loi fédérale sur la protection des données, a fortiori reconnaissant le droit à l’oubli, aux États-Unis60. Il en ressort que tout changement d’établissement principal de la part de la société OpenAI pourrait confronter l’article 17 du RGPD à une règlementation étatique conflictuelle61. Sur ce point, même si le RGPD a un champ d’application extraterritorial sous certaines conditions, l’absence d’un droit mondial à l’oubli n’est pas pleinement satisfaisante.
2.2. L’absence d’un droit mondial à l’oubli fragilisant son applicabilité
- 62 Règl. 2016/679, précité, art. 3 « Champ d’application territorial », § 2, pt. a.
- 63 Depuis la mise en place d’un établissement en Irlande par OpenAI, les données traitées dans le cadr (...)
21Le RGPD déploie un champ d’application extraterritoriale. En particulier, l’article 3 du RGPD, intitulé « Champ d’application territoriale », dispose que le règlement s’applique dès lors que le responsable de traitement adresse à tout résident sur le territoire de l’UE des offres de biens et services62. Il s’ensuit que le droit à l’oubli, reconnu à l’art. 17 du RGPD a vocation à s’appliquer aussi de manière extraterritoriale63.
- 64 EDPS, Lignes directrices 5/2019 sur les critères du droit à l’oubli au titre du RGPD dans le cas d (...)
22Toutefois, l’application extraterritoriale est une exception au principe de la compétence territoriale de l’État et, en tant que telle, sa mise en œuvre n’est pas anodine. Sur ce point, il peut être relevé une jurisprudence de la Cour de Justice de l’UE (CJUE), datant de 2019 qui serait susceptible de remettre en cause l’applicabilité du droit à l’oubli à l’échelle mondiale. Dans cette affaire, il est question du droit au déréférencement, fondé sur l’article 17 du RGPD, et principale « concrétisation » du droit à l’oubli dans le contentieux devant la CJUE. Plus précisément, le droit au déréférencement comporte l’effacement des liens renvoyant à l’information dès lors que les nom et prénom de la personne concernée sont saisis dans la barre du moteur de recherche64.
- 65 CJUE, 24 sept. 2019, Google (Portée territoriale du déréférencement), C- 507/17.
- 66 Ibid., pts. 59 à 65.
- 67 Ibid., pt. 72.
- 68 Ibid., pt. 60 : « Par ailleurs, le droit à la protection des données à caractère personnel n’est pa (...)
23Dans l’arrêt Google c. Cnil de 201965, la CJUE énonce que le droit au déréférencement n’a pas vocation à s’appliquer mondialement66. Elle laisse néanmoins aux juridictions des États membres de la marge de manœuvre pour procéder à une application mondiale dès lors que la protection des droits de la personne concernée le justifie67. Il importe de préciser que le droit au déréférencement n’implique pas l’effacement complet des données, mais seulement des liens renvoyant à ces données. Sur ce point, les juges du plateau de Kirchberg considèrent que le droit de la personne à obtenir l’effacement de ces liens n’est pas absolu, en ce qu’il doit être mis en balance avec le droit à l’information des utilisateurs selon le principe de proportionnalité68. Il en ressort que les juges de Luxembourg seraient d’autant plus prudents, voire réticents à reconnaître un droit mondial à l’oubli, entendu comme un droit à l’effacement définitif des données personnelles de la personne concernée étendu à l’ensemble du web.
- 69 Depuis 2016 la CNIL revendique une extension du déréférencement à toutes les versions nationales du (...)
- 70 CJUE 13 mai 2014, Google Spain et Google, C-131/12, pt. 88 : « Afin de respecter les droits prévus (...)
- 71 G 29, Lignes directrices relatives à l’exécution de l’arrêt de la Cour de Justice de l’Union europé (...)
24De son côté, la CNIL considère que la suppression des informations sur la seule version renvoyant au pays de résidence de la personne concernée ne serait pas suffisante pour garantir l’effectivité du déréférencement, dans la mesure où ces données personnelles demeurent accessibles sur d’autres extensions69. La jurisprudence de la Cour contredit ainsi la position de l’autorité française de protection des données et remet en cause les directives données par le G29 dans le cadre de l’application de l’arrêt Google Spain, ayant consacré le premier un droit au déréférencement70. En effet, dans ces directives, le groupe de travail préconisait lui aussi une application mondiale de ce droit71.
