Grok : l’enquête RGPD sur l’entraînement du chatbot à partir des données de X

Grok se retrouve au croisement de deux débats majeurs de l’intelligence artificielle : l’appétit des modèles génératifs pour les données et le droit des personnes à garder la maîtrise de leurs informations. Le 11 avril 2025, la Data Protection Commission, l’autorité irlandaise de protection des données, a annoncé l’ouverture d’une enquête à l’encontre de xAI Corp, l’entreprise qui développe le chatbot d’Elon Musk. Son objet est précis : l’utilisation de publications accessibles au public sur X pour entraîner Grok.

Il est important de lever une ambiguïté dès le départ. Grok n’est pas une entreprise, mais un assistant conversationnel d’intelligence artificielle. L’enquête vise son concepteur, xAI, et non le chatbot en tant que tel. Elle ne conclut pas non plus, à ce stade, à une infraction. Elle ouvre une procédure destinée à vérifier si les règles européennes de protection des données ont été respectées.

Ce que l’enquête irlandaise cherche à établir

La procédure annoncée par le régulateur irlandais porte sur le traitement de données personnelles figurant dans des publications X publiquement accessibles, lorsque ces publications proviennent d’utilisateurs situés dans l’Union européenne ou dans l’Espace économique européen, l’EEE. Ces données auraient servi à l’entraînement de Grok.

Pour faire progresser un modèle de langage, son éditeur lui soumet d’immenses volumes de textes. Le système y repère des régularités linguistiques, apprend à prédire les mots les plus plausibles et affine sa capacité à répondre à des requêtes. Des messages publiés sur un réseau social peuvent donc représenter une ressource précieuse : ils couvrent des sujets variés, sont rédigés dans plusieurs langues et reflètent des échanges contemporains.

Mais cette abondance ne dispense pas l’entreprise qui exploite ces contenus de ses obligations. L’enquête doit notamment examiner deux principes centraux du RGPD :

• la licéité du traitement, c’est-à-dire l’existence d’un fondement juridique valable pour utiliser les données concernées ;
• la transparence, soit la capacité de l’entreprise à expliquer de façon claire aux personnes concernées ce qui est collecté, pourquoi et selon quelles modalités.

Le terme « données personnelles » ne désigne pas seulement une adresse postale ou un numéro de téléphone. Un nom de compte, une photographie, un message racontant une expérience personnelle, des informations de localisation ou des éléments permettant d’identifier indirectement une personne peuvent entrer dans ce champ.

Une publication publique reste protégée par le RGPD

Le cœur du dossier tient à une idée parfois contre-intuitive : publier un message visible de tous ne signifie pas abandonner ses droits sur les données personnelles qu’il contient. Le caractère public d’un contenu peut influencer l’évaluation du traitement, mais il ne fait pas disparaître le RGPD.

Une entreprise qui réutilise des publications publiques doit toujours identifier une base légale. Le consentement est une possibilité, mais ce n’est pas la seule prévue par le règlement. Une organisation peut, dans certaines circonstances, invoquer par exemple son intérêt légitime. Elle doit alors démontrer que cet intérêt ne l’emporte pas sur les libertés et les droits fondamentaux des personnes concernées.

Cette évaluation est particulièrement délicate pour l’entraînement de l’IA. Les données peuvent être très nombreuses, provenir de personnes qui n’interagissent pas directement avec l’éditeur du modèle et contenir des éléments sensibles sans avoir été conçues pour devenir une matière première destinée à l’intelligence artificielle.

Le RGPD accorde aussi une protection renforcée aux catégories particulières de données, comme celles révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses, l’appartenance syndicale, l’état de santé ou la vie sexuelle. Lorsqu’un corpus peut contenir de tels éléments, les conditions de traitement deviennent plus strictes.

Consentement, intérêt légitime : pourquoi la réponse n’est pas automatique

Dire que des données auraient été utilisées sans consentement ne suffit donc pas, à lui seul, à qualifier une violation du RGPD. Le droit européen n’impose pas systématiquement une case à cocher pour chaque traitement. En revanche, il impose à l’entreprise de pouvoir justifier son choix, d’informer les personnes de manière compréhensible et de respecter les garanties applicables.

Dans le cas de l’entraînement d’un modèle, plusieurs questions concrètes se posent : les utilisateurs ont-ils été suffisamment informés que leurs publications pouvaient être exploitées à cette fin ? Pouvaient-ils s’y opposer simplement ? Les informations fournies expliquaient-elles clairement le rôle de xAI et celui de X ? Les personnes concernées disposaient-elles d’un moyen réaliste d’exercer leurs droits ?

