Une récente fuite de documents internes a révélé que l’outil d’intelligence artificielle développé par Meta Platforms est conçu pour collecter des informations détaillées sur l’utilisation des ordinateurs de ses employés aux États-Unis, bien que sa portée réelle soit plus large que ce qui a été initialement communiqué.
Selon la documentation consultée par Reuters, l’initiative pourrait même capturer des données de personnes en dehors du territoire américain, ce qui soulève de nouvelles interrogations sur la vie privée et la conformité réglementaire, en particulier dans le contexte européen.
Portée mondiale de l'outil IA de Meta
L’Initiative de Capacité de Modèle (MCI) est le nom de l’outil que Meta a mis en place pour enregistrer le comportement informatique de ses employés. L'entreprise a informé que l'objectif du système est d'analyser comment les ordinateurs sont utilisés, en suivant les mouvements de la souris, les clics et la navigation dans les menus, afin de former des agents d'intelligence artificielle capables d'exécuter des tâches quotidiennes de manière autonome.
L'entreprise a assuré que l'installation de l'outil était limitée aux dispositifs d'employés aux États-Unis et qu'elle avait pris des précautions pour protéger les données sensibles.
Cependant, les documents internes montrent que la MCI collecte des données à partir de plus de 200 applications et sites web, et que la surveillance pourrait inclure des communications provenant d'employés situés en dehors des États-Unis, tant qu'ils interagissent avec du personnel américain.
Un document adressé aux employés reconnaît ouvertement que l'outil peut capturer le contenu de tout message ou courriel envoyé à un employé américain, quelle que soit la localisation de l'expéditeur.
Cela signifie que les informations générées par des employés internationaux lors de leurs interactions avec des collègues aux États-Unis entrent également dans le système de collecte de données de Meta.
Impact sur la vie privée et doutes sur la conformité à la réglementation européenne
Le déploiement de la MCI a suscité des inquiétudes non seulement parmi les employés de Meta, mais aussi parmi les groupes de défense des droits de l'homme et les spécialistes juridiques, qui mettent en garde contre les conflits potentiels avec le Règlement Général sur la Protection des Données (RGPD) européen.
En Europe, le traitement des données personnelles nécessite une base légale claire et l'obligation d'informer avec précision sur la nature et la destination des données collectées.
L'outil de Meta, selon les informations fournies dans le document de questions fréquentes pour les employés, stocke les données de manière dissociée de l'identité de l'utilisateur, ce qui empêcherait les recherches ou suppressions individuelles, une condition qui contrevient aux exigences du RGPD.
Kleanthi Sardeli, experte juridique de l'organisation NOYB, a averti que même la capture indirecte de données d'employés européens pourrait constituer une infraction, surtout si l'utilisation des données dépasse le but initial pour lequel elles ont été recueillies.
L'entreprise a informé la Commission Irlandaise de Protection des Données que ni les données des employés européens ni le contenu des écrans ne faisaient partie du but principal de l'outil, bien qu'elle n'ait pas détaillé comment elle éviterait la capture incidente d'informations pertinentes pour la réglementation européenne.
Réactions internes et préoccupations techniques concernant la collecte de données
L'annonce et l'implémentation de la MCI ont suscité une réaction négative parmi les employés de Meta, qui ont exprimé leurs inquiétudes quant au volume et au type de données collectées. Des positions internes reflètent que certains employés estiment que l'entreprise se transforme en une « Fabrique d'Extraction de Données d'Employés ».
Une analyse réalisée par un employé — avec l'aide de l'outil d'IA Claude, développé par Anthropic — a déterminé que la MCI s'est intégrée au logiciel de sûreté existant, accédant à des données telles que des changements de code, des cycles de suspension et d’activation des ordinateurs, des URL visitées et du contenu copié dans le presse-papiers.
À noter que ces informations, de plus, sont stockées en format non chiffré, ce qui aggrave les risques de sécurité.
Le volume de données collectées par la MCI a même impacté la consommation d'internet domestique des employés, qui ont signalé une augmentation considérable de l'utilisation des données jusqu'à épuiser leurs quotas mensuels en quelques jours.
Déclarations de Meta sur la finalité et les limitations de l’outil
Dave Arnold, porte-parole de Meta, a déclaré que l'outil n'a été installé que sur les équipements des employés américains et que son objectif se limite à l'analyse de l'interaction avec les ordinateurs, pas au contenu des écrans.
Arnold a affirmé que l'entreprise a soigneusement analysé les risques de vie privée à toutes les étapes du développement et de l'implémentation de l'outil et a assuré l'engagement de Meta à respecter les réglementations applicables.
En ce qui concerne la portée internationale, Arnold a expliqué que l'entreprise a informé les employés en dehors des États-Unis de l'application de la MCI sur les équipements de leurs collègues américains, avec qui ils pourraient maintenir des communications par courriel ou par chat dans le cadre de leur travail habituel.