L'autorité italienne a sanctionné une société de production audiovisuelle pour l'utilisation de l'hypertrucage (« deepfake ») à des fins satiriques, jugeant que le réalisme des vidéos et l'insuffisance des avertissements violaient les principes de loyauté et de transparence, ainsi que l'obligation de protection des données dès la conception.

Faits et contexte

L'autorité italienne de protection des données (GPDP) a aujourd'hui publié une décision de sanction à l'encontre de la société R.T.I. Spa (comprenant le prononcé d'un avertissement) pour des manquements en lien avec l'utilisation de l'hypertrucage à des fins satiriques.

Cette affaire trouve son origine dans la plainte d'un journaliste connu concernant la manipulation de son image et de sa voix dans plusieurs reportages télévisés, où des systèmes d'intelligence artificielle ont été utilisés pour lui attribuer des déclarations qu'il n'avait jamais prononcées.

Motifs de la décision

• Obligation de traitement loyal, licite et transparent (article 5 du RGPD) : L'autorité a estimé que, même à des fins satiriques, le traitement doit respecter la dignité des personnes et les principes du RGPD. En l'espèce, le réalisme des images, la faible perceptibilité de l'altération et la plausibilité des déclarations étaient susceptibles d'induire le public en erreur en lui faisant croire à l'authenticité des contenus. Les avertissements sur la nature artificielle des vidéos ont été jugés insuffisants, car ils n'étaient ni assez clairs, ni assez évidents et compréhensibles pour tous les téléspectateurs et utilisateurs des réseaux sociaux, manquant ainsi aux exigences de loyauté et de transparence.
• Obligation de protection des données dès la conception et par défaut (article 25 du RGPD) : L'autorité a conclu que la société n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir le respect des droits de la personne concernée dès la conception du traitement. En produisant et diffusant des contenus manipulés sans prévoir de garanties suffisantes pour éviter de tromper le public, la société a failli à son obligation d'intégrer les principes de protection des données en amont de ses activités.

Décision de l'autorité

En conséquence, l'autorité a prononcé un avertissement à l'encontre de R.T.I. Spa.

En outre, l'autorité a ordonné l'interdiction de toute utilisation ultérieure des données du journaliste selon les modalités contestées, tout en autorisant leur conservation pour d'éventuelles finalités judiciaires.

Enseignements

Cette décision rappelle que :

• La finalité satirique d'un traitement ne le soustrait pas au respect des principes fondamentaux du RGPD, notamment la loyauté, la transparence et le respect de la dignité de la personne.
• L'utilisation de technologies d'hypertrucage (« deepfake ») créant un contenu très réaliste impose une vigilance accrue, car le risque d'induire le public en erreur est un facteur clé dans l'appréciation du manquement au principe de loyauté.
• Un simple avertissement sur la nature artificielle d'un contenu peut être jugé insuffisant s'il n'est pas suffisamment clair, visible et compréhensible par l'ensemble du public visé, y compris sur les plateformes de réseaux sociaux.
• L'obligation de protection des données dès la conception s'applique aux processus de création de contenu, imposant d'intégrer des garanties pour les droits des personnes avant même la diffusion, comme des mécanismes d'avertissement réellement efficaces.