Ce sont ces aspects que l’enquête pourra éclairer. Une appréciation juridique ne se limite pas à la technologie elle-même. Elle tient compte du contexte de collecte, des informations fournies aux personnes, de la nature des contenus et des mesures prises pour réduire les risques.

Des règles européennes qui s’appliquent aussi aux modèles d’IA

Entré en application en mai 2018, le RGPD encadre tout traitement de données personnelles concernant des personnes dans l’Union européenne, y compris lorsqu’une entreprise est établie hors de l’Union. Les acteurs de l’IA générative ne disposent pas d’une exemption générale : l’innovation doit se déployer dans les limites de ce cadre.

L’affaire Grok illustre un problème devenu central pour le secteur. Les grands modèles nécessitent de vastes corpus afin de couvrir des langues, des domaines de connaissance et des formes d’expression très variées. Or ces corpus peuvent comporter des informations personnelles, des œuvres protégées ou des contenus sortis de leur contexte initial.

Le RGPD et l’AI Act, le règlement européen sur l’intelligence artificielle, répondent à des questions différentes. Le premier protège les données des individus et impose des obligations aux responsables de traitement. Le second établit un cadre spécifique pour les systèmes d’IA selon leurs niveaux de risque. Dans un dossier tel que celui de Grok, ces deux textes peuvent se compléter, mais l’enquête annoncée en avril 2025 porte bien sur le respect du RGPD.

Quelles sanctions risquerait xAI en cas de manquement établi ?

Le RGPD prévoit une échelle de sanctions. Pour les violations les plus graves, une amende administrative peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Ce plafond, souvent cité, ne correspond toutefois pas à une sanction automatique.

Une autorité de contrôle tient compte de nombreux éléments : la nature, la gravité et la durée des faits, le nombre de personnes touchées, le niveau de coopération de l’entreprise, les mesures prises pour atténuer les conséquences et d’éventuels manquements antérieurs. Elle peut aussi imposer des mesures correctrices, par exemple limiter un traitement ou exiger une modification des pratiques.

L’enjeu dépasse donc le montant d’une éventuelle amende. Pour un outil conversationnel, la confiance dépend largement de la façon dont son éditeur explique l’origine des données, les protections mises en place et les possibilités offertes aux utilisateurs.

Quels droits pour les utilisateurs européens ?

Le RGPD offre plusieurs droits aux personnes dont les données sont traitées. Elles peuvent notamment demander des informations sur l’usage de leurs données, solliciter l’accès à ces données, leur rectification ou leur effacement lorsque les conditions légales sont réunies. Elles peuvent également s’opposer à certains traitements, en particulier lorsqu’ils reposent sur l’intérêt légitime de l’organisation.

Dans le domaine de l’IA générative, exercer ces droits peut être plus complexe que dans un service classique. Une donnée peut avoir été incluse dans un corpus très vaste et contribuer indirectement aux paramètres du modèle lors de l’entraînement. Cette difficulté technique ne supprime pas les droits prévus par le règlement, mais elle renforce l’importance de mécanismes clairs, accessibles et réellement opérationnels.

Une personne qui estime que ses droits ne sont pas respectés peut d’abord s’adresser à l’organisation concernée. Elle peut aussi déposer une réclamation auprès de l’autorité de protection des données de son pays de résidence, de son lieu de travail ou du lieu où la violation présumée s’est produite. En France, il s’agit de la CNIL.

Ce qu’il faut surveiller après l’ouverture de la procédure

La suite dépendra des éléments recueillis par la Data Protection Commission et des réponses apportées par xAI. L’autorité pourra déterminer si les informations communiquées aux utilisateurs étaient suffisantes, si la base juridique invoquée était adaptée et si les garanties prévues par le RGPD ont été respectées.

Au-delà de Grok, cette enquête sera observée par l’ensemble des entreprises qui entraînent ou améliorent des modèles à partir de contenus accessibles en ligne. Elle rappelle qu’un contenu disponible publiquement n’est pas une ressource sans règles, surtout lorsqu’il contient des informations se rapportant à des personnes identifiables.

Le dossier pourrait aussi contribuer à préciser les attentes des régulateurs européens envers les éditeurs d’IA : information explicite des utilisateurs, documentation des choix juridiques, possibilités d’opposition et dialogue avec les autorités. Pour le public, l’affaire offre surtout un repère utile : avant de juger un modèle sur ses seules réponses, il faut aussi s’interroger sur les conditions dans lesquelles il a appris à les produire.