- 72 Michael Veale, Reuben Binns, Lilian Edwards, « Algorithms that remember: model inversion attacks an (...)
25Par ailleurs, il est intéressant de noter que si en pratique Google garantit ce droit, il n’efface pas les données personnelles de son traitement d’entraînement du moteur de recherche72. Cela veut dire que les données sont conservées, même si elles ne sont pas directement visibles.
26Un droit à l’oubli limité au territoire de l’UE affecte non seulement l’applicabilité de ce droit, mais aussi son effectivité. En effet, dans un contexte mondialisé où l’information circule sans limites, comment protéger ses données personnelles si leur effacement n’est pas étendu à l’ensemble des systèmes du monde ?
- 73 EDPB, « CEF 2025 : Lancement d’une mise en œuvre coordonnée du droit à l’effacement », article en l (...)
- 74 https://www.cnil.fr/fr/les-fiches-pratiques-ia.
- 75 CNIL, IA : Respecter et faciliter l’exercice des droits des personnes concernées, 7 févr. 2025, dis (...)
- 76 Ibid.
27Conclusion. Le droit à l’oubli apparaît donc comme un droit effacé dans le contexte des IAG gourmandes en données personnelles et peu en mesure de les supprimer. Des réflexions continuent de germer sur la mise en œuvre des droits prévus par le RGPD face aux IAG. Dans ce contexte, le CEPD a consacré son cadre coordonné de mise en œuvre pour l’année 2025 au droit à l’effacement (droit à l’oubli), en tant que l’un des droits les plus exercés par les utilisateurs. Le but de cette initiative est de favoriser les échanges sur la mise en œuvre de ce droit entre les autorités de protection des données personnelles73. Pour sa part, la CNIL se veut active, par l’intermédiaire de la publication des fiches sur l’IA générative74. Elle préconise alors le réentraînement des modèles ou l’application de filtres dès lors que ceux-ci mémorisent des données personnelles utilisées pour leur entraînement75. Cette solution est la seule qui semble pouvoir, pour l’instant, garantir la protection des données personnelles dès lors que les SIAG sont en mesure de « régurgiter » des données personnelles. Pourtant, elle sera couteuse à mettre en place et pourra, dès lors, être jugée disproportionnée, sans considérer qu’elle n’est pas infaillible76. La question de la mise en œuvre du droit à l’oubli face aux IAG est donc loin d’être résolue.
Notes
1 Règl. (UE) 2024/1689 du PE et du Conseil, 13 juin 2024, établissant des règles harmonisées concernant l’intelligence artificielle et modifiant les règlements (CE) no 300/2008, (UE) no 167/2013, (UE) no 168/2013, (UE) 2018/858, (UE) 2018/1139 et (UE) 2019/2144 et les directives 2014/90/UE, (UE) 2016/797 et (UE) 2020/1828 (règlement sur l’intelligence artificielle), PE/24/2024/REV/1, JO L, 2024/1689, 12 juill. 2024. On se référera par la suite à ce texte sous l’abréviation de RIA.
2 Par la suite « Données personnelles ».
3 Règl. (UE) 2016/679 du PE et du Conseil, 27 avr. 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), JOUE 2016 L 119, p. 1-88.
4 GPDP, Provvedimento del 30 marzo 2023 [9870832], disponible en langue italienne à l’adresse suivante : https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9870832. L’autorité italienne clôture la phase investigatrice en décembre 2024 et enjoint OpenAI à l’organisation d’une campagne d’information de six mois et au paiement de 15 millions d’euros. Le 21 mars 2025, le Tribunal de Rome a ordonné la suspension sous conditions de la décision. V. not. : GPDP, Comunicato stampa – ChatGPT, il Garante privacy chiude l’istruttoria. OpenAI dovrà realizzare una campagna informativa di sei mesi e pagare una sanzione di 15 milioni di euro, 20 déc. 2024, disponible en langue italienne et en anglais à l’adresse suivante : https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10085432.
