"Est-ce que tout le monde peut voir son profil Ghibli divulgué ?"... Chat GPT et violation de la vie privée

Taehwan Kim, avocat en propriété intellectuelle de Cabinet d'avocats Daeryun, questions et réponses

De nos jours, il est courant de créer des profils de style Ghibli avec ChatGPT. Les illustrations mignonnes et chaleureuses vous font sourire dès que vous les voyez, mais il peut aussi être effrayant de penser que l'intelligence artificielle (IA) peut apprendre les photos originales et les utiliser à d'autres fins. Depuis son lancement en novembre 2022, l’IA générative ChatGPT n’a cessé de soulever des problématiques liées à la gestion des informations personnelles. En effet, l’IA apprend et stocke des informations personnelles lors de l’utilisation du service, elle ne peut donc pas être exempte de problèmes de violation de la vie privée.

Des problèmes de protection des informations personnelles surviennent pendant le processus d'apprentissage de l'IA. L'IA apprend des modèles, des structures et des arrangements tout en traitant des données non structurées telles que du texte et des images. À l'heure actuelle, l'IA peut ne pas savoir que les numéros d'enregistrement des résidents, les adresses, les informations de santé, etc. sont des informations personnelles sensibles. Par conséquent, des informations peuvent être exposées lors du processus de mémorisation et de réimpression des informations apprises. En raison de ces facteurs, il existe une possibilité que des informations personnelles soient divulguées ou que les droits de la personne concernée soient violés.

Nous avons écouté un avocat spécialisé dans les droits de propriété intellectuelle sur les questions juridiques et les contre-mesures liées à cela. Il s'agit d'un échange de questions-réponses avec Taehwan Kim, avocat spécialisé dans les droits de propriété intellectuelle chez Cabinet d'avocats Daeryun.

▶ Si un modèle d'IA apprenait et utilisait des informations individuelles, cela pourrait-il constituer une violation de la Loi sur la protection des informations personnelles ?

Si un modèle d'IA apprend et utilise les informations personnelles d'un individu, cela peut devenir un problème en tant que violation de la loi sur la protection des informations personnelles. Selon la loi sur la protection des informations personnelles, une base juridique légitime est essentielle pour collecter, utiliser et fournir des informations personnelles. L'article 15 de la loi sur la protection des informations personnelles stipule que le consentement de la personne concernée ou les exigences légales doivent être respectés lors de la collecte et de l'utilisation des informations personnelles.

Les articles 15 et 17 de la même loi restreignent l'utilisation ou la fourniture de renseignements personnels à des fins autres que celles prévues. La partie problématique dans ce cas peut être considérée comme le « consentement de la personne concernée ». Afin de traiter des informations personnelles, le consentement de la personne concernée doit d’abord être obtenu. Cependant, si les informations personnelles incluses dans les données apprises par le modèle d'IA sont déjà des informations publiques, il peut y avoir des cas où elles peuvent être traitées sans consentement, un examen est donc nécessaire.

Une autre question dépend de la manière de reconnaître les intérêts légitimes du responsable du traitement des informations personnelles. La finalité du traitement des informations personnelles doit être basée sur des besoins commerciaux raisonnables et légitimes, et la finalité doit être évaluée comme ayant la priorité sur les droits ou les intérêts de la personne concernée.

En d'autres termes, quel que soit l'intérêt du sous-traitant des informations personnelles, si les informations personnelles sont utilisées d'une manière qui entraîne une atteinte excessive à la personne concernée ou d'une manière à laquelle la personne concernée ne s'attend pas, « l'intérêt légitime » n'est pas reconnu. Dans cette situation, si les informations personnelles sont utilisées pour l’apprentissage de l’IA ou pour une utilisation secondaire, la probabilité de violation de la loi sur la protection des informations personnelles augmente.

La police de notification de fourniture d’informations personnelles est illégale même si elle est trop petite

▶ Avec le développement de la science et de la technologie, les problèmes liés au traitement des informations personnelles augmentent. Si vous avez subi une fuite d’informations personnelles, quelles sont vos contre-mesures ?

Les mesures juridiques qui peuvent être prises pour répondre aux dommages causés par les fuites d'informations personnelles comprennent des amendes ou des surtaxes imposées par les agences administratives, des poursuites civiles en dommages et intérêts et des poursuites pénales. En fait, aucun procès représentatif lié à l’IA n’a encore été mené en Corée, ce qui rend la question difficile. Quant aux questions liées aux informations personnelles, l'affaire Homeplus (décision de la Cour suprême 2016Do13263, condamnée le 7 avril 2017), une affaire pénale représentative, peut être citée en exemple. Il s'agit d'un incident au cours duquel les notifications en vertu de l'article 15 de la loi sur la protection des informations personnelles n'ont pas été correctement mises en œuvre dans le processus de collecte et de fourniture d'informations personnelles pour le concours, et les dispositions de l'article 17 de la loi sur la protection des informations personnelles n'ont pas non plus été correctement suivies.

En particulier, l'avis sur la fourniture d'informations personnelles était rédigé en minuscules, ce qui rendait difficile la lecture et l'accord complet des consommateurs. Cela viole l’exigence légale selon laquelle un avis et un consentement clairs doivent être fournis lors du processus d’obtention du consentement de la personne concernée. En fin de compte, Homeplus et le responsable ont été tenus pénalement responsables conformément à l'article 72, paragraphe 2, et à l'article 59, paragraphe 1, de la loi sur la protection des données personnelles. Cette affaire constitue une violation de la loi sur la protection des informations personnelles en raison d'un « manque de consentement » et d'un « avis peu clair », et peut être considérée comme un précédent important qui établit des normes juridiques pour des cas similaires à l'avenir.

▶ Dans le cas des fournisseurs de services d'IA qui sont des sous-traitants de renseignements personnels, quelles stratégies devraient-ils développer pour se conformer aux lois connexes telles que la Loi sur la protection des renseignements personnels ?

Le processus d’apprentissage et d’utilisation d’informations personnelles par un modèle d’IA peut potentiellement enfreindre les lois sur la protection des informations personnelles. Par conséquent, les développeurs d’IA et les fournisseurs de services doivent clarifier les fondements juridiques légitimes, assurer soigneusement la sécurité et garantir les droits des personnes concernées. Même lors du traitement des informations personnelles divulguées conformément à la loi sur la protection des informations personnelles, la base légale et les normes de sécurité doivent être respectées, et il est important d'obtenir clairement le consentement de la personne concernée.

Une procédure de consentement spécifique doit être établie et soigneusement gérée pour garantir que les informations personnelles ne sont pas utilisées ou fournies à des fins autres que celles pour lesquelles elles ont été traitées. Les mesures de sécurité doivent également être renforcées pour prévenir les fuites d’informations personnelles. Assurer la sécurité doit inclure des mesures techniques, de gestion et physiques liées à l'établissement d'un plan de gestion interne et au stockage des enregistrements d'accès, comme spécifié à l'article 29 de la loi sur la protection des informations personnelles.

[Voir l'article complet]
"Est-il acceptable que tout le monde divulgue le profil Ghibli original ?"... Chat GPT et violation des informations personnelles (lien)