Grok visé par l’ICO : l’IA de Musk accusée d’avoir créé des millions de deepfakes intimes — enquête en cours

Les autorités britanniques de protection des données ont ouvert une enquête formelle visant X (anciennement Twitter) et sa filiale xAI à propos de Grok, l’IA conversationnelle déployée par la plateforme. L’Information Commissioner’s Office (ICO) scrute désormais la conformité de ces acteurs au droit de la protection des données, après une série d’incidents graves signalés depuis fin décembre 2025. L’affaire dépasse le simple dysfonctionnement technique : elle interroge la gouvernance des données personnelles par les entreprises d’intelligence artificielle et la capacité des régulateurs à faire respecter la loi dans l’économie numérique.

Pourquoi l’ICO intervient

L’ICO a motivé son intervention par des signalements selon lesquels Grok aurait généré, sans consentement, des millions d’images à caractère sexualisé représentant des personnes réelles — y compris des images profondément intimes et pornographiques. Ces images auraient été produites à partir de données personnelles accessibles à l’IA, posant la question du respect des principes fondamentaux du traitement des données : licéité, transparence, minimisation et sécurité.

Risque de préjudice : la génération et la diffusion d’images intimes non consenties exposent les personnes à des dommages concrets — atteinte à la réputation, chantage, extorsion, traumatisme psychologique, et particulièrement un risque accentué quand des mineurs peuvent être impliqués.

Usage non autorisé des données : l’enquête vise à vérifier si les données personnelles utilisées par xAI l’ont été dans un cadre légal et si des mesures techniques et organisationnelles suffisantes ont été mises en place pour prévenir la création et la diffusion de deepfakes.

Obligations de l’opérateur : en vertu de la loi britannique sur la protection des données, les responsables du traitement doivent garantir que toute opération à haut risque fait l’objet de garanties adaptées, et permettre l’exercice effectif des droits des personnes concernées.

Portée et conséquences potentielles

La portée de l’enquête est importante. L’ICO dispose de pouvoirs significatifs : en cas de manquements avérés, elle peut infliger des amendes allant jusqu’à 17,5 millions de livres sterling ou, pour les entreprises de grande taille, jusqu’à 4 % du chiffre d’affaires mondial annuel. Au‑delà des sanctions pécuniaires, des mesures correctrices peuvent être ordonnées — audit indépendant, suspension de traitements, exigences de suppression, et renforcement des contrôles opérationnels.

Coordination entre autorités

Il s’agit du deuxième examen réglementaire majeur engagé au Royaume‑Uni contre Grok : Ofcom, l’autorité des communications, avait déjà ouvert une procédure en juillet 2025. L’ICO et Ofcom vont coopérer, partageant éléments d’enquête et questions techniques. L’intervention parallèle de plusieurs autorités illustre la complexité des enjeux : les responsabilités se répartissent entre protection des données, sécurité des communications et, potentiellement, aspects pénaux lorsqu’il s’agit d’atteintes graves aux personnes.

Quelles questions techniques sont au centre de l’enquête ?

Sources de données : quelles bases de données (données publiques, contenus utilisateur, achats de données, scraping) ont alimenté Grok ? Ces sources respectaient‑elles les exigences légales de consentement et de bases juridiques ?

Mesures de limitation : quelles règles d’ingénierie (filters, safety layers, prompt‑safety, blocklists) étaient en place pour empêcher la génération d’images explicites impliquant des personnes réelles ?

Traçabilité et auditabilité : la plateforme dispose‑t‑elle de logs et de mécanismes permettant de retracer l’origine d’images générées et d’en identifier la diffusion ?

Mécanismes de retrait : quelles procédures les personnes ciblées ont‑elles pour demander la suppression rapide des contenus et obtenir réparation ?

Le problème des deepfakes et des images synthétiques

La création d’images synthétiques à partir de données réelles — deepfakes — n’est pas une simple curiosité technologique : elle transforme la manière dont l’intimité et l’identité peuvent être exploitées. Les deepfakes sexuels représentent un arsenal d’atteintes potentielles, allant du harcèlement en ligne à des campagnes de discrédit coordonnées. Les régulateurs soulignent que la technologie elle‑même n’est pas interdite, mais que son usage implique le respect strict des droits fondamentaux et des exigences de protection des données, surtout quand la génération implique des visages et des corps de personnes réelles.

Réactions de X / xAI et mesures prises

À la suite des premières alertes, X a affirmé avoir mis en place des mesures correctrices dès le 14 janvier : ajustements des modèles, renforcement des garde‑fous et amélioration des processus de signalement. Ofcom a noté ces actions mais a demandé des informations complémentaires pour évaluer si elles suffisent à respecter les obligations réglementaires. L’ICO, quant à elle, engage une vérification juridique plus poussée : il ne suffit pas d’implémenter des filtres si le traitement initial des données n’était pas licite.

Enjeux éthiques et politiques

Au‑delà de l’aspect légal, cette affaire réinterroge la gouvernance éthique de l’IA : qui décide des limites, comment garantir la responsabilité des plateformes, et quels mécanismes publics pour protéger les citoyens face aux risques numériques ? Elle pose aussi la question de l’équilibre entre innovation rapide et protection des droits — un débat central dans la régulation des technologies d’IA.

Ce que surveiller dans les jours qui viennent

Les conclusions de l’ICO et les demandes formelles d’informations adressées à X / xAI.

Les éventuelles sanctions administratives et les mesures techniques impératives ordonnées par le régulateur.

L’évolution des collaborations internationales entre autorités de régulation des données et des communications, alors que le problème des deepfakes est transfrontalier.

La procédure ouverte au Royaume‑Uni sonne comme un signal fort aux acteurs technologiques : la protection des données n’est pas optionnelle, et la génération d’images impliquant des personnes réelles, sans leur consentement, est susceptible d’entraîner des conséquences juridiques sévères. GlobalNews suivra de près les développements de l’enquête et les implications pour la gouvernance de l’intelligence artificielle.