Vous tapez votre nom dans un agent conversationnel et la machine répond avec assurance : une date de naissance qui n’est pas la vôtre, une profession que vous n’avez jamais exercée, une condamnation que vous n’avez jamais subie. Le ton est policé, les détails sont précis, et tout est faux. Depuis 2024, les autorités européennes de protection des données se sont saisies de ce problème. L’autorité italienne, le Garante per la protezione dei dati personali, a ainsi clôturé en décembre 2024 son instruction sur le service ChatGPT : dans son communiqué officiel, elle annonce une sanction de 15 millions d’euros contre la société OpenAI et une campagne d’information de six mois à la charge de cette société, portant notamment sur les droits d’opposition, de rectification et d’effacement. Le même communiqué précise que le dossier a été transmis à l’autorité irlandaise, devenue autorité chef de file, et que la décision n° 755 du 2 novembre 2024 a été retirée du site à la suite du jugement n° 4153/2026 du tribunal de Rome, publié le 18 mars 2026, qui a accueilli le recours contre la décision de l’autorité. Aucune responsabilité définitive ne résulte donc, à ce jour, de cette procédure, et seuls les textes et les décisions définitives disent le droit applicable en France.
Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable et ne décrivent pas la situation d’OpenAI, sur laquelle l’article ne formule aucun constat.
I. Pourquoi une réponse fausse d’un chatbot relève du droit des données personnelles
A. Une affirmation fausse sur une personne identifiée entre dans le champ du RGPD
Quand un agent conversationnel énonce votre nom accompagné d’éléments faux, il traite des données à caractère personnel vous concernant. Le règlement européen exige alors l’exactitude : doivent rester exactes et, si nécessaire, tenues à jour, toute donnée inexacte devant être effacée ou rectifiée sans tarder, selon le principe d’exactitude posé par l’article 5, paragraphe 1, point d), du règlement (UE) 2016/679 du 27 avril 2016. Une date de naissance inventée, une fonction imaginaire ou un passé judiciaire fictif heurtent directement cette exigence, dès lors que la personne est identifiée ou identifiable par la réponse.
Le caractère statistique de la génération ne retire rien à cette analyse. Le modèle produit la formulation la plus probable, pas la formulation vérifiée, et l’assurance du ton ne garantit pas la vérité du contenu. Le Comité européen de la protection des données a adopté le 18 décembre 2024 un avis sur les modèles d’intelligence artificielle qui retient trois axes : les cas dans lesquels un modèle peut être regardé comme anonyme, l’intérêt légitime comme base juridique possible du développement et de l’utilisation des modèles, et le sort d’un modèle développé à partir de données traitées illicitement. Sur l’anonymat, l’avis indique qu’il s’apprécie au cas par cas par les autorités et que, pour être anonyme, un modèle devrait rendre très improbables l’identification directe ou indirecte des personnes et l’extraction de leurs données par des requêtes. Autrement dit, dès qu’une requête permet d’obtenir des informations sur une personne identifiable, le responsable du traitement reste dans le champ du règlement.
Le nouveau cadre européen de l’intelligence artificielle ajoute une exigence de transparence : l’article 50, paragraphe 1, du règlement (UE) 2024/1689 sur l’intelligence artificielle impose aux fournisseurs que les personnes sachent qu’elles interagissent avec un système d’IA. Savoir que l’on parle à une machine aide à douter d’une réponse péremptoire, mais ne dispense pas le fournisseur de respecter les droits des personnes dont les données irriguent le modèle.
Sur le fondement du traitement, les éditeurs invoquent le plus souvent l’intérêt légitime ou le consentement. L’avis européen cité plus haut encadre strictement le premier : un test en trois temps aide à vérifier si l’intérêt légitime constitue une base appropriée pour développer ou utiliser des modèles, en mettant en balance la finalité poursuivie, la nécessité du traitement et les droits des personnes. Pour l’utilisateur qui conteste, l’argument opérationnel est simple : une biographie inventée ne passe aucun de ces trois filtres, car elle n’est ni nécessaire à une finalité légitime ni proportionnée à l’atteinte portée. Quant au consentement, il ne se présume jamais : des données aspirées sur des pages publiques puis resservies comme des faits ne reposent sur aucun accord de la personne concernée, et le retrait de ce consentement, quand il existe, produit l’effet prévu par l’article 7 du règlement, avec l’effacement à la clé quand aucune autre base ne subsiste.
En pratique, trois situations reviennent sans cesse. La première est la fiche inventée : le chatbot attribue au demandeur une biographie mêlant des éléments vrais, empruntés à des homonymes ou à des pages publiques, et des éléments faux. La deuxième est la mémoire persistante : l’agent conserve d’une conversation à l’autre des informations personnelles et les réutilise hors contexte. La troisième est la rediffusion : la même affirmation fausse réapparaît à l’identique chez d’autres utilisateurs qui interrogent le service sur le même nom, ce qui laisse penser que l’erreur s’est fixée dans le modèle. Chacune appelle une réponse juridique distincte, et c’est l’objet de la suite.
