La Chine met un terme à un nombre record de violations de données personnelles et évoque une loi sur la reconnaissance faciale
Le nombre d’affaires pénales signalées impliquant un « changement de visage par l’IA » a également augmenté.
La Chine a mis fin à un nombre record de violations de données personnelles et sollicite les commentaires du public sur les projets de loi visant à réglementer l'utilisation des données de reconnaissance faciale.
Au cours des trois dernières années, la police chinoise a clôturé 36 000 dossiers liés à des violations de données personnelles, arrêtant 64 000 suspects en cours de route, selon le ministère de la Sécurité publique. Ces arrestations faisaient partie des efforts du gouvernement depuis 2020 pour réguler Internet, qui a également vu plus de 30 millions de cartes SIM et 300 millions de comptes Internet « illégaux » saisis, a rapporté le média d'État Global Times, citant le ministère lors d'un point de presse jeudi. .
Au cours des dernières années, la police a enquêté sur un nombre croissant d'affaires pénales impliquant des violations de données personnelles, ciblant plusieurs secteurs, notamment la santé, l'éducation, la logistique et le commerce électronique.
Les cas criminels signalés impliquant l'intelligence artificielle (IA) sont également en augmentation, a déclaré le ministère, citant un incident survenu en avril 2023 au cours duquel une entreprise de la province du Fujian a perdu 4,3 millions de yuans (596 510 dollars) à cause de pirates informatiques qui ont utilisé l'IA pour modifier leur visage.
À ce jour, les forces de l’ordre ont résolu 79 cas impliquant un « changement de visage de l’IA ».
Alors que la reconnaissance faciale est désormais largement utilisée parallèlement aux progrès réalisés dans la technologie de l’IA, les responsables gouvernementaux ont noté l’émergence de cas exploitant ces données. Dans de tels cas, les cybercriminels utiliseraient des photos, en particulier celles trouvées sur les cartes d’identité, ainsi que des noms personnels et des numéros d’identification pour faciliter la vérification par reconnaissance faciale.
Les départements de sécurité publique chinois travaillent avec les installations de l'État pour mener des évaluations de sécurité de la reconnaissance faciale et d'autres technologies pertinentes, ainsi que pour identifier les risques potentiels liés aux systèmes de vérification par reconnaissance faciale, selon le ministère.
Les écosystèmes cybercriminels étant largement liés, allant du vol à la revente de données en passant par le blanchiment d'argent, les responsables du gouvernement chinois ont déclaré que ces criminels ont établi un important marché souterrain du « big data » qui pose de sérieux risques pour les données personnelles et « l'ordre social ».
Propositions de lois nationales pour réglementer la reconnaissance faciale
L’Administration chinoise du cyberespace (CAC) a publié plus tôt cette semaine des projets de loi traitant spécifiquement de la technologie de reconnaissance faciale. C'était la première fois qu'une réglementation nationale était proposée pour cette technologie, selon le Global Times.
Les règles proposées nécessiteront l'obtention du consentement « explicite ou écrit » de l'utilisateur avant que les organisations puissent collecter et utiliser des informations faciales personnelles. Les entreprises doivent également indiquer la raison et l’étendue des données qu’elles collectent et utiliser ces données uniquement aux fins indiquées.
Sans le consentement de l'utilisateur, aucune personne ou organisation n'est autorisée à utiliser la technologie de reconnaissance faciale pour analyser des données personnelles sensibles, telles que l'origine ethnique, les croyances religieuses, la race et l'état de santé. Il existe des exceptions pour une utilisation sans consentement, principalement pour maintenir la sécurité nationale et la sûreté publique ainsi que pour protéger la santé et les biens des individus en cas d'urgence.
Les organisations qui utilisent cette technologie doivent mettre en place des mesures de protection des données pour empêcher tout accès non autorisé ou fuite de données, indique le document du CAC.
Les projets de loi indiquent en outre que toute personne ou organisation qui conserve plus de 10 000 ensembles de données de reconnaissance faciale doit en informer les autorités cybergouvernementales compétentes dans un délai de 30 jours ouvrables.
Les règles proposées stipulent les conditions dans lesquelles les systèmes de reconnaissance faciale doivent être utilisés, notamment la manière dont ils traitent les données personnelles faciales et à quelles fins.
Les projets de loi obligent également les entreprises à donner la priorité à l’utilisation d’outils alternatifs de reconnaissance non biométriques si ceux-ci fournissent des résultats équivalents à ceux de la technologie biométrique.
Le public dispose d'un mois pour soumettre ses commentaires sur les projets de loi.
En janvier, la Chine a mis en vigueur des réglementations visant à empêcher les abus de la technologie de « synthèse profonde », notamment les deepfakes et la réalité virtuelle. Toute personne utilisant ces services doit étiqueter les images en conséquence et s'abstenir d'utiliser la technologie pour des activités qui enfreignent les réglementations locales.
Des lois provisoires entreront également en vigueur la semaine prochaine pour gérer les services d’IA générative dans le pays. Ces réglementations décrivent diverses mesures visant à faciliter le développement rationnel de la technologie tout en protégeant les intérêts nationaux et publics ainsi que les droits légaux des citoyens et des entreprises, a déclaré le gouvernement chinois.
Les développeurs d’IA générative, par exemple, devront veiller à ce que leurs processus de pré-formation et d’optimisation des modèles soient effectués conformément à la loi. Celles-ci incluent l’utilisation de données provenant de sources légitimes qui respectent les droits de propriété intellectuelle. Si des données personnelles sont utilisées, le consentement de la personne doit être obtenu ou cela doit être fait conformément à la réglementation en vigueur. Des mesures doivent également être prises pour améliorer la qualité des données de formation, notamment leur exactitude, leur objectivité et leur diversité.
En vertu des lois provisoires, les fournisseurs de services d’IA générative assument la responsabilité légale des informations générées et de leur sécurité. Ils devront signer des accords de niveau de service avec les utilisateurs de leur service, clarifiant ainsi les droits et obligations de chacun.