Le régulateur britannique des données démissionne après une enquête sur le lieu de travail

John Edwards a démissionné vendredi de son poste de commissaire à l’information du Royaume-Uni après qu’une enquête en milieu de travail a examiné des plaintes concernant son comportement envers le personnel, laissant le principal régulateur du pays en matière de protection des données et d’IA sous direction intérimaire.

Le Information Commissioner’s Office supervise le droit britannique en matière de protection des données, les règles relatives à la liberté d’information et une partie de l’approche réglementaire du gouvernement en matière d’IA. Le bureau a indiqué qu’Edwards s’était retiré de ses fonctions à la fin du mois de février pendant qu’un enquêteur externe examinait l’affaire.

Edwards a déclaré dans un communiqué qu’il avait fait preuve d’un mauvais jugement et tenté des plaisanteries qui avaient offensé le personnel. Il a également dit ne pas être d’accord avec la procédure, mais a accepté qu’il ne pouvait plus occuper ce poste.

La secrétaire à la Science, Liz Kendall, a dressé un tableau plus sévère. Kendall a déclaré avoir vu des preuves de langage vulgaire et sexuel dans les échanges d’Edwards avec le personnel. Elle a dit que des femmes avaient confié à l’enquêteur qu’elles s’étaient senties offensées, choquées et mal à l’aise après des interactions avec lui.

L’ICO a indiqué que l’enquête avait établi qu’il y avait matière à répondre et conclu que le comportement d’Edwards était en deçà du niveau attendu d’un responsable public. Le bureau n’a pas fourni de détails supplémentaires sur les conclusions lorsque la BBC l’a interrogé.

Edwards occupait le poste de commissaire à l’information depuis 2022. Jon Baines, spécialiste senior de la protection des données chez Mishcon de Reya, a déclaré à la BBC que les commissaires à l’information du Royaume-Uni et les titulaires de la fonction qui les a précédés avaient tous effectué des mandats complets depuis 1984, ce qui fait de la démission d’Edwards une première du genre.

Cette démission intervient à un moment tendu pour l’ICO. Le régulateur fait l’objet de critiques de la part de groupes de défense de la vie privée pour sa gestion des plaintes publiques en matière de protection des données. Le Good Law Project et Open Rights Group ont contesté l’approche du régulateur, affirmant qu’il avait écarté un grand nombre de plaintes du public.

Jim Killock, directeur exécutif de l’Open Rights Group, a qualifié le départ d’Edwards d’occasion pour le gouvernement de nommer un régulateur plus enclin à faire respecter les règles.

L’autorité de l’ICO compte pour l’IA parce que l’agence applique les règles qui encadrent la manière dont les entreprises collectent, entraînent, stockent et partagent les données personnelles. Le Royaume-Uni a évité d’adopter une loi unique sur l’IA à l’image de l’AI Act de l’Union européenne, de sorte que les régulateurs existants portent une grande partie de la charge. Pour les systèmes d’IA, cela signifie souvent que le droit de la protection des données fixe la première limite.

L’ICO peut enquêter sur les usages abusifs des données, imposer des changements et prononcer des amendes. Dans les cas graves, il peut infliger aux organisations jusqu’à 17,5 millions de livres sterling ou 4 % du chiffre d’affaires mondial de l’exercice financier précédent, en retenant le montant le plus élevé.

Ce pouvoir de sanction a déjà visé de grandes plateformes technologiques. L’ICO a infligé à TikTok une amende de 12,7 millions de livres sterling en 2023 après avoir constaté que l’entreprise avait mal utilisé les données d’enfants. Il a également infligé à Reddit une amende de 14 millions de livres sterling après avoir conclu que la plateforme avait utilisé illégalement des informations personnelles d’enfants et n’avait pas vérifié l’âge des utilisateurs avec suffisamment de rigueur.

Pour les développeurs d’IA, la question pratique reste la même : les données d’entraînement, les données des utilisateurs et la vérification de l’âge relèvent tous du champ de compétence de l’ICO. Un fournisseur de chatbot, un hébergeur de modèle ou une plateforme sociale qui traite des données personnelles d’utilisateurs britanniques peut faire l’objet d’un examen, même sans loi dédiée à l’IA.

Le gouvernement prévoit également de remplacer le poste de commissaire à l’information par une Information Commission. Baines a déclaré que ce changement signifie que les ministres devront recruter un nouveau président tout en stabilisant le régulateur après le départ d’Edwards.

L’ICO a indiqué que son conseil d’administration et son équipe dirigeante mèneront les travaux du bureau pendant la transition. Cela assure au régulateur une continuité dans les actions en cours, mais les ministres font désormais face à une pression sur la prochaine nomination.

Le prochain dirigeant héritera de trois tâches difficiles : rétablir la confiance au sein de l’ICO, répondre aux critiques des défenseurs de la vie privée et définir une posture de contrôle crédible pour les systèmes d’IA qui s’appuient sur des données personnelles.