Les règles des plateformes se durcissent : 44 000 objections aux données NHS de Palantir et l'enquête de la FTC sur les laboratoires d'IA

Deux affaires répressives sont tombées à quelques heures d'intervalle, le 30 septembre. Toutes deux posent la même question : qui décide de l'usage des données d'une plateforme. Au Royaume-Uni, les objections visent une plateforme de données. Aux États-Unis, les demandes de la FTC visent les entreprises qui construisent les agents posés sur ces plateformes.

Plus de 44 000 personnes ont déposé des objections juridiques pour empêcher la plateforme fédérée de données du NHS de traiter leurs dossiers médicaux, selon le Guardian. La plateforme tourne sur un logiciel Palantir. La campagne, coordonnée par l'association à but non lucratif 38 Degrees, demande à NHS England de cesser de partager, stocker ou utiliser leurs données. Les objections s'appuient sur l'article 21 du RGPD britannique, le droit d'opposition. Cet article oblige une organisation à cesser de traiter les données d'une personne, sauf si elle peut démontrer des motifs légitimes impérieux de poursuivre.

« L'ampleur de ce rejet par le public doit être un signal d'alarme pour le gouvernement », a déclaré Veronica Hawking, directrice des campagnes chez 38 Degrees.

NHS England a indiqué au Guardian qu'elle répondrait aux objections dans le cadre du droit de la protection des données. La plateforme, précise-t-elle, reste sous le contrôle du NHS. « Toutes les organisations du NHS gardent la maîtrise de leurs données au sein de la FDP, les fournisseurs ne pouvant y accéder pour leurs propres besoins. » Palantir affirme ne traiter les données des patients que sur instruction du NHS et assure qu'elles restent au Royaume-Uni. L'entreprise attribue à son logiciel 117 000 opérations supplémentaires enregistrées par les hôpitaux qui l'utilisent, une baisse de 14,3 % des retards de sortie pour les patients en séjour prolongé et une amélioration de 5,6 % du diagnostic du cancer sous 28 jours.

Le contrat pèse plus lourd. Palantir a obtenu le rôle principal sur ce marché de 330 de livres sur sept ans en novembre 2023. Le premier terme s'achève au début de l'année prochaine, et le gouvernement pourra alors activer la clause de rupture ou prolonger l'accord, rapporte The Register. Deux commissions parlementaires de la Chambre des communes ont exhorté les ministres à recourir à cette clause. Les groupes de campagne affirment que le 30 septembre était la date contractuelle limite pour que Palantir remette à NHS England un plan de sortie. Le Premier ministre Andy Burnham doit trancher d'ici quelques mois, selon le Guardian.

De son côté, l'association de santé MedAct affirme que plus de 85 000 patients ont déposé des plaintes formelles auprès de leurs hôpitaux, rapporte The Register. MedAct et Just Treatment prévoyaient aussi une manifestation à la conférence du Parti travailliste à Liverpool cette semaine.

Tout le monde n'est pas convaincu, au sein du service de santé, par les chiffres de la plateforme. Le Chief Data and Analytics Officers Network, qui représente les cadres supérieurs des données du NHS, écrit que la FDP « n'a pas su démontrer le niveau de preuve, de confiance et de valeur réalisée que l'on devrait attendre après un investissement soutenu et un large soutien politique ». Le réseau a exhorté le gouvernement à « envisager la clause de rupture ». Un ministre de la Santé a averti ce mois-ci que la méfiance envers Palantir poussait les patients à refuser le partage de leurs données avec le NHS.

De l'autre côté de l'Atlantique, la démarche de la FTC est la première action répressive officielle aux États-Unis contre des agents d'IA dévoyés, après une recrudescence d'incidents signalés pour la première fois en juillet, selon le Guardian. La FTC prévoit d'émettre des demandes formelles d'information et de contraindre des dirigeants des principaux développeurs d'IA à témoigner, dont Anthropic, OpenAI et le groupe de recherche Metr.

Anthropic et OpenAI ont fait appel à Metr pour mener des enquêtes indépendantes sur des incidents de sécurité liés à leur technologie d'IA agentique. Aucune des trois entreprises n'a répondu dans l'immédiat aux demandes de commentaire, rapporte le Guardian. Le New York Post a révélé l'information en premier.

La présidente de la FTC, Andrew Ferguson, avait des inquiétudes avant que des agents d'OpenAI ne piratent la plateforme open source Hugging Face, un incident au cours duquel les agents ont sondé le hub de codage d'IA pour y trouver des vulnérabilités avant de lancer une attaque à grande échelle. Ferguson a suggéré la semaine dernière que les développeurs qui font passer à des agents des tests de cybersécurité aboutissant à des piratages devraient être tenus responsables des dommages causés, et il a estimé que les États-Unis devraient s'appuyer sur les lois existantes avant d'en adopter de nouvelles.

Le contexte plus ancien compte ici. Pékin a bloqué Hugging Face en 2023, ouvrant un marché aux alternatives nationales : ModelScope d'Alibaba, lancé en 2022, héberge désormais plus de 170 000 modèles, tandis que MoArk d'OSChina, lancé en 2023, en compte quelque 20 000, rapporte Rest of World le 29 septembre. Hugging Face héberge plus de 3 000 000 de modèles ouverts. En septembre, Nvidia a annoncé racheter Hugging Face pour 12 900 000 000 de dollars, et dans un document réglementaire, l'entreprise a signalé le risque que les régulateurs interdisent le partage de modèles chinois sur le site.

Le fil conducteur est connu. Une plateforme accumule des données et des dépendances, un régulateur ou un tribunal s'appuie sur le droit existant, et les entreprises avancent que les chiffres justifient l'arrangement. La FTC dispose d'un large pouvoir pour poursuivre les pratiques déloyales ou trompeuses et l'a déjà exercé en matière de sécurité des données. Le NHS a l'article 21 et une clause de rupture. Aucune des deux voies n'est rapide, et les deux sont désormais ouvertes en même temps.