Meta AI et le RGPD / AI Act : ce que change l'entraînement sur vos données

Présentation et données traitées

Meta AI est l'assistant conversationnel de Meta (Facebook, Instagram, WhatsApp, Messenger), déployé dans de nombreux pays européens depuis 2025. Son entraînement s'appuie notamment sur les contenus publics postés par les utilisateurs européens.

Meta AI traite les échanges avec l'assistant, mais Meta exploite surtout les publications et commentaires publics des utilisateurs adultes de Facebook et Instagram pour l'entraînement (depuis fin mai 2025, sur la base de l'intérêt légitime avec opt-out). À la suite d'échanges avec l'autorité irlandaise (DPC), Meta a renforcé le filtrage et la transparence, et fourni un formulaire d'opposition. Les données de Meta AI sur WhatsApp ne seraient pas utilisées pour l'entraînement, mais l'assistant n'y est pas totalement désactivable. Éditeur américain (CLOUD Act).

Les risques pour votre entreprise

Deux plans. Comme utilisateur : les publications de votre entreprise et de vos collaborateurs peuvent alimenter l'entraînement sauf opposition. Comme déployeur : intégrer Meta AI à des processus métier expose aux mêmes risques (fuite, transfert hors UE, base légale contestée). Le mécanisme d'opt-out, jugé complexe, fragilise la démonstration de conformité.

Principaux risques RGPD :

• Base légale « intérêt légitime » contestée (débat opt-in vs opt-out).
• Droit d'opposition : effectivité et simplicité insuffisantes.
• Transfert hors UE (CLOUD Act).
• Meta AI sur WhatsApp non totalement désactivable ; transparence jugée parcellaire.

Les obligations RGPD

1. Exercer le droit d'opposition (formulaires Facebook/Instagram) pour les comptes de l'entreprise.
2. Régler les contenus en « privé » pour limiter leur usage.
3. Encadrer/éviter l'usage de Meta AI pour traiter des données personnelles de tiers.
4. Inscrire au registre des traitements ; AIPD si usage à risque ; informer les personnes.
5. Impliquer le DPO et poser une position dans la charte IA.

Les obligations AI Act

Les modèles Llama de Meta sont des GPAI (obligations fournisseurs depuis le 2 août 2025). Côté déployeur : transparence (article 50), supervision humaine, littératie IA. La génération de contenus impose le marquage des contenus générés. Voir le guide AI Act.

Cybersécurité et bonnes pratiques

Risques cyber : fuite via l'assistant et via les intégrations réseaux sociaux, prompt injection, shadow AI. À intégrer pour les entités NIS 2.

Bonnes pratiques : exercer l'opt-out sur tous les comptes professionnels ; passer les contenus sensibles en privé ; ne pas utiliser Meta AI pour traiter des données personnelles de clients/salariés ; surveiller l'évolution du dossier DPC ; charte IA, formation, référent IA, registre.

Checklist de conformité :

• Opt-out exercé (Facebook + Instagram) pour les comptes pro
• Contenus sensibles passés en privé
• Usage de Meta AI encadré/limité, usage au registre
• AIPD si usage à risque, position posée dans la charte IA
• Transparence Art. 50, équipes formées, DPO impliqué

Sanctions, conclusion et recommandations

Sanctions (deux régimes cumulables) : RGPD jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial annuel ; AI Act jusqu'à 35 M€ ou 7 % pour les pratiques interdites, et 15 M€ ou 3 % pour la plupart des autres manquements. Contexte : Meta a déjà été sanctionné en Europe (dont 200 M€ au titre du DMA en 2025 sur le modèle « payer ou consentir »). Le dossier « entraînement IA » reste sous surveillance étroite des autorités.

Recommandation : Meta AI cristallise le débat européen sur l'entraînement des IA. Pour une entreprise : exercez l'opt-out sur vos comptes, évitez d'y traiter des données personnelles de tiers, et suivez de près les décisions de la DPC. La base légale reposant sur l'opt-out demeure fragile — ne fondez pas un processus métier critique dessus. Comparez avec les autres assistants : ChatGPT, Grok, Mistral.