La Garante, l’autorité italienne chargée de la protection des données personnelles, a infligé une amende de 158 000 euros à Character Technologies, l’entreprise américaine derrière Character.AI. En cause : plusieurs manquements au RGPD concernant notamment la transparence, les données utilisées pour entraîner ses modèles d’intelligence artificielle, la protection des mineurs et l’évaluation des risques.
L’Italie resserre un peu plus l’étau réglementaire autour de l’intelligence artificielle générative. Dans une décision adoptée le 3 juillet 2026, la Garante de la protection des donées personnelles a constaté plusieurs traitements non conformes au Règlement général sur la protection des données (RGPD) par Character Technologies, société américaine, à l’origine de Character.AI. Elle a été fondée par Noam Shazeer et Daniel De Freitas, deux anciens chercheurs de Google spécialisés dans l’intelligence artificielle.
Accessible par application et sur le Web, Character.AI permet aux internautes de créer des personnages virtuels et de converser avec eux par l’intermédiaire d’une intelligence artificielle générative. À l’issue de son enquête, l’autorité italienne a prononcé une sanction administrative de 158 000 euros et imposé à l’entreprise plusieurs mesures correctrices.
L’affaire dépasse cependant le seul cas de Character.AI. La décision italienne aborde plusieurs questions qui concernent directement l’ensemble du secteur de l’IA générative : transparence des politiques de confidentialité, détermination de la base juridique des traitements, utilisation de données personnelles lors du pré-entraînement des grands modèles de langage, protection des mineurs ou encore réalisation d’une analyse d’impact sur la protection des données.
Des informations jugées insuffisamment transparentes
Une part importante de la décision concerne la politique de confidentialité proposée aux utilisateurs de Character.AI. La Garante a notamment relevé l’absence d’une version italienne pendant une période où le service était pourtant déjà proposé en Italie.
L’autorité a également pointé une présentation insuffisamment claire du droit d’opposition des personnes concernées, l’absence d’indication du représentant de la société dans l’Union européenne pendant une partie de la période examinée, ainsi que différentes imprécisions susceptibles de compliquer la compréhension des informations fournies.
Les formulations employées pour expliquer les durées de conservation des données et certains transferts en dehors de l’Union européenne ont également été examinées. Le régulateur considère que les informations communiquées doivent permettre aux personnes de comprendre précisément comment leurs données sont utilisées et pendant combien de temps elles peuvent être conservées.
La Garante s’est en particulier intéressé à la pratique consistant à présenter plusieurs bases juridiques alternatives pour une même opération de traitement. Selon l’autorité, chaque traitement doit reposer sur une base juridique clairement identifiée et communiquée aux utilisateurs.
Cette distinction n’a rien d’anecdotique. La base juridique choisie détermine en partie les droits dont disposent les personnes concernées. Un traitement réalisé à des fins de publicité personnalisée ne saurait ainsi être présenté comme reposant simultanément sur le consentement et sur l’intérêt légitime.
L’entraînement des modèles d’IA dans le viseur
Le dossier Character.AI touche également à l’une des questions les plus sensibles du moment : l’utilisation de données personnelles pour développer et pré-entraîner des grands modèles de langage, ou LLM.
Le Garante a constaté une violation de l’article 14 du RGPD, estimant que Character n’avait pas correctement informé les personnes concernées en Italie des traitements de données réalisés dans le cadre du pré-entraînement de ses modèles propriétaires.
Character Technologies avait notamment fait valoir que sa politique de confidentialité ainsi que différentes informations diffusées en ligne permettaient de satisfaire à ses obligations de transparence. L’autorité italienne n’a pas retenu cette argumentation.
Selon l’analyse de la Garante rapportée par l’Osservatorio TMT – Data Protection, la politique de confidentialité concernait principalement les utilisateurs du service et ne permettait pas d’informer correctement l’ensemble des personnes dont les données avaient éventuellement été intégrées aux jeux de données utilisés pour le pré-entraînement.
La publication d’informations sur des plateformes tierces, notamment Reddit ou Discord, n’a pas davantage été considérée comme suffisante pour démontrer que les personnes concernées pouvaient effectivement prendre connaissance des traitements réalisés.
Autrement dit, publier quelque part sur Internet des informations concernant l’utilisation des données ne suffit pas nécessairement à remplir les exigences de transparence imposées par le RGPD.
Des données publiques qui restent des données personnelles
Character avait également avancé que la présence de données personnelles dans les jeux de données utilisés pour le pré-entraînement pouvait être incidente et non intentionnelle, ces datasets provenant notamment de ressources publiquement disponibles et collectées par des tiers.
L’argument n’a pas convaincu la Garante. En vertu du principe de responsabilité, ou « accountability », il appartient au responsable du traitement de vérifier la nature des informations présentes dans les jeux de données qu’il exploite.
Le caractère public d’une donnée ne la fait donc pas automatiquement sortir du champ de la protection des données personnelles. Pour les entreprises développant des modèles d’intelligence artificielle, cette appréciation implique de regarder ce qu’il y a réellement dans les datasets et d’anticiper les conséquences juridiques de leur exploitation.
