Twitter (X), IA et RGPD : Neuf plaintes déposées pour usage illégal des données

L’association autrichienne Noyb a déposé le 12 août neuf plaintes coordonnées contre X, anciennement Twitter, auprès des autorités de protection des données de neuf pays européens, dont la France, l’Italie et l’Espagne. L’ONG fondée par Max Schrems reproche à la plateforme d’avoir intégré, depuis mai 2024, les publications et interactions de plus de 60 millions d’utilisateurs européens dans l’entraînement de son modèle d’intelligence artificielle Grok, sans base légale identifiable ni information préalable conforme aux exigences de transparence du RGPD.

Le dossier survient quelques semaines après qu’X Corp a conclu un engagement auprès de la Commission irlandaise de protection des données (DPC) pour suspendre temporairement le traitement des données européennes destinées à Grok. Noyb estime cette suspension insuffisante et réclame une instruction complète sur le sort des données déjà absorbées par le modèle, ainsi que sur la capacité réelle de la plateforme à distinguer les données soumises au RGPD de celles qui ne le sont pas. La question de la réversibilité de l’apprentissage automatique, une fois les données intégrées, reste au cœur du contentieux.

En bref :

• Neuf plaintes déposées simultanément dans neuf États membres par l’association Noyb
• Plus de 60 millions de profils européens concernés selon l’estimation de l’ONG
• Utilisation présumée des données depuis mai 2024 pour entraîner le modèle Grok
• Absence de consentement explicite et de mécanisme d’opposition effectif dénoncée
• Accord préalable avec la DPC irlandaise jugé insuffisant par Noyb
• Risque spécifique lié au traitement de données sensibles (opinions politiques, origine ethnique, croyances religieuses)

Chronologie de la procédure Noyb contre X et fondement juridique invoqué

La plainte s’appuie principalement sur les articles 5, 6 et 13 du RGPD, relatifs respectivement aux principes de licéité et de transparence, à la base légale du traitement, et à l’information des personnes concernées. Selon Noyb, X n’a jamais formellement notifié aux utilisateurs européens que leurs publications, y compris celles antérieures à 2024, seraient réutilisées pour l’entraînement d’un modèle génératif. L’ONG considère que l’intérêt légitime, souvent invoqué par les plateformes pour justifier ce type de traitement, ne saurait couvrir une finalité aussi éloignée de l’usage initial du service.

Le calendrier retenu par l’association mérite d’être détaillé. X aurait modifié discrètement ses conditions d’utilisation courant 2024 pour y inclure une clause autorisant l’usage des contenus publiés à des fins d’entraînement de modèles d’IA. Cette modification, selon Noyb, n’aurait pas fait l’objet d’une communication suffisamment visible pour constituer une information éclairée au sens de l’article 13. L’analyse détaillée de cette chronologie est disponible dans l’enquête publiée par Next sur ces neuf plaintes, qui reconstitue précisément les étapes de la procédure.

L’accord conclu avec la DPC irlandaise en juillet, autorité chef de file pour X en vertu du mécanisme de guichet unique, prévoit une suspension du traitement mais ne règle pas la question du sort des données déjà utilisées. Noyb demande explicitement aux autorités saisies de vérifier si un effacement effectif des données intégrées au modèle est techniquement possible, une question qui dépasse le strict cadre juridique pour toucher à l’architecture même des systèmes d’apprentissage automatique.

Le rôle du guichet unique et ses limites pratiques

Le mécanisme de guichet unique prévu par le RGPD centralise l’instruction auprès de l’autorité de l’État où se situe l’établissement principal du responsable de traitement, ici la DPC irlandaise. Ce dispositif, censé garantir cohérence et efficacité, se heurte régulièrement à des délais d’instruction longs, ce qui explique la stratégie de Noyb consistant à saisir simultanément neuf autorités nationales pour maintenir la pression procédurale.

Les manquements identifiés au regard des principes fondamentaux du RGPD

Le cœur de l’argumentation de Noyb repose sur trois manquements distincts, chacun rattaché à une disposition précise du règlement. Premièrement, l’absence de base légale valide pour un traitement dont la finalité, l’entraînement d’un modèle génératif commercial, diffère substantiellement de celle pour laquelle les données avaient été initialement collectées, à savoir le partage de contenus sur un réseau social.

Deuxièmement, l’ONG pointe un défaut d’information constitutif d’une violation de l’article 13 §1 point c), qui impose au responsable de traitement de communiquer la finalité exacte du traitement au moment de la collecte, et non a posteriori par une simple mise à jour des conditions générales. Troisièmement, Noyb met en cause l’effectivité du droit d’opposition prévu à l’article 21, estimant que le mécanisme proposé par X pour désactiver l’usage des données à des fins d’entraînement était difficile d’accès et n’a pas été activé par défaut pour les comptes existants.

