Le chatbot My AI de Snapchat sous surveillance au Royaume-Uni pour la vie privée des enfants

Pour les adolescents, Snapchat est d’abord un espace de conversations éphémères, de photos et de messages entre amis. Avec My AI, l’application y a ajouté un interlocuteur automatisé capable de proposer des idées de sorties, des recettes ou des menus personnalisés. Mais cette nouvelle forme de conversation soulève une question centrale : qu’advient-il des données personnelles confiées à une intelligence artificielle, en particulier lorsque ses utilisateurs sont mineurs ?

Au Royaume-Uni, l’Information Commissioner’s Office, ou ICO, a mis Snap, la maison mère de Snapchat, face à cette interrogation. L’autorité britannique de protection des données a adressé à l’entreprise un avis d’exécution préliminaire concernant My AI. Son reproche ne porte pas, à ce stade, sur une fuite de données établie, mais sur l’insuffisance présumée de l’évaluation des risques pour la vie privée des enfants et des autres utilisateurs avant le déploiement du chatbot.

Snap a indiqué vouloir coopérer avec le régulateur afin de mettre sa technologie en conformité avec les exigences applicables. L’enjeu dépasse le cas d’une seule fonctionnalité : l’intervention de l’ICO constitue un signal fort pour toutes les plateformes qui introduisent des assistants conversationnels auprès d’un public jeune.

Ce que reproche le régulateur britannique à Snap

L’ICO est chargé de veiller au respect des règles britanniques relatives à la protection des données personnelles. Dans son avis préliminaire, il considère que Snap n’aurait pas suffisamment identifié et évalué les risques de confidentialité susceptibles de découler de My AI, notamment pour les enfants.

L’idée est simple : avant de mettre en service une technologie susceptible de traiter des informations sensibles ou de concerner de nombreux mineurs, une entreprise doit examiner ses effets possibles sur la vie privée. Elle doit ensuite prévoir des mesures adaptées pour réduire ces risques. Il ne s’agit pas seulement de sécuriser une base de données contre le piratage. Il faut aussi se demander quelles informations l’outil peut recueillir dans une conversation, comment elles sont utilisées, combien de temps elles sont conservées et si le fonctionnement du service est suffisamment compréhensible pour ses utilisateurs.

Dans le cas d’un chatbot, cette vigilance prend une importance particulière. Les échanges sont libres et spontanés. Un utilisateur peut, sans intention particulière, y donner son prénom, son âge, son école, son quartier, ses habitudes ou des éléments plus intimes de sa vie quotidienne. Les enfants et adolescents peuvent également avoir plus de difficultés à distinguer un assistant automatisé d’un interlocuteur humain, ou à mesurer les conséquences de ce qu’ils partagent.

L’ICO souligne donc une question de méthode autant qu’une question technique : Snap a-t-elle procédé, avant le lancement de My AI, à une analyse suffisamment approfondie des risques pour les jeunes utilisateurs ? C’est cette évaluation préalable que le régulateur estime insuffisante dans ses conclusions provisoires.

My AI, un chatbot intégré à une application très utilisée par les jeunes

Lancé plus tôt en 2023, My AI a marqué l’arrivée d’un assistant conversationnel génératif directement au sein de Snapchat. La fonction permet notamment de demander des suggestions pour organiser une sortie entre amis ou de créer des menus. Son intégration à une messagerie utilisée au quotidien rend l’outil particulièrement accessible : il suffit d’ouvrir une discussion pour solliciter l’IA.

Selon Snap, My AI traite plus de deux millions de conversations par jour dans le monde. Ce volume illustre l’intérêt des utilisateurs pour ce type de service, mais il explique aussi l’attention des régulateurs. Plus une fonctionnalité conversationnelle est utilisée, plus elle est susceptible de recevoir une grande diversité d’informations personnelles, parfois communiquées sans réelle réflexion.

Les assistants génératifs fonctionnent en produisant du texte à partir de la demande formulée par l’utilisateur. Ils sont conçus pour répondre dans un langage naturel, ce qui peut créer une impression de proximité. Cette qualité rend l’outil pratique pour trouver des idées ou obtenir une réponse rapide. Elle peut aussi encourager des échanges très personnels, surtout lorsque le chatbot est proposé dans une application associée aux relations amicales et familiales.

La question soulevée par l’ICO n’est donc pas de savoir si toute IA conversationnelle est, par nature, incompatible avec les mineurs. Elle consiste à déterminer si les garanties prévues par l’entreprise correspondent réellement à l’usage d’un tel outil dans un environnement fréquenté par de jeunes publics.

Pourquoi les enfants nécessitent-ils une protection particulière ?

Le droit de la protection des données accorde une attention accrue aux enfants, car ils ne disposent pas toujours des mêmes repères que les adultes pour comprendre la collecte et l’usage de leurs informations. Une politique de confidentialité longue ou des réglages difficiles à trouver ne suffisent pas nécessairement à garantir un choix éclairé.