Sur la question de l’opt-out préventif, la Garante a toutefois écarté une partie des griefs. L’autorité a considéré que l’obligation spécifique permettant aux personnes de s’opposer préalablement et sans condition au traitement, telle qu’interprétée dans un avis de l’EDPB adopté ultérieurement, ne pouvait pas être appliquée rétroactivement à des opérations de pré-entraînement déjà terminées.
La question reste néanmoins centrale pour les développements actuels et futurs de modèles d’IA. Les autorités européennes distinguent de plus en plus clairement la phase de développement du modèle, comprenant notamment la collecte et le traitement des données d’entraînement, de sa phase de déploiement et d’utilisation.
La protection des mineurs au cœur du dossier
L’un des aspects les plus sensibles de la décision concerne les utilisateurs mineurs. Au cours de son enquête, le Garante a constaté qu’un utilisateur italien ayant déclaré être âgé de 15 ans avait pu terminer son inscription au service. Son profil était par ailleurs configuré comme public par défaut.
Le RGPD n’impose pas une technologie unique de vérification de l’âge, et il n’existe pas encore de standard européen totalement harmonisé applicable à l’ensemble de ces services. Cela ne dispense toutefois pas les entreprises de mettre en œuvre des mesures techniques et organisationnelles adaptées au niveau de risque.
Pour la Garante, les caractéristiques d’un service tel que Character.AI sont susceptibles d’attirer un public jeune et potentiellement vulnérable. Cette réalité impose donc une vigilance renforcée.
L’autorité italienne s’est également appuyée sur le principe de « privacy by default », selon lequel les paramètres proposés par défaut doivent assurer un niveau élevé de protection des données. Dans le cas d’un mineur, rendre automatiquement son profil public apparaît difficilement compatible avec cette logique.
Parmi les mesures correctrices imposées figure donc la nécessité de configurer par défaut les profils des utilisateurs mineurs en mode privé.
Une analyse d’impact réalisée trop tardivement
Autre problème identifié : l’analyse d’impact relative à la protection des données, plus connue sous l’acronyme DPIA.
La Garante reproche à Character Technologies d’avoir formalisé cette analyse après le lancement du service et à la suite de l’intervention de l’autorité, alors qu’elle aurait dû intervenir en amont des traitements concernés.
Une DPIA est requise lorsque des traitements sont susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes. Dans ce dossier, plusieurs facteurs se combinaient : recours à une technologie innovante, traitements de données à grande échelle liés au développement des LLM et présence potentielle de personnes vulnérables, notamment des mineurs.
Le régulateur italien n’a pas considéré comme suffisante l’existence alléguée d’évaluations internes réalisées par l’entreprise. Le principe d’accountability suppose aussi de pouvoir documenter les analyses effectuées et les mesures adoptées.
Pour les entreprises du secteur, le signal est clair : l’analyse des risques liés aux données personnelles doit intervenir pendant la conception du service, et non une fois que le produit est déjà accessible à des millions d’utilisateurs potentiels.
Character également rappelé à l’ordre sur sa présence européenne
Le Garante a également relevé la désignation tardive du représentant de Character Technologies au sein de l’Union européenne.
La société avait soutenu que certaines de ses activités de traitement pouvaient présenter un caractère occasionnel. L’autorité italienne n’a pas retenu cette interprétation au regard d’un service proposé de manière stable aux utilisateurs européens et impliquant également des traitements à grande échelle liés au développement de modèles de langage.
Cette partie du dossier rappelle une obligation importante pour les entreprises technologiques établies hors de l’Union européenne : lorsqu’elles ciblent durablement des utilisateurs européens et entrent dans le champ territorial du RGPD, leur organisation juridique doit elle aussi être pensée en conséquence.
Un avertissement pour l’ensemble du secteur de l’IA générative
Au-delà des 158 000 euros d’amende, la décision italienne fournit une grille de lecture particulièrement instructive pour les entreprises développant des services d’intelligence artificielle générative en Europe.
La conformité au RGPD doit être intégrée “By Design”, dès la conception du produit. Les entreprises doivent identifier précisément les données utilisées, les finalités poursuivies et les bases juridiques correspondantes, mais aussi expliquer les durées de conservation et les conditions dans lesquelles les personnes peuvent exercer leurs droits.
Le cycle de développement des modèles constitue désormais un sujet à part entière. Pré-entraînement, post-entraînement et exploitation du service ne peuvent pas être fondus dans une explication générale et floue : les opérations réalisées sur les données doivent être distinguées et documentées.
La même exigence vaut pour les mineurs. Lorsqu’un produit est susceptible d’être utilisé par un public jeune, les mécanismes de vérification ou d’assurance de l’âge doivent être évalués en fonction des risques, régulièrement contrôlés et accompagnés de paramètres protecteurs par défaut.
L’affaire Character.AI illustre ainsi une tendance de fond : le caractère nouveau et extrêmement complexe de l’intelligence artificielle générative ne neutralise pas les règles existantes sur la protection des données. Il oblige au contraire les entreprises à intégrer ces exigences beaucoup plus tôt dans le développement de leurs modèles, leur gouvernance et leurs choix techniques.
Sources :
Osservatorio TMT – Data Protection — « Intelligenza artificiale generativa e protezione dei dati personali: il Garante Privacy sanziona Character.AI »
Garante per la protezione dei dati personali — Provvedimento n° 487 du 3 juillet 2026