Ce dernier point rejoint une problématique déjà soulevée par la CNIL et d’autres autorités européennes concernant Meta en juin dernier, dans un contentieux similaire portant sur l’entraînement de modèles d’IA à partir de contenus publiés sur les réseaux sociaux. Le parallèle entre les deux dossiers est détaillé sur cette analyse comparative des procédures menées par Noyb contre les principales plateformes américaines.

La question spécifique des données sensibles au sens de l’article 9

Noyb insiste particulièrement sur le traitement de données relevant de l’article 9 du RGPD, catégorie renforcée incluant les opinions politiques, les convictions religieuses et l’origine ethnique. Un utilisateur exprimant une opinion politique dans un tweet public n’a pas nécessairement consenti à ce que cette donnée serve de matériau d’entraînement pour un système capable de générer des contenus similaires à grande échelle.

Cette catégorie de données bénéficie d’une protection renforcée nécessitant, sauf exception limitative énumérée à l’article 9 §2, un consentement explicite distinct du consentement général au traitement. L’argument central de Noyb consiste à démontrer que le simple caractère public d’une publication ne suffit pas à écarter cette exigence, une position qui rejoint la jurisprudence constante de la Cour de justice de l’Union européenne sur l’interprétation stricte des exceptions au régime de protection renforcée.

Tableau comparatif des obligations RGPD applicables à l’entraînement de modèles d’IA

Le tableau suivant synthétise les obligations principales invoquées par Noyb dans sa plainte, en les confrontant à la pratique reprochée à X Corp pour l’entraînement de Grok.

Disposition du RGPD	Obligation théorique	Pratique reprochée à X
Article 5 §1 b)	Limitation des finalités du traitement	Réutilisation des données pour une finalité distincte de la collecte initiale
Article 6	Existence d’une base légale valide	Invocation d’un intérêt légitime jugé insuffisant par Noyb
Article 9	Consentement explicite pour les données sensibles	Absence de mécanisme de consentement distinct identifié
Article 13	Information claire et préalable des personnes concernées	Modification des conditions générales jugée peu visible
Article 21	Droit d’opposition effectif	Mécanisme d’opposition qualifié de difficilement accessible

Cette confrontation illustre un décalage récurrent dans les contentieux liés à l’IA générative : les plateformes s’appuient souvent sur des bases légales conçues pour des traitements classiques, alors que l’entraînement de modèles génératifs pose des questions inédites en matière de réversibilité et de contrôle effectif par la personne concernée sur ses propres données personnelles.

Les enjeux techniques de la séparation des données européennes et non européennes

Un des points les plus techniques de la plainte concerne la capacité réelle de X à isoler les données des utilisateurs européens de celles provenant d’autres juridictions. Le RGPD s’applique territorialement aux données de résidents européens, quelle que soit la localisation du serveur ou du siège de l’entreprise responsable du traitement, en vertu de l’article 3.

Or, dans une architecture de modèle d’IA entraîné sur un corpus mondial de publications, la distinction entre données européennes et données extra-européennes n’est pas triviale une fois le modèle entraîné. Noyb interroge donc la faisabilité technique d’une conformité a posteriori, estimant que l’engagement pris auprès de la DPC irlandaise de suspendre le traitement ne répond pas à la question de savoir si les paramètres du modèle Grok ont déjà été influencés de manière irréversible par des données qui n’auraient jamais dû y figurer sans consentement.

Cette problématique dépasse le cas isolé de X et interroge plus largement l’ensemble des acteurs développant des modèles de langage à partir de contenus utilisateurs. Elle rejoint des travaux menés sur la conformité des traitements d’IA au regard du RGPD, détaillés notamment dans ce guide pratique sur l’intelligence artificielle et la conformité RGPD, ainsi que dans une analyse plus large sur les obligations applicables aux nouvelles technologies en entreprise.

Le précédent Meta et la stratégie contentieuse de Noyb

Le dossier X n’est pas isolé. En juin, l’association avait déjà déposé onze plaintes contre Meta pour des pratiques similaires d’entraînement d’IA générative à partir de publications Facebook et Instagram. La récurrence de ce type de contentieux traduit une stratégie délibérée de Noyb consistant à multiplier les saisines nationales simultanées afin de forcer une coordination entre autorités et d’accélérer les instructions, souvent ralenties lorsqu’elles reposent sur une seule autorité chef de file.

Les suites procédurales possibles et le rôle des autorités nationales

Les neuf autorités saisies disposent chacune de la possibilité d’ouvrir une instruction nationale préliminaire avant transmission à la DPC irlandaise dans le cadre du mécanisme de coopération prévu aux articles 60 et suivants du RGPD. La CNIL, autorité française parmi les neuf saisies, pourra notamment demander des informations complémentaires à X Corp sur les modalités techniques de séparation des jeux de données.