5 EDPB, Report of the work undertaken by the ChatGPT Taskforce, 24 mai 2024, disponible à l’adresse suivante : https://www.edpb.europa.eu/system/files/2024-05/edpb_20240523_report_chatgpt_taskforce_en.pdf.
6 Avant le 15 février 2024, OpenAI n’avait pas d’établissement sur le territoire de l’UE, ce qui empêchait la mise en place du mécanisme du guichet unique, à savoir la coordination des autorités de contrôle nationales autour de l’autorité « cheffe de file », conformément à l’article 56 du RGPD. V. égal. ibid., p. 4, pt. 3.
7 Juliette Sénéchal, « L’AI Act dans sa version finale – provisoire –, une hydre à trois têtes », Dalloz Actualité, article en ligne, publié le 11 mars 2024, consulté le 1er oct. 2025, disponible à l’adresse suivante : https://www.dalloz-actualite.fr/flash/l-ai-act-dans-sa-version-finale-provisoire-une-hydre-trois-tetes.
8 RIA, précité, art. 3 « Définitions », 1), disponible à l’adresse suivante : https://www.europarl.europa.eu/doceo/document/TA-9-2024-0138-FNL-COR01_FR.pdf.
9 Pour la définition de « systèmes d’intelligence artificielle à usage général », v. RIA, précité, art 3 « Définitions », 66) : « “système d’IA à usage général”, un système d’IA qui est fondé sur un modèle d’IA à usage général et qui a la capacité de répondre à diverses finalités, tant pour une utilisation directe que pour une intégration dans d’autres systèmes d’IA ». Une définition similaire est donnée par la Convention-cadre du Conseil de l’Europe sur l’intelligence artificielle, les droits de l’homme, la démocratie et l’État de droit [Vilnius, 5.IX.2024] à l’article 2 – Définition des systèmes d’intelligence artificielle : « On entend par “système d’intelligence artificielle” un système automatisé qui, pour des objectifs explicites ou implicites, déduit, à partir d’entrées reçues, comment générer des résultats en sortie tels que des prévisions, des contenus, des recommandations ou des décisions qui peuvent influer sur des environnements physiques ou virtuels. Différents systèmes d’intelligence artificielle présentent des degrés variables d’autonomie et d’adaptabilité après déploiement ». L’article 3 du RIA a également ajouté la définition de modèle d’IA à usage général. À ce propos, le modèle est le résultat de l’entraînement de réseaux de neurones formels sur de vastes jeux de données. Ce modèle est à la base du fonctionnement des systèmes d’IAG. Ceux-ci sont les outils dont l’utilisateur se sert pour accomplir des fonctions de traitement de données variées, telles que produire du texte, ou des images, par exemple, et cela soit directement, soit à la suite d’une phase d’apprentissage ultérieure, qui leur permet d’affiner leurs résultats. Pour simplifier, le modèle serait la structure logicielle de ChatGPT, alors que le SIAG est l’outil (ChatGPT) mettant en œuvre ce modèle.
10 LINC, [Dossier IA générative] – « ChatGPT : un beau parleur bien entraîné », article en ligne, publié le 26 mars 2023, consulté le 22 mars 2024, disponible à l’adresse suivante : https://linc.cnil.fr/dossier-ia-generative-chatgpt-un-beau-parleur-bien-entraine.
11 CEDPO, Generative AI: The Data Protection Implications, CEDPO AI Working Group 16 October 2023, p. 8, disponible à l’adresse suivante : https://cedpo.eu/generative-ai-the-data-protection-implications/.
12 Agarwal Shubham, « With privacy concerns rising, can we teach AI chatbots to forget? », NewScientist, article en ligne, publié le 31 oct. 2023, consulté le 22 mars 2024, disponible à l’adresse suivante : https://www.newscientist.com/article/mg26034632-500-with-privacy-concerns-rising-can-we-teach-ai-chatbots-to-forget/.