B. Trois droits concrets : rectifier, effacer, s’opposer à l’entraînement
Le premier droit est la rectification. l’article 16 du règlement (UE) 2016/679 du 27 avril 2016 ouvre à toute personne concernée le droit d’obtenir dans les meilleurs délais la rectification des données inexactes la concernant. En droit français, « Le droit de rectification s’exerce dans les conditions prévues à l’article 16 du règlement (UE) 2016/679 du 27 avril 2016 » du règlement, selon l’article 50 de la loi du 6 janvier 1978. Concrètement, la demande porte sur l’information précise contestée : la date, la fonction, la condamnation. Une capture d’écran datée, la réponse exacte recopiée sans modification et la pièce qui établit la réalité — pièce d’identité, attestation d’employeur, extrait de casier judiciaire — forment le dossier minimal. Si l’éditeur répond qu’il ne peut pas corriger le modèle, cette fin de non-recevoir ne clôt pas le débat : elle déplace la discussion vers l’effacement et vers l’autorité de contrôle.
Le deuxième droit est l’effacement. l’article 17, paragraphe 1, du règlement (UE) 2016/679 du 27 avril 2016 ouvre le droit d’obtenir dans les meilleurs délais l’effacement des données, notamment en cas de traitement illicite ou d’opposition sans motif légitime impérieux contraire. En droit français, « Le droit à l’effacement s’exerce dans les conditions prévues à l’article 17 du règlement (UE) 2016/679 du 27 avril 2016 » du règlement, selon l’article 51 de la loi du 6 janvier 1978. L’effacement peut viser les données du compte, les conversations mémorisées et, dans la mesure techniquement possible, la prise en compte de la personne dans les affinages ultérieurs. Lorsque l’éditeur a rendu les données publiques, le même article 17 lui impose de prendre des mesures raisonnables, y compris d’ordre technique, pour informer les autres responsables qui traitent ces données de la demande d’effacement.
Le troisième droit est l’opposition à la réutilisation des données pour l’entraînement. l’article 21, paragraphe 1, du règlement (UE) 2016/679 du 27 avril 2016 permet de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l’article 6, paragraphe 1, point e) ou f) ; le responsable ne poursuit alors le traitement que s’il démontre des motifs légitimes et impérieux qui prévalent. La CNIL détaille sur son site, dans une page dédiée, la marche à suivre acteur par acteur : pour l’agent de la société américaine la plus connue, décocher dans les paramètres du compte la case d’amélioration du modèle ; pour d’autres assistants, des réglages équivalents existent dans les paramètres de confidentialité. Ces réglages valent pour l’avenir et ne remplacent pas une demande formelle portant sur le passé.
Le sort des mineurs appelle une vigilance particulière. Les agents conversationnels utilisés par des adolescents mémorisent parfois des éléments de vie familiale, de scolarité ou de santé confiés au fil des échanges, puis les restituent dans d’autres conversations. Le droit français renforce ici l’effacement : sur demande de la personne concernée, le responsable est tenu d’effacer dans les meilleurs délais les données collectées dans le cadre de l’offre de services de la société de l’information lorsque la personne était mineure au moment de la collecte, selon l’article 51, paragraphe II, de la loi du 6 janvier 1978. Les parents d’un mineur et le mineur lui-même, selon son âge et son discernement, peuvent donc exiger la suppression des conversations et des profils constitués, indépendamment des réglages de confidentialité proposés par l’éditeur.
En attendant l’issue de la demande, le droit à la limitation permet de geler l’utilisation des données contestées : « Le droit à la limitation du traitement s’exerce dans les conditions prévues à l’article 18 du règlement (UE) 2016/679 du 27 avril 2016 » du règlement, selon l’article 53 de la loi du 6 janvier 1978. Concrètement, l’éditeur conserve les données sans les exploiter ni les rediffuser le temps de vérifier l’exactitude. Et quand une rectification ou un effacement est obtenu, l’obligation de notification suit : elle « L’obligation de notification en cas de rectification ou d’effacement de données à caractère personnel ou la limitation du traitement s’exerce dans les conditions prévues à l’article 19 du règlement (UE) 2016/679 du 27 avril 2016 » du règlement, selon l’article 54 de la même loi, ce qui impose d’avertir chaque destinataire auquel les données ont été communiquées, sauf impossibilité avérée.
