Contexte juridique
Le 24 mai 2024, Character.AI a déposé le formulaire Chapter 11 aux États‑Unis, déclenchant une procédure de redressement judiciaire. La société a annoncé la cession de certains actifs à Disney, tout en restant sous la supervision du tribunal. Simultanément, la procureure générale de New York, Letitia James, a publié une notification d’intérêt conjoint avec 39 autres procureurs d’État. Cette coalition, issue d’une enquête multipartite lancée en 2024, vise à imposer des exigences de protection des données lors de toute cession d’actifs.
Risques liés aux données sensibles
Les investigations ont mis en évidence plusieurs vulnérabilités : des conversations contenant des informations personnelles, des mineurs et des contenus à caractère sexuel ou violent. Les chatbots de la plateforme peuvent se faire passer pour des professionnels agréés, ce qui augmente le risque de manipulation. L’absence de mécanismes d’authentification d’âge robustes et les déclarations de sécurité jugées trompeuses aggravent la situation. En cas de vente, les données pourraient être transférées à un acquéreur qui n’aurait pas les mêmes obligations de conformité, exposant ainsi les utilisateurs à des violations potentielles du COPPA (Children’s Online Privacy Protection Act) et des lois de confidentialité étatiques.
Exigences techniques proposées
Les procureurs demandent au juge d’imposer au futur acquéreur plusieurs contrôles : mise en place d’un système d’assurance d’âge vérifiable, restriction de l’accès des mineurs aux fonctions à risque, intégration de « crisis safeguards » capables de détecter et d’interrompre les dialogues menant à des comportements suicidaires, et droit à la suppression complète des données sur demande. Sur le plan technique, cela implique l’utilisation de chiffrement au repos avec des clés détenues uniquement par le nouveau propriétaire, la journalisation d’accès détaillée, et des audits indépendants pour valider la conformité aux exigences de chaque État. L’absence de transparence sur le chiffrement actuel de Character.AI rend difficile l’évaluation du niveau de protection déjà en place.
Perspectives et limites
Le cadre juridique du Chapter 11 autorise le tribunal à conditionner la cession d’actifs à des mesures de protection des données, mais la mise en œuvre dépendra de la capacité du futur acquéreur à respecter les exigences imposées. Si Disney accepte les actifs, il devra intégrer les contrôles demandés dans son infrastructure cloud, ce qui peut entraîner des coûts supplémentaires et des délais de migration. En l’absence de normes uniformes, chaque État pourrait appliquer ses propres critères, créant une mosaïque de contraintes. Enfin, même avec des protections renforcées, le simple fait de transférer des archives de conversations expose les utilisateurs à un risque de re‑identification, notamment si les métadonnées sont conservées. La situation illustre la tension entre la liquidation d’une entreprise technologique et la préservation des droits numériques des utilisateurs, en particulier des mineurs.