13 https://openai.com/fr-FR/policies/row-privacy-policy/, pt. 5 « Vos droits » : « OpenAI traite vos Données à caractère personnel pour les finalités décrites dans la présente Politique de Confidentialité sur des serveurs situés dans diverses juridictions, ce qui implique le traitement et la conservation de vos Données à caractère personnel dans nos locaux et serveurs aux États-Unis. Bien que la législation sur la protection des données varie d’un pays à l’autre, nous appliquons les protections décrites dans la présente Politique de Confidentialité à vos Données à caractère personnel, indépendamment de leur lieu de traitement, et transférons ces données dans le respect strict des mécanismes de transfert valides sur le plan légal. »
14 Règl. (UE) 2016/679, précité, art. 17 « Droit à l’effacement (“droit à l’oubli”) », § 1.
15 Ibid., art. 17 « Droit à l’effacement (“droit à l’oubli”) », § 3.
16 Ibid., art. 17 « Droit à l’effacement (“droit à l’oubli”) », § 2.
17 Cette disposition est également reprise au considérant 66 du règlement 2016/679.
18 Règl. (UE) 2016/679 précité, cons. 78 : « […] Lors de l’élaboration, de la conception, de la sélection et de l’utilisation d’applications, de services et de produits qui reposent sur le traitement de données à caractère personnel ou traitent des données à caractère personnel pour remplir leurs fonctions, il convient d’inciter les fabricants de produits, les prestataires de services et les producteurs d’applications à prendre en compte le droit à la protection des données lors de l’élaboration et de la conception de tels produits, services et applications et, compte dûment tenu de l’état des connaissances, à s’assurer que les responsables du traitement et les sous-traitants sont en mesure de s’acquitter des obligations qui leur incombent en matière de protection des données […] ». Ce considérant renvoie à l’article 25 du règlement 2016/679 « Protection des données dès la conception et protection des données par défaut », prévoyant la mise en place de plusieurs techniques, telles que la pseudonymisation, la minimisation des données et l’application du principe de nécessité (seules les données nécessaires sont traitées), pour assurer des garanties appropriées de protection des droits des utilisateurs, eu égard à l’état de l’art de la technique, aux coûts de mises en œuvre et aux risques que le traitement engendre pour les données personnelles.
19 Philippe Pradal, Stéphane Rambaud, Rapport d’information, déposé en application de l’article 145 du règlement par la Commission des lois constitutionnelles, de la législation et de l’administration générale de la République, en conclusion des travaux d’une mission d’information sur les défis de l’intelligence artificielle générative en matière de protection des données personnelles et d’utilisation du contenu généré, no 2207, 14 févr. 2024, disponible à l’adresse suivante : https://www.assemblee-nationale.fr/dyn/16/rapports/cion_lois/l16b2207_rapport-information.
20 Sanjam Garg, Shafi Goldwasser, Prashant Nalini Vasudevan, « Formalizing Data Deletion in the Context of the Right to Be Forgotte », in Anne Canteaut, Yuval Ishai (eds.), Advances in Cryptology – EUROCRYPT 2020: 39th Annual International Conference on the Theory and Applications of Cryptographic Techniques, Zagreb, Croatia, 14-14/05/2020, Proceedings, Part II., Springer, p. 377, https://dl.acm.org/doi/10.1007/978-3-030-45724-2_13.
21 Ibid., p. 378.
22 Ibid.
23 LINC, [Dossier IA générative], précité.
24 Ibid.
25 Ibid.
26 https://openai.com/fr-FR/policies/row-privacy-policy/, pt. 5 « Vos droits ».
27 Ibid., pt. 5 « Vos droits ».
28 https://help.openai.com/en/articles/9299480-processus-de-dveloppement-de-chatgpt-et-de-nos-modles-de-fondation.
29 https://openai.com/fr-FR/policies/row-privacy-policy/, pt. 5 « Vos droits ».
30 Florence G’Sell, « An Overview of the European Union Framework Governing Generative AI Models and Systems », working document, une fois finalisée, cette étude sera publiée sous forme d’un rapport consacré à la régulation de l’IA et publié par Stanford Cyber Policy Center, 20 mai 2024, p. 11, disponible à l’adresse suivante : https://papers.ssrn.com/sol3/papers.cfm?abstract_id=4762804.
31 Ibid., p. 11.
32 Michael Veale, Reuben Binns, Lilian Edwards, « Algorithms that remember: model inversion attacks and data protection law », Phil. Trans. R. Soc., 376(2133), 2018, p. 9, disponible à l’adresse suivante : https://royalsocietypublishing.org/doi/epdf/10.1098/rsta.2018.0083.
