L'autorité italienne de protection des données (GPDP) a sanctionné la société Character Technologies, Inc. pour de multiples manquements liés à son service d'intelligence artificielle générative, notamment en matière de transparence, de protection des mineurs et de licéité de l'entraînement de ses modèles, prononçant une amende de 158 000 €.

Faits et contexte

L'autorité italienne de protection des données (GPDP) a aujourd'hui publié une décision de sanction à l'encontre de Character Technologies, Inc. (comprenant le prononcé d'une amende de 158 000 €) pour des manquements en lien avec la transparence, le traitement des données de mineurs et l'entraînement de son modèle d'intelligence artificielle.

L'affaire trouve son origine dans une enquête d'office lancée par l'autorité en novembre 2024, concernant la conformité du service d'intelligence artificielle générative Character.AI, offert en Italie via une application et une plateforme web et permettant aux utilisateurs, y compris mineurs, de créer des personnages virtuels et d'interagir avec eux.

Motifs de la décision

• Obligation de transparence (articles 12, 13 et 14 du RGPD) : L'autorité a jugé les politiques de confidentialité successives (octobre 2023 et août 2025) non conformes. La première version n'était disponible qu'en anglais alors que le service était proposé en italien, et omettait de mentionner le représentant dans l'Union. Les deux versions manquaient de clarté sur les périodes de conservation, les bases juridiques (indiquant parfois plusieurs bases pour une même finalité, ce qui est contraire au principe de clarté), les transferts de données hors UE et le droit d'opposition. L'autorité s'est appuyée sur les lignes directrices du GT29 sur la transparence (WP 260), rappelant que les informations doivent être concrètes, précises et facilement compréhensibles.
• Obligation d'information pour les données non collectées auprès de la personne concernée (article 14 du RGPD) : L'autorité a constaté que la société n'avait pas fourni d'information adéquate aux personnes concernées italiennes dont les données, publiquement disponibles sur internet, ont été utilisées pour le pré-entraînement de ses modèles linguistiques de grande taille (LLM). La défense de la société, invoquant l'effort disproportionné (article 14, paragraphe 5, point b), a été rejetée car elle n'a pas démontré avoir procédé à une mise en balance documentée des intérêts, comme l'exigent les lignes directrices du Comité européen de la protection des données (CEPD). La publication d'informations sur des forums tiers (Reddit, Discord) n'a pas été considérée comme un moyen adéquat pour remplir cette obligation.
• Protection des données dès la conception et par défaut (article 24 et 25 du RGPD) : Il a été reproché à la société de ne pas avoir mis en œuvre de mesures techniques et organisationnelles adéquates pour la vérification de l'âge des utilisateurs mineurs. Initialement, aucun mécanisme n'était en place. Par la suite, le portail d'âge (age gate) mis en œuvre s'est avéré inefficace, un contrôle de l'autorité ayant démontré qu'un utilisateur se déclarant âgé de moins de 16 ans pouvait s'inscrire. De plus, les profils des mineurs étaient publics par défaut, en violation du principe de protection des données par défaut, particulièrement important pour les personnes vulnérables comme le souligne la décision contraignante du CEPD n° 2/2023 (TikTok).
• Obligation de réaliser une analyse d'impact (article 5, paragraphe 2 et 35 du RGPD) : La société n'a formalisé sa première analyse d'impact relative à la protection des données (AIPD) qu'en novembre 2024, bien après le lancement du service. L'autorité a jugé cette démarche tardive, rappelant que l'AIPD est obligatoire avant le début du traitement lorsque celui-ci présente un risque élevé, ce qui est le cas pour un service utilisant une technologie innovante comme l'intelligence artificielle, traitant des données à grande échelle et s'adressant à des mineurs. Le fait d'avoir mené des évaluations internes non documentées ne satisfait pas au principe de responsabilité (accountability).
• Obligation de désigner un représentant dans l'Union (article 27 du RGPD) : La société a désigné son représentant en mai 2025, soit plus d'un an après avoir commencé à offrir son service en italien. L'autorité a écarté l'exception relative au traitement occasionnel, estimant que le ciblage d'un public italien par la langue rendait le traitement systématique et l'obligation de désignation applicable dès le début de cette offre. En revanche, le manquement lié à un lien de contact défectueux vers le représentant a été jugé comme une simple erreur matérielle sans conséquence, car d'autres moyens de contact restaient disponibles.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 158 000 € à Character Technologies, Inc.

En outre, l'autorité a ordonné à la société de mettre ses traitements en conformité dans un délai de 120 jours, notamment en :

• modifiant sa politique de confidentialité pour corriger les lacunes persistantes ;
• évaluant la licéité de la conservation des données utilisées pour le pré-entraînement ou, à défaut, en les supprimant ;
• garantissant le bon fonctionnement des mesures de vérification de l'âge pour les utilisateurs italiens et en configurant les profils des mineurs en mode privé par défaut.

Enseignements

Cette décision confirme / précise / rappelle que :

• L'entraînement de modèles d'intelligence artificielle à partir de données publiquement accessibles sur internet constitue un traitement de données personnelles qui requiert le respect des obligations d'information de l'article 14 du RGPD.
• L'invocation de l'exception de l'effort disproportionné pour ne pas informer les personnes concernées doit être étayée par une analyse documentée mettant en balance l'effort requis et l'impact sur les droits des personnes.
• Pour les services susceptibles d'être utilisés par des mineurs, un simple portail d'âge déclaratif est insuffisant s'il n'est pas techniquement robuste et efficace ; des mesures de protection des données par défaut, comme la privatisation des profils, sont impératives.
• Une analyse d'impact sur la protection des données doit être réalisée avant le lancement de tout service fondé sur une technologie innovante présentant un risque élevé, et ne peut être remplacée par des évaluations internes informelles.
• Le fait de proposer un service dans la langue d'un État membre de l'Union européenne constitue un ciblage qui rend inapplicable l'exception du traitement occasionnel et impose la désignation d'un représentant dans l'Union.