Le droit d’accès complète utilement la démarche. l’article 15, paragraphe 1, du règlement (UE) 2016/679 du 27 avril 2016 permet d’obtenir la confirmation que des données sont ou non traitées et, le cas échéant, l’accès à ces données. Demander l’accès avant de demander la rectification permet de savoir ce que l’éditeur détient : données du compte, historique, éventuelle fiche associée au nom. La plainte portée en avril 2024 par l’organisation noyb devant l’autorité autrichienne, transmise dans le circuit européen de coopération, illustre l’enchaînement : un plaignant découvre une date de naissance fausse le concernant, l’éditeur refuserait la rectification et l’effacement en invoquant une impossibilité technique et ne répondrait pas correctement à la demande d’accès, selon la présentation publiée par cette organisation de défense des droits numériques. À la date de rédaction, cette procédure n’a pas donné lieu à une décision définitive connue, et seule l’autorité compétente tranchera le bien-fondé des griefs.
II. Comment agir, étape par étape, et obtenir réparation
A. La voie amiable puis la plainte devant l’autorité de contrôle
La première étape consiste à écrire au responsable du traitement. La demande est envoyée par un canal qui laisse une trace — formulaire de contact, courrier électronique avec accusé, lettre recommandée — et formule séparément chaque droit : accès, rectification de telle phrase précise, effacement de telles données, opposition à l’entraînement sur les données du demandeur. Le règlement impose un rythme : le responsable informe la personne des mesures prises dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande, selon l’article 12, paragraphe 3, du règlement (UE) 2016/679 du 27 avril 2016. Le silence gardé au-delà de ce délai, hors prolongation motivée de deux mois, ouvre la voie du recours. Conserver la demande, la preuve de l’envoi et la réponse éventuelle conditionne toute la suite.
La deuxième étape est la plainte devant la CNIL. sans préjudice de tout autre recours, toute personne concernée peut introduire une réclamation auprès d’une autorité de contrôle, rappelle l’article 77, paragraphe 1, du règlement (UE) 2016/679 du 27 avril 2016. La plainte se dépose en ligne, avec le dossier constitué à l’étape précédente et l’explication du préjudice : candidature compromise par une biographie inventée, réputation professionnelle entamée, anxiété née de la diffusion. Quand l’éditeur a désigné son établissement principal européen en Irlande, le mécanisme du guichet unique confie l’instruction au long cours à l’autorité irlandaise, comme le Garante l’a fait pour le dossier qu’il a transmis à Dublin ; la CNIL reste la porte d’entrée du plaignant résidant en France et suit l’affaire dans la coopération européenne. Les lecteurs confrontés à l’inertie d’une plainte trouveront la méthode détaillée dans l’article consacré aux recours quand la CNIL ne répond pas, qui décrit les relances, les délais et les recours juridictionnels contre les décisions implicites.
Devant l’autorité, la précision de la plainte fait la différence. Une plainte qui recopie la réponse fausse, joint la preuve de la réalité, liste les droits exercés avec leurs dates et chiffre même sommairement le préjudice sera instruite plus vite qu’un signalement général sur « l’IA qui ment ». L’autorité peut alors mettre en demeure, prononcer une sanction et ordonner la mise en conformité, comme le dossier italien l’a montré avec l’injonction de campagne d’information : pour la première fois, le Garante a mobilisé les pouvoirs de son article 166, paragraphe 7, pour imposer une communication institutionnelle de six mois sur le fonctionnement du service et les droits des personnes. Cette créativité des mesures correctrices profite aux plaignants français, car les engagements pris devant une autorité européenne irriguent les pratiques des éditeurs sur tout le marché intérieur.
La troisième étape, souvent négligée, est la conservation des preuves de diffusion. Une réponse de chatbot est éphémère par nature : noter la date, l’heure, la formulation exacte de la question posée et de la réponse obtenue, enregistrer la conversation, faire constater par commissaire de justice les passages les plus graves quand l’enjeu professionnel le justifie. Si la même affirmation fausse circule aussi sur des pages web reprises par des moteurs de recherche, la jurisprudence du déréférencement redevient utile : la Cour de cassation a jugé que le moteur ne peut être tenu de retirer des résultats « sans que soit préalablement recherché au cas par cas, pour chacun de ces résultats, si cette ingérence dans ses droits fondamentaux n’est pas justifiée par l’intérêt prépondérant du public », dans son arrêt du 14 février 2018. Cette mise en balance, forgée pour les moteurs, éclaire les demandes adressées aux éditeurs de modèles : plus l’information est ancienne, intime ou dépourvue d’intérêt public, plus l’effacement a des chances de prospérer.