33 Voir notamment : Dawen Zhang, Pamela Finckenberg-Broman, Thong Hoang, Shidong Pan, Zhenchang Xing, Mark Staples, Xiwei Xu, « Right to be Forgotten in the Era of Large Language Models: Implications, Challenges, and Solutions », Cornell University, article en ligne, mis à jour le 22 sept. 2023, consulté le 29 mai 2024, p. 10, disponible à l’adresse suivante : https://arxiv.org/abs/2307.03941.
34 Ibid., p. 10.
35 Des solutions d’effacement par l’identification des points de données dans le modèle, de même que par la modification du comportement du modèle sont en cours d’élaboration, mais elles ne sont actuellement pas suffisamment performantes. V. ibid., p. 12.
36 CEDPO, Generative AI: The Data Protection Implications, précité, p. 22. ; v. égal. sur le sujet : Alexis Leautier, [Données synthétiques] – Et l’Homme créa les données à son image 2/2, LINC (Laboratoire d’Innovation Numérique de la CNIL), article en ligne, publié le 17 août 2022, consulté le 27 mai 2024, et disponible à l’adresse suivante : https://linc.cnil.fr/donnees-synthetiques-et-lhomme-crea-les-donnees-son-image-22.
37 OpenAI a toutefois ouvert une filiale en Irlande pour faciliter le traitement des plaintes : EDPS, Report of the work undertaken by the ChatGPT Taskforce, 23 mai 2024, précité, p. 4, pt. 3.
38 Règl. (UE) 2016/679, précité, chap. 5 « Transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales », voir notamment art. 44 « Principe général applicable aux transferts ».
39 Décision 2000/520/CE de la Commission du 26 juillet 2000 conformément à la directive 95/46/CE du Parlement européen et du Conseil relative à la pertinence de la protection assurée par les principes de la « sphère de sécurité » et par les questions souvent posées y afférentes, publiés par le ministère du Commerce des États-Unis d’Amérique [notifiée sous le numéro C(2000) 2441], JOCE 2000 L 215, p. 7-47.
40 Décision d’exécution (UE) 2016/1250 de la Commission du 12 juillet 2016 conformément à la directive 95/46/CE du Parlement européen et du Conseil relative à l’adéquation de la protection assurée par le bouclier de protection des données UE-États-Unis [notifiée sous le numéro C(2016) 4176], C/2016/4176, JOUE 2016 L 207, p. 1-112.
41 CJUE, 6 oct. 2015, Schrems, C-362/14.
42 CJUE, 16 juill. 2020, Facebook Ireland, C-311/18.
43 Ibid., pt. 180.
44 Ibid., pt. 181.
45 Décision d’exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 constatant, conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil, le niveau de protection adéquat des données à caractère personnel assuré par le cadre de protection des données UE – États-Unis [notifiée sous le numéro C(2023) 4745], C/2023/4745, JOUE 2023 L 231, p. 118-229.
46 Règl. (UE) 2016/679, précité, art. 45 « Transferts fondés sur une décision d’adéquation », § 1.
47 Executive Order 14086 of October 7, 2022, Enhancing Safeguards for United States Signals Intelligence Activities, Federal Register/Vol. 87, no. 198/Friday, October 14, 2022/Presidential Documents.
48 Décision d’exécution (UE) 2023/1795, précité, 2.1.2 Definition of personal data and concepts of controller and agent, pt. 10, p. 4.
49 https://openai.com/policies/data-processing-addendum/, pt. 7. International Data Transfers, « a. OpenAI Ireland Ltd. will process Customer Data provided by Customer that originates in the EEA or Switzerland. To the extent that OpenAI Ireland Ltd transfers Customer Data to other OpenAI affiliates in jurisdictions that do not provide the same level of data protection, it will do so on the basis of intra-group agreements that incorporate appropriate transfer mechanism provisions to protect Customer Data. Such mechanisms may include the Standard Contractual Clauses adopted by the EU Commission on June 4, 2021 (as may be amended, updated or replaced from time to time) (“EU SCCs”) or an adequacy decision issued by the European Commission under Article 45 GDPR ».
