Usage de la reconnaissance faciale en pharmacie: la bannière américaine Rite Aid sanctionnée

Les apparences sont souvent trompeuses. Pendant huit ans, des milliers de clients de la chaîne de pharmacies américaine Rite Aid ont été faussement accusés de vol à l’étalage ou d’autres comportements inappropriés, à la suite de leur identification par le logiciel de reconnaissance faciale utilisé par l’entreprise. Des clients suivis par les employés, fouillés, publiquement accusés et parfois sortis de la pharmacie par la police. Une pratique «inconsidérée», «humiliante» et préjudiciable, qui ne respecte ni la vie privée, ni les données personnelles des clients, a estimé la Commission fédérale du commerce américaine (FTC), qui a déposé une plainte à l’encontre de Rite Aid pour mauvais usage de la reconnaissance faciale. «Les violations de l'ordonnance ont mis en danger les informations sensibles des consommateurs», a en outre déclaré Samuel Levine, directeur du Bureau de la protection des consommateurs de la FTC, dans un communiqué. Bilan: interdiction pour Rite Aid d’utiliser un logiciel de reconnaissance faciale basé sur l’intelligence artificielle à des fins de surveillance pendant cinq ans. «Cette ordonnance inédite montre clairement que la Commission veillera à protéger le public contre les pratiques déloyales en matière de surveillance biométrique et de sécurité des données», a ajouté Samuel Levine.Ce procédé est assez courant aux États-Unis, assure Céline Castets-Renard, professeure à la faculté de droit civil à l’Université d’Ottawa et titulaire de la Chaire de recherche sur l'IA responsable à l’échelle mondiale. «La FTC est compétente dans les domaines de la concurrence, de la consommation et de la protection de données personnelles dans certaines législations. Aux États-Unis, il n’y a pas d’organe unique, équivalent du Commissariat à la protection de la vie privée que nous avons au Canada.» Ces attributions sont donc généralement allouées à la Commission fédérale du commerce, même si cette dernière ne peut pas avoir les yeux partout. De fausses accusations envers les clients de couleurEt ce n’est pas la première fois que la FTC rappelle Rite Aid à l’ordre. En 2010 déjà, la Commission déclarait que l’entreprise n’avait pas protégé les informations financières et médicales sensibles, et n’avait par conséquent pas respecté les termes d’une précédente ordonnance de la FTC concernant la sécurité des données. En parallèle, Rite Aid a été condamnée à payer une amende d’un million de dollars au ministère américain de la Santé et des services sociaux. «Lorsque la FTC se rend compte que l’accord préalable n’est pas respecté, elle sanctionne davantage encore», précise Céline Castets-Renard. À lire aussi: Comment l'intelligence artificielle va faire progresser les soins de santé en 2024, selon les expertsUne attention toute particulière a alors été portée à la collecte des données liées aux caractéristiques physiques des individus. C’est justement là que le bât blesse: entre 2012 et 2020, Rite Aid a collecté des dizaines de milliers d'images d'individus, dont beaucoup étaient de mauvaise qualité selon la FTC, puisqu’elles provenaient de caméras de sécurité, de téléphones ou même de reportages, générant «des milliers de correspondances faussement positives», parfois avec une personne située à des milliers de kilomètres, ou signalée dans plusieurs magasins simultanément. En ajoutant à ces incohérences les biais ethniques inhérents aux logiciels de reconnaissance faciale basés sur l’intelligence artificielle, on obtient un cocktail explosif. En effet, la FTC souligne que «la technologie de reconnaissance faciale de Rite Aid était plus susceptible de générer des faux positifs dans les magasins situés dans des communautés majoritairement noires et asiatiques que dans des communautés majoritairement blanches». Une tendance que confirme Céline Castets-Renard. «Le problème de la mauvaise identification tient aux bases de données d’entraînement de ces systèmes, et à la représentativité des données qui s’y trouvent. La plupart des systèmes sont entraînés avec des bases contenant beaucoup plus d’images d’hommes blancs que de femmes noires par exemple. Selon les travaux de Joy Buolamwini, chercheuse au MIT Media Lab et fondatrice de la Ligue de justice algorithmique (Algorithmic Justice League), les taux de reconnaissance sont d’environ 68% pour les femmes noires et 99% pour les hommes blancs. Cela veut dire que les logiciels se trompent 3 fois sur 10 concernant une femme noire, que ces dernières sont mal identifiées et qu’elles devront davantage prouver