Les autorités US ordonnent à Weight Watchers de détruire des modèles IA basés sur des données usurpées

Les autorités américaines exigent de Weight Watchers la destruction d’algorithmes basées sur des données usurpées. Le ministère de la justice US a accepté une plainte de la Federal Trade Commission (FTC) à l’encontre de WW International (Weight Watchers) au motif que son app de perte de poids «Kurbo By WW» collecte frauduleusement des données de mineurs.

Lancée en 2019 aux Etats-Unis, l’application mobile se présente comme un coach virtuel «pour aider les enfants et les adolescents, avec le soutien de leur famille, à modifier leur mode de vie tout en recevant des conseils sur les habitudes durables en matière d'alimentation saine, d'activité physique et de pleine conscience».

Jusque là rien de punissable aux yeux de la loi américaine, sauf que la collecte de données auprès de mineurs est règlementée par la COPPA (Children's Online Privacy Protection Act Rule) exigeant que les sites et apps ciblant ou collectant les données d’enfants de moins de 13 ans en informent les parents et obtiennent leur consentement préalable. Autant de choses que l’application de Weight Watchers n’aurait pas respectées pendant de nombreux mois.

Dans sa plainte, la FTC explique notamment que l’application encourageait les enfants à donner une fausse date de naissance modifiable après coup, et qu’elle ne disposait pas de mécanisme pour valider que ceux qui s’inscrivent en tant que parents sont bien des parents. En outre l’information sur la confidentialité n’était pas clairement affichée et les données étaient conservées indéfiniment.

Outre une amende de 1,5 millions de dollars et l’obligation de supprimer les données personnelles pour lesquelles Weight Watchers n’aurait pas obtenu de consentement, l’ordonnance de règlement stipule que la firme doit détruire tout produit de travail ayant utilisé des données collectées illégalement auprès d'enfants en violation de la COPPA. En d’autres termes, si Weight Watchers a développé des algorithmes à partir des données collectées sans consentement parental, elle va devoir les détruire.

Le cas est intéressant à plus d’un titre. D’une part, cela rappelle que malgré l’absence actuelle de règlementation propre aux algorithmes, ceux-ci peuvent tomber sous le coup de la loi en vertu des données personnelles ayant servi à leur entraînement - typiquement le RGPD en Europe. D’autre part, cela fait peser une menace sur la pratique actuelle de réemploi de gigantesques bases de données d’entraînement collectées et étiquetées par d’autres.