Pour une plateforme comme Snapchat, la difficulté tient également au contexte d’utilisation. L’application est conçue autour d’échanges rapides, d’images, de messages et de recommandations entre proches. L’arrivée d’un chatbot dans cette interface peut brouiller les réflexes : l’utilisateur sait-il clairement qu’il échange avec un programme ? Comprend-il qu’il doit éviter de lui transmettre certaines données ? Peut-il facilement limiter ce qu’il partage ou comprendre les paramètres qui s’appliquent ?

Ces interrogations ne visent pas uniquement My AI. Elles concernent toute entreprise qui place une intelligence artificielle générative dans un service susceptible d’être utilisé par des enfants. L’innovation ne dispense pas d’une règle fondamentale : les protections doivent être pensées avant la mise à disposition du produit, et non seulement après l’apparition d’une controverse.

Quelles sanctions Snap pourrait-elle encourir ?

Si l’ICO devait confirmer ses conclusions après la phase préliminaire, il pourrait imposer à Snap des mesures contraignantes. L’une des conséquences envisagées serait d’empêcher l’entreprise de fournir certaines fonctionnalités liées à My AI aux utilisateurs britanniques tant qu’une évaluation adéquate des risques n’aurait pas été menée.

L’autorité dispose aussi d’un pouvoir de sanction financière important. En cas de manquements graves aux règles de protection des données, Snap pourrait théoriquement se voir infliger une amende allant jusqu’à 17,5 millions de livres sterling, soit environ 21 millions d’euros, ou jusqu’à 4 % de son chiffre d’affaires annuel mondial, selon le montant le plus élevé.

Ces plafonds ne préjugent pas d’une sanction effective. Ils indiquent l’ampleur des pouvoirs accordés au régulateur britannique. Pour fixer une éventuelle amende, celui-ci devrait notamment apprécier la nature du manquement, sa gravité, les mesures correctrices apportées par l’entreprise et sa coopération avec l’enquête.

La réponse annoncée par Snap est donc déterminante. Coopérer signifie, dans ce contexte, être en mesure d’expliquer les protections déjà en place, de fournir les documents demandés et, si nécessaire, d’adapter le service. Pour l’entreprise, l’objectif est à la fois d’éviter une sanction et de préserver la confiance de ses utilisateurs.

Ce que cette affaire change pour les réseaux sociaux

L’intervention de l’ICO arrive au moment où les fonctions d’IA générative se multiplient dans les produits grand public. Les plateformes y voient un moyen d’offrir des recommandations, des outils créatifs ou une assistance plus personnalisée. Mais l’ajout d’un chatbot n’est pas une simple évolution d’interface : il modifie la manière dont les utilisateurs interagissent avec le service et, potentiellement, les types de données qu’ils y communiquent.

Pour les réseaux sociaux, plusieurs exigences deviennent difficiles à contourner : évaluer les conséquences du produit avant son lancement, expliquer clairement ce que fait l’IA, limiter les données collectées à ce qui est nécessaire et concevoir des réglages accessibles. Lorsque les mineurs font partie du public, ces obligations prennent un relief supplémentaire.

L’affaire Snap rappelle aussi que les régulateurs ne se contentent plus d’examiner les conditions générales après coup. Ils s’intéressent de plus en plus à la conception même des systèmes, aux choix faits par les entreprises avant le déploiement et à leur capacité à démontrer que la protection des données a été intégrée dès l’origine.

Ce type de contrôle peut avoir un effet sur l’ensemble du secteur. Un réseau social qui envisage de lancer un assistant comparable au Royaume-Uni devra anticiper la manière dont son système traite les informations personnelles, notamment celles des adolescents. L’innovation rapide ne protège pas contre les règles existantes, surtout lorsqu’un produit touche un public très large.

Ce qu’il faut surveiller

La prochaine étape est la réponse de Snap à l’avis de l’ICO. L’entreprise pourra contester certains éléments, expliquer ses pratiques ou modifier My AI afin de répondre aux préoccupations soulevées. Le régulateur décidera ensuite s’il convient de confirmer, modifier ou abandonner ses conclusions provisoires.

Pour les utilisateurs et les parents, l’affaire invite à conserver quelques réflexes simples avec les chatbots : éviter de partager des informations permettant d’identifier précisément une personne, rappeler aux plus jeunes qu’ils parlent à un outil automatisé et vérifier les paramètres de confidentialité disponibles dans l’application. Ces précautions ne remplacent pas les obligations des plateformes, mais elles réduisent l’exposition à des échanges trop personnels.

À plus long terme, le dossier britannique servira de test pour les assistants conversationnels intégrés aux réseaux sociaux. Les entreprises devront démontrer qu’elles peuvent proposer des outils utiles sans demander aux utilisateurs, et surtout aux enfants, de payer cette commodité par une perte de contrôle sur leurs données personnelles.