leur identité, ce qui peut porter atteinte à la présomption d’innocence.» Les pharmacies passent sous le radar des autoritésAutre point crucial: Rite Aid n’avait jamais jugé utile d’informer ses clients, fichés sans leur consentement. Un minimum, mais pas une obligation selon la spécialiste de l’intelligence artificielle: «ce sont des données personnelles et sensibles selon les réglementations nationales, car les éléments du visage sont des données biométriques; certaines législations protègent davantage ces données comme en Europe ou au Québec (via la loi 25, ndlr).» Les employés, eux, n’avaient tout simplement pas été formés à utiliser cette technologie, signale la FTC. «Même après que Rite Aid soit passé à une technologie permettant aux employés de signaler une mauvaise correspondance, et les obligeant à l'utiliser», la bannière n’a jamais vérifié s’ils respectaient cette nouvelle politique.De plus en plus utilisée dans les sphères publique et privée, la reconnaissance faciale agit sous deux formes: l’authentification (lorsque l’on a déjà l'identité de la personne et que l’on cherche à la vérifier); et l’identification (lorsque l’on ne connaît pas l’identité de la personne et qu’on va chercher à savoir qui elle est, via une base de données). Mais qu’en est-il des établissements de santé comme les pharmacies qui manipulent des données confidentielles? Aux États-Unis, explique Céline Castets-Renard, la loi fédérale sur la santé (Loi de 1996 sur la portabilité et la responsabilité en matière d'assurance maladie, dite loi HIPAA), «concerne plutôt les établissements de soins, les établissements hospitaliers et leur personnel. Les pharmacies, elles, ne sont pas concernées». La simple collecte de données sur les ordonnances, même sans reconnaissance faciale, est pourtant une collecte de données sensibles. «Il y a un sérieux manque de protection de ces informations», conclut-elle. À lire aussi: L’intelligence artificielle en renfort en pharmacie communautaireRite Aid a ainsi profité d’un vide juridique commun à la plupart des pays. «On ne s’attend pas qu’une pharmacie en fasse usage, donc ce n'est pas elle que les pouvoirs publics vont contrôler en premier. On aurait plutôt peur des fuites de données de santé sur les ordonnances. Et tant qu’on ne vient pas les arrêter, cela peut se reproduire, prévient Céline Castets-Renard. Voilà la limite principale dans cette affaire: il n’y a pas de violation d’une quelconque loi qui interdirait l’utilisation de la reconnaissance faciale dans des magasins. D’accord, il y a un enjeu de vols à l’étalage, mais n’est-on pas en train de déployer un système de contrôle et de surveillance qui va bien au-delà du problème que l’on cherche à régler?», s’interroge l’universitaire. La FTC a intimé l’entreprise d’effacer toutes les données, y compris biométriques, collectées par son système de reconnaissance faciale, et d’en informer ses clients.Un vide juridique que les États cherchent à réglementerUne régulation de ces systèmes est-elle aujourd’hui possible? Si Rite Aid doit désormais mieux sécuriser ses futurs systèmes de surveillance, en supprimant notamment les photos et les informations collectées par son logiciel de reconnaissance faciale, la question est toute autre à l’échelle mondiale. Le Canada n’a pour l’heure aucune loi encadrant l’intelligence artificielle – le projet de loi C-27 concernant la protection des données inquiète d’ailleurs pour son manque de précision quant aux préjudices causés par la reconnaissance faciale –, et le Québec pourrait s'appuyer sur le projet de loi 3 entourant les renseignements de santé. Aux États-Unis, le président Biden a signé au mois d’octobre dernier un Executive Order sur la régulation de l’intelligence artificielle, qui pointe du doigt les biais de discrimination – une décision exécutive et non législative. «À moyen voire court terme, la mise en oeuvre de ce décret devrait permettre d’aboutir à l’interdiction de ce genre de pratiques, ou au moins à obliger les entreprises comme Rite Aid de gérer ces données, de faire des vérifications pour prévenir les cas de discriminations a minima», reconnaît Céline Castets-Renard, qui milite toutefois pour une régulation rapide et globale. «Les impacts sociaux d’une surveillance d’acteurs publics ou privés sur les citoyens seraient directs. Le fait même que Rite Aid utilise ce type de logiciel pour de simples questions de vols est choquant.»

Usage de la reconnaissance faciale en pharmacie: la bannière américaine Rite Aid sanctionnée

Pour accéder au contenu, connectez-vous ou créez un compte gratuit.

Catégories connexes