En cas de manquement confirmé, les sanctions prévues à l’article 83 du RGPD peuvent atteindre 4 % du chiffre d’affaires annuel mondial du groupe concerné, un montant qui, appliqué à X Corp, représenterait un enjeu financier significatif compte tenu de la restructuration économique de l’entreprise depuis son rachat. Noyb ne demande pas exclusivement une sanction pécuniaire mais insiste sur une mesure corrective concrète : la vérification, éventuellement par un audit technique indépendant, de la suppression effective des données non consenties déjà intégrées au modèle Grok.

Cette exigence d’audit technique constitue une évolution notable dans la pratique contentieuse liée à l’IA, où la simple cessation du traitement ne suffit plus à garantir une conformité réelle. Le dossier X illustre ainsi une tension croissante entre la rapidité de déploiement des modèles génératifs et les délais nécessaires à une évaluation rigoureuse de leur conformité au règlement européen sur la protection des données.

{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »Quelles donnu00e9es ont u00e9tu00e9 utilisu00e9es par X pour entrau00eener Grok ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Selon Noyb, X aurait intu00e9gru00e9 les publications, ru00e9ponses et interactions publiques de plus de 60 millions d’utilisateurs europu00e9ens depuis mai 2024, sans distinction systu00e9matique entre donnu00e9es ordinaires et donnu00e9es sensibles au sens de l’article 9 du RGPD. »}},{« @type »: »Question », »name »: »X a-t-il du00e9ju00e0 ru00e9agi u00e0 ces plaintes ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »X Corp a conclu un engagement avec la DPC irlandaise pour suspendre temporairement le traitement des donnu00e9es europu00e9ennes destinu00e9es u00e0 l’entrau00eenement de Grok, mais n’a pas confirmu00e9 la suppression des donnu00e9es du00e9ju00e0 intu00e9gru00e9es au modu00e8le. »}},{« @type »: »Question », »name »: »Quelle est la diffu00e9rence entre les plaintes Noyb contre Meta et contre X ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Les deux dossiers reposent sur des griefs similaires liu00e9s u00e0 l’entrau00eenement de modu00e8les d’IA gu00e9nu00e9rative u00e0 partir de contenus publiu00e9s par les utilisateurs, mais les plaintes contre X visent spu00e9cifiquement neuf pays simultanu00e9ment et intu00e8grent une demande d’audit technique. »}},{« @type »: »Question », »name »: »Quelles sanctions X Corp pourrait-il encourir ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »En cas de manquement confirmu00e9 au RGPD, l’article 83 pru00e9voit des amendes pouvant atteindre 4 % du chiffre d’affaires annuel mondial du groupe, en plus d’u00e9ventuelles mesures correctives imposu00e9es par les autoritu00e9s nationales. »}},{« @type »: »Question », »name »: »Les utilisateurs europu00e9ens peuvent-ils s’opposer u00e0 cet usage de leurs donnu00e9es ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Le RGPD pru00e9voit un droit d’opposition u00e0 l’article 21, mais Noyb estime que le mu00e9canisme proposu00e9 par X n’u00e9tait pas suffisamment accessible ni activu00e9 par du00e9faut pour garantir un exercice effectif de ce droit. »}}]}

Quelles données ont été utilisées par X pour entraîner Grok ?

Selon Noyb, X aurait intégré les publications, réponses et interactions publiques de plus de 60 millions d’utilisateurs européens depuis mai 2024, sans distinction systématique entre données ordinaires et données sensibles au sens de l’article 9 du RGPD.

X a-t-il déjà réagi à ces plaintes ?

X Corp a conclu un engagement avec la DPC irlandaise pour suspendre temporairement le traitement des données européennes destinées à l’entraînement de Grok, mais n’a pas confirmé la suppression des données déjà intégrées au modèle.

Quelle est la différence entre les plaintes Noyb contre Meta et contre X ?

Les deux dossiers reposent sur des griefs similaires liés à l’entraînement de modèles d’IA générative à partir de contenus publiés par les utilisateurs, mais les plaintes contre X visent spécifiquement neuf pays simultanément et intègrent une demande d’audit technique.

Quelles sanctions X Corp pourrait-il encourir ?

En cas de manquement confirmé au RGPD, l’article 83 prévoit des amendes pouvant atteindre 4 % du chiffre d’affaires annuel mondial du groupe, en plus d’éventuelles mesures correctives imposées par les autorités nationales.

Les utilisateurs européens peuvent-ils s’opposer à cet usage de leurs données ?

Le RGPD prévoit un droit d’opposition à l’article 21, mais Noyb estime que le mécanisme proposé par X n’était pas suffisamment accessible ni activé par défaut pour garantir un exercice effectif de ce droit.