Le régulateur italien des données inflige 5 millions d’euros d’amende à l’éditeur de Replika pour sa politique de confidentialité et l’absence de vérification de l’âge

Le problème

Replika est une application de chatbot de l’entreprise américaine Luka. Dotée d’une interface écrite et vocale, elle permet de créer un compagnon virtuel dont l’utilisateur choisit le rôle : ami, thérapeute, partenaire romantique ou mentor. Début 2023, l’autorité italienne de protection des données, le Garante, a ouvert une enquête après des articles de presse. Elle s’inquiétait de la politique de confidentialité, de l’absence de filtre d’âge et de contenus du chatbot pouvant ne pas convenir aux mineurs et aux personnes vulnérables.

Ce qu’ils ont construit

Replika est le produit grand public propre à Luka. D’après la décision du Garante, il repose sur un système d’IA générative qui utilise un grand modèle de langage, alimenté et affiné en continu par les interactions des utilisateurs. Luka a déclaré au Garante que ses modèles d’IA sont propriétaires et qu’elle n’utilise pas les conversations des utilisateurs à des fins de publicité ou de marketing. Le service était réservé aux adultes. Luka a dit avoir référencé l’application dans la boutique d’Apple avec une classification 17+.

Comment ils s’y sont pris

Le 2 février 2023, la présidence du Garante a ordonné une limitation temporaire urgente du traitement des données des utilisateurs en Italie. Luka a bloqué l’accès depuis l’Italie. Le 22 juin 2023, le Garante a suspendu cette ordonnance sous conditions, notamment une nouvelle politique de confidentialité, un contrôle d’âge assorti d’une période d’attente, des demandes d’exercice de droits facilitées et des projets pour écarter les moins de 18 ans et signaler les contenus inappropriés. Luka a déclaré au Garante en 2023 avoir respecté ces mesures. En février 2024, le Garante a notifié formellement à Luka des violations présumées. La décision consigne que Luka n’a pas répondu à cette notification ni demandé à être entendue.

Ce qui a mal tourné

Dans sa décision du 10 avril 2025, le Garante a constaté que, le 2 février 2023, la politique de confidentialité n’indiquait pas la base juridique de chaque type de traitement. Il a constaté qu’elle n’existait qu’en anglais, ne donnait pas de durées de conservation et pouvait induire les utilisateurs en erreur sur les transferts vers les États-Unis. Il a aussi constaté que l’application n’avait aucune étape de vérification de l’âge à l’inscription ni en cours d’usage, bien qu’elle déclare les mineurs exclus, et que rien ne bloquait les utilisateurs se disant âgés de moins de 18 ans. Luka n’avait ajouté un contrôle d’âge qu’après l’intervention du Garante. Celui-ci a relevé des défauts persistants en 2025 : les utilisateurs pouvaient changer leur date de naissance après l’inscription, la période d’attente de 24 heures ne s’appliquait pas en mode navigation privée, et l’analyse du langage destinée à déclencher des contrôles d’âge ne fonctionnait que dans des cas limités.

Résultats

La décision a déclaré le traitement illicite et ordonné à Luka de mettre la politique de confidentialité et la vérification de l’âge en conformité sous trente jours, et de rendre compte de ses mesures sous soixante jours. Le communiqué de presse du Garante du 19 mai 2025 indique qu’il a infligé à Luka une amende de 5 millions d’euros et ouvert une enquête distincte sur la licéité du traitement tout au long du cycle de vie du système d’IA générative, y compris l’évaluation des risques, les données d’entraînement et l’anonymisation. Le communiqué note qu’un recours est en cours.