50 OpenAI n’est cependant pas incluse dans la liste des entreprises adhérant au Data Privacy Framework. Voir, notamment : Gérard Haas, Chloé Lucas, Élisa Sobczyk, Joseph Henry, « Décoder les usages pour les services d’OpenAI », Dalloz IP/IT, 5, 2024, p. 273 et ss. La même ambiguïté est relevée par la ChatGPT Taskforce, voir notamment : EDPS, Report of the work undertaken by the ChatGPT Taskforce, 23/05/2024, précité, p. 13, point VI.
51 Décision d’exécution (UE) 2023/1795, précité, 2.2.4. Transparence, (28).
52 C’est le cas notamment depuis l’investiture de Donald Trump. Voir Brian Hengesbaugh, Lukas Feiler, « How could Trump administration actions affect the EU-US Data Privacy Framework? », article en ligne, publié le 26 févr. 2025, consulté le 28févr. 2025, disponible à l’adresse suivante : https://iapp.org/news/a/how-could-trump-administration-actions-affect-the-eu-u-s-data-privacy-framework-.
53 Conformément à l’article 70 « Missions du comité », § 1, point s du RGPD, le Comité européen pour la protection des données donne son avis à la Commission pour l’aider à évaluer si l’État tiers assure un niveau de protection suffisante.
54 EDPB, avis 5/2023 relatif au projet de décision d’exécution de la Commission européenne constatant le niveau de protection adéquat des données à caractère personnel assuré par le cadre de protection des données UE-États-Unis , adopté le 28 févr. 2023, p. 18, pts. 47 à 49.
55 Ibid., p. 37, pt 144. Sur les risques de partage des données personnelles traitées par ChatGPT en application des programmes de surveillance étasuniens, voir : Gérard Haas, Chloé Lucas, Élisa Sobczyk, Joseph Henry, « Décoder les usages pour les services d’OpenAI », précité.
56 Executive Order 14215 of February 18, 2025: Ensuring Accountability for All Agencies, https://www.whitehouse.gov/presidential-actions/2025/02/ensuring-accountability-for-all-agencies/.
57 Il s’agit d’une agence fédérale en charge de garantir le juste équilibre entre la protection de la vie privée et la lutte contre le terrorisme. Le licenciement de trois membres la laisse en l’absence du quorum nécessaire pour vaquer à ses fonctions. V. sur le sujet : Suspension of US Privacy and Civil Liberties Oversight Board investigations and its impact on EU-US data transfers, 5 mars 2025, Priority question for written answer, P-000941/2025 to the Commission. Cela semble problématique car ce comité désigne les membres de la Data Protection Review Court, v. Maxime Lassalle, « Le Tribunal de l’Union européenne valide le Data Privacy Framework », Le Club des juristes, article en ligne, publié le 19 sept. 2025, consulté le 1er oct. 2025, disponible à l’adresse suivante : https://www.leclubdesjuristes.com/societe/numerique/le-tribunal-de-lunion-europeenne-valide-le-data-privacy-framework-12069/#.
58 Trib. UE, 3 sept. 2025, Latombe c. Commission, T-553/23.
59 Le texte qui reconnaît le droit à l’oubli en Californie est le suivant : California Consumer Privacy Act (CCPA) (2018), https://oag.ca.gov/privacy/ccpa.
60 C. Castets-Renard, « Rumeur et droit à l’oubli : une comparaison UE-États-Unis », LEGICOM, 60(1), 2018, p. 26.
61 Sur les différences entre le droit à l’oubli en Europe et aux États-Unis, v. égal. Bruno Ancel, « Le droit à l’oubli en Europe et aux États-Unis : vers un alignement normatif mondial ? », Act-Juridique.fr, article en ligne, publié le 27 août 2025, consulté le 1er janv. 2025, disponible à l’adresse suivante : https://www.actu-juridique.fr/civil/obligations-contrats/le-droit-a-loubli-en-europe-et-aux-etats-unis-vers-un-alignement-normatif-mondial/.
