Els repositoris oberts de conjunts de dades com Hugging Face han facilitat molt la feina de qui entrena models d'intel·ligència artificial, però també han creat una tensió creixent entre la cultura de dades obertes d'aquestes plataformes i les condicions d'ús i les lleis de protecció de dades de les xarxes socials d'on s'extreuen els continguts. Ja hi ha hagut altres casos de grans conjunts de dades rastrejats massivament que han hagut de retirar-se després de pressió pública.
El 3 de setembre ha aparegut a Hugging Face un nou cas extrem: un usuari identificat només com «kuben-developer» ha penjat un conjunt de dades amb 4.500 milions de registres de vídeos de TikTok, fruit de tres setmanes rastrejant l'API privada per a Android de la plataforma mitjançant registres de dispositiu anònims que no requereixen iniciar sessió. Segons la fitxa del mateix conjunt de dades, el rastreig va arribar a recollir 5.940 milions de vídeos i 3.230 milions de perfils de creadors, dels quals se n'han publicat 4.500 milions en 27 fitxers Parquet comprimits que sumen uns 289 GB, amb subtítols, comptadors d'interacció, so, país i moment de publicació de cada vídeo. La mateixa fitxa reconeix que l'extracció «va incomplir les condicions d'ús» de TikTok i que els subtítols «compten com a dades personals» sota el Reglament General de Protecció de Dades europeu, encara que s'haguessin publicat en obert, i trasllada a qui es descarregui les dades l'obligació de no fer-les servir per identificar, perfilar o localitzar persones concretes.
El cas és rellevant perquè posa de manifest un buit estructural: les condicions d'ús d'una plataforma xoquen amb la facilitat amb què avui es poden publicar en obert dades personals massives en repositoris pensats per entrenar IA, i deixa oberta la pregunta de qui n'hauria de respondre, si Hugging Face per allotjar-lo o la persona que l'ha penjat. També il·lustra com de barat s'ha tornat construir conjunts de dades multimodals enormes: el cost del rastreig, segons s'ha explicat, va ser d'uns 950 dòlars al mes.
Fins al moment de conèixer-se la notícia, ni TikTok ni Hugging Face n'havien fet cap valoració pública ni s'havia confirmat cap retirada del conjunt de dades, i no hi ha manera de saber quantes vegades ja s'havia descarregat. Fer complir el RGPD contra un usuari anònim és, a més, legalment complex, cosa que fa dubtar de fins a quin punt l'avís de responsabilitat inclòs a la fitxa protegeix realment les persones les dades de les quals hi han acabat.