B. Le juge des référés et la réparation du préjudice
Quand l’éditeur refuse ou répond à côté, le juge des référés du tribunal judiciaire peut être saisi. L’article 835 dispose que « Le président du tribunal judiciaire ou le juge des contentieux de la protection dans les limites de sa compétence peuvent toujours, même en présence d’une contestation sérieuse, prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite » du code de procédure civile. La diffusion répétée d’une condamnation imaginaire ou d’une maladie inventée caractérise typiquement le trouble que le juge peut faire cesser : injonction de rectifier, de supprimer la fiche litigieuse, de désactiver la mémoire attachée au nom, sous astreinte. Le tribunal judiciaire de Paris a déjà eu à trancher en référé une demande de déréférencement fondée sur les articles 17 et 21 du règlement, dans son ordonnance du 16 janvier 2024 : la demanderesse, condamnée en 2017, réclamait le retrait de vingt-neuf liens ; le juge a examiné au cas par cas, écarté une partie des demandes et rappelé les limites de son office. La leçon vaut pour les chatbots : une demande ciblée, prouvée et proportionnée a plus de poids qu’une exigence générale de réécrire le modèle.
La réparation du préjudice suit un fondement propre. toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement peut obtenir réparation du responsable du traitement ou du sous-traitant, selon l’article 82, paragraphe 1, du règlement (UE) 2016/679 du 27 avril 2016. Le préjudice moral — atteinte à l’honneur professionnel, angoisse, temps passé à faire corriger — se prouve par les pièces du dossier : échanges avec l’éditeur, attestations de l’entourage professionnel, perte de chance documentée quand un recruteur a consulté la fiche fantaisiste. Le responsable ne s’exonère que s’il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable. En pratique parisienne, ces demandes se portent devant le tribunal judiciaire de Paris, pôle compétent pour les atteintes aux droits de la personnalité et les litiges de données personnelles ; les délais de fixation et les pièces à préparer — identité, captures, échanges, plainte CNIL — gagnent à être anticipés avec un conseil.
Sur la sanction pécuniaire, le juge tient compte de la persistance du trouble après mise en demeure, de l’audience du service et de la gravité de l’information inventée : une condamnation pénale imaginaire pèse plus lourd qu’une coquille sur une année de naissance, et la rediffusion à plusieurs utilisateurs aggrave l’appréciation. L’astreinte assortie à l’injonction — une somme par jour de retard — donne au jugement son effectivité quand l’éditeur tarde à purger la fiche litigieuse de ses systèmes. Les frais irrépétibles — « la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens », selon l’article 700 du code de procédure civile — et les dépens s’ajoutent à l’indemnisation du préjudice moral et, le cas échéant, matériel, par exemple quand une embauche a été compromise et que la perte de chance est établie par des pièces. Chaque chef de préjudice se plaide séparément, avec sa preuve propre, plutôt que dans une demande globale et indifférenciée.
Le pendant salarial mérite un mot, car beaucoup découvrent la fiche fausse au pire moment, pendant un recrutement. Quand des données de clients ou de collègues ont été versées par un salarié dans un agent public, c’est l’employeur qui répond des manquements et risque la sanction : la situation miroir est décrite dans l’article consacré au salarié qui verse des données de clients dans un agent public. Côté candidat, la parade consiste à vérifier ce que les outils racontent, à exercer les droits décrits plus haut et à signaler au recruteur, pièces à l’appui, l’inexactitude constatée. Un employeur qui écarterait une candidature sur la seule foi d’une biographie générée sans vérification s’exposerait à son tour à un contentieux du recrutement.
Un dernier réflexe protège l’avenir : une fois la rectification ou l’effacement obtenu, conservez l’attestation de l’éditeur et vérifiez quelques semaines plus tard que la réponse fausse ne réapparaît pas sous une formulation voisine. Si elle ressurgit, la nouvelle capture rouvre la procédure avec un dossier déjà constitué, et l’autorité comme le juge apprécieront la persistance du manquement.
Conclusion
Une affirmation fausse énoncée par un agent conversationnel n’est pas une fatalité technique : c’est un traitement de données personnelles soumis à l’exigence d’exactitude, aux droits de rectification, d’effacement et d’opposition, et au contrôle des autorités puis du juge. La méthode tient en quatre gestes : figer la preuve de la réponse fausse, écrire au responsable en visant chaque droit séparément, saisir l’autorité en cas de silence ou de refus, puis demander au juge la cessation du trouble et la réparation du préjudice. Les procédures européennes en cours, de la plainte associative transmise dans le circuit de coopération au dossier italien renvoyé vers l’autorité irlandaise, montrent que les réponses se construisent pas à pas et que les arguments techniques des éditeurs sont discutés pied à pied. Face à une machine qui affirme avec aplomb, le dossier le mieux constitué reste l’arme la plus sûre : captures datées, échanges conservés, pièces d’état civil et professionnelles, chronologie des démarches.