62 Règl. 2016/679, précité, art. 3 « Champ d’application territorial », § 2, pt. a.
63 Depuis la mise en place d’un établissement en Irlande par OpenAI, les données traitées dans le cadre des activités de cette filiale sont soumises au RGPD sur le fondement de l’art. 3 § 1. En revanche, pour les données traitées aux États-Unis par la société mère, le RGPD doit déployer son champ d’application extraterritoriale.
64 EDPS, Lignes directrices 5/2019 sur les critères du droit à l’oubli au titre du RGPD dans le cas des moteurs de recherche, texte adopté le 7 juill. 2020, disponible à l’adresse suivante : https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-52019-criteria-right-be-forgotten-search-engines_fr.
65 CJUE, 24 sept. 2019, Google (Portée territoriale du déréférencement), C- 507/17.
66 Ibid., pts. 59 à 65.
67 Ibid., pt. 72.
68 Ibid., pt. 60 : « Par ailleurs, le droit à la protection des données à caractère personnel n’est pas un droit absolu, mais doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité. »
69 Depuis 2016 la CNIL revendique une extension du déréférencement à toutes les versions nationales du moteur de recherche Google Search. À la suite d’une sanction prononcée à l’encontre de Google, qui ne s’était pas conformé à la mise en demeure de la Présidente de la CNIL, le Conseil d’État saisi par le moteur de recherche tire les conséquences de l’arrêt de la CJUE susmentionné et annule la sanction. V. à ce propos : CNIL, « Droit au déréférencement : le Conseil d’État tire les conséquences des arrêts de la Cour de Justice de l’Union européenne », article en ligne, publié le 27 mars 2020, consulté le 2 oct. 2025, disponible à l’adresse suivante : https://www.cnil.fr/fr/droit-au-dereferencement-le-conseil-detat-tire-les-consequences-des-arrets-de-la-cour-de-justice-de. La décision du Conseil d’État peut être consultée à l’adresse suivante : https://www.cnil.fr/sites/cnil/files/atoms/files/decision_du_conseil_detat_-_dereferencement_-_27_mars_2020.pdf.
70 CJUE 13 mai 2014, Google Spain et Google, C-131/12, pt. 88 : « Afin de respecter les droits prévus à ces dispositions et pour autant que les conditions prévues par celles-ci sont effectivement satisfaites, l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite. »
71 G 29, Lignes directrices relatives à l’exécution de l’arrêt de la Cour de Justice de l’Union européenne dans l’affaire Google Spain et In c. Agencia Española de Protección de datos (AEPD) et Mario Costeja González, C-131/12, adoptées le 26 nov. 2014, p. 3, pt 7 et p. 11, pt. 20, disponibles à l’adresse suivante : https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp225_fr.pdf.
72 Michael Veale, Reuben Binns, Lilian Edwards, « Algorithms that remember: model inversion attacks and data protection law », précité, p. 9.
73 EDPB, « CEF 2025 : Lancement d’une mise en œuvre coordonnée du droit à l’effacement », article en ligne, publié le 5 mars 2025, consulté le 1er oct. 2025, disponible à l’adresse suivante : https://www.edpb.europa.eu/news/news/2025/cef-2025-launch-coordinated-enforcement-right-erasure_fr.
74 https://www.cnil.fr/fr/les-fiches-pratiques-ia.
75 CNIL, IA : Respecter et faciliter l’exercice des droits des personnes concernées, 7 févr. 2025, disponible à l’adresse suivante : https://www.cnil.fr/fr/ia-respecter-lexercice-des-droits-des-personnes.
76 Ibid.
Haut de pagePour citer cet article
Référence électronique
Ludovica Robustelli, « Le droit à l’oubli à l’ère de ChatGPT : un droit « effacé » », Cahiers Droit, Sciences & Technologies [En ligne], 21 | 2026, mis en ligne le 01 mars 2026, consulté le 13 juin 2026. URL : http://journals.openedition.org/cdst/13450 ; DOI : https://doi.org/10.4000/15tpd
Haut de pageDroits d’auteur
Le texte seul est utilisable sous licence CC BY 4.0. Les autres éléments (illustrations, fichiers annexes importés) sont susceptibles d’être soumis à des autorisations d’usage spécifiques.
Haut de page





