Check-list de confidentialité avant d’utiliser l’IA générative avec vos données

Les outils d’IA générative sont faciles à adopter. C’est leur force, et aussi leur risque : dès qu’un collaborateur colle une liste de clients, un contrat ou un fichier de paie dans une fenêtre de discussion, des données de l’entreprise sortent des systèmes que vous maîtrisez. Avant de déployer l’IA générative auprès d’une équipe, il est utile de passer en revue une courte check-list. Elle ne remplace pas un avis juridique : vérifiez les règles de protection des données qui s’appliquent à vous, dans chaque pays où vous opérez et conservez des données.

Savoir quelles données vont où

Commencez par classer les données que vos équipes sont susceptibles d’utiliser. Trois niveaux suffisent pour la plupart des entreprises :

• Publiques : contenus marketing, prix publiés, contenu du site web.
• Internes : procédures, comptes rendus de réunion, rapports internes.
• Confidentielles ou personnelles : dossiers clients, dossiers du personnel, informations financières, contrats, et tout ce qui permet d’identifier une personne.

Associez ensuite chaque outil à ces niveaux. Quels services d’IA sont autorisés ? Où traitent-ils et stockent-ils les données ? Le fournisseur utilise-t-il vos saisies pour entraîner ses modèles ? Une application grand public et un déploiement professionnel configuré dans votre propre environnement sont très différents, même lorsque l’interface se ressemble. Mettez la réponse par écrit, par exemple : « les données internes peuvent aller dans l’outil A ; les données confidentielles restent dans nos systèmes jusqu’à validation ».

Contrôler qui accède à quoi

Un assistant connecté à vos documents n’est sûr que dans la limite de ses droits d’accès. S’il peut lire tout le lecteur partagé, quiconque peut l’interroger peut, en pratique, lire tout le lecteur partagé.

• Connectez l’IA à vos données avec les mêmes droits que vos collaborateurs, et non via un compte unique tout-puissant.
• Utilisez des comptes d’entreprise avec authentification unique plutôt que des inscriptions personnelles.
• Retirez les accès sans délai lors d’un changement de poste ou d’un départ.
• Conservez les clés d’API et les connecteurs dans un espace géré, et non dans des scripts sur l’ordinateur d’un collaborateur.

Définir la conservation et la journalisation

Deux questions sont souvent oubliées : combien de temps les données sont-elles conservées, et qui peut consulter l’historique ?

• Conservation : renseignez-vous sur la durée de stockage des requêtes, des fichiers téléversés et des résultats dans chaque outil, et retenez la durée la plus courte compatible avec votre activité. Supprimez les données de test après un pilote.
• Journalisation : gardez une trace de qui a utilisé quel outil, avec quelles données et quand. Les journaux aident à analyser une erreur et à montrer que les règles sont respectées. Ils contiennent eux-mêmes des données sensibles : protégez-les comme tout document confidentiel.
• Résultats : les synthèses et brouillons générés peuvent aussi contenir des données personnelles. Ils relèvent des mêmes règles que les données sources.

Donner des consignes claires et courtes

La plupart des fuites de données liées à l’IA générative ne sont pas des attaques, mais des raccourcis pris par des collaborateurs de bonne foi. Une consigne d’une page est plus efficace qu’une longue politique que personne ne lit. Elle doit préciser :

• les outils autorisés, et pour quels niveaux de données ;
• ce qui ne doit jamais être saisi dans un outil non autorisé pour cela, par exemple numéros d’identité, mots de passe, données de santé ou de salaire, contrats clients ;
• comment retirer noms et identifiants lorsqu’un exemple anonymisé suffit ;
• que tout résultat produit par l’IA est relu par une personne avant d’atteindre un client ;
• à qui s’adresser en cas de doute, et comment signaler rapidement une erreur, sans chercher de coupable.

Rappelez-la lors de l’intégration des nouveaux arrivants et dans de courtes sessions de rappel, dans les langues de vos équipes.

Commencer petit, puis étendre

Lancez un pilote avec une équipe et un processus, analysez les journaux et les questions qui remontent, puis ajustez les règles avant un déploiement plus large. Dans nos projets, nous mettons généralement ces contrôles en place dès le départ, en même temps que le processus lui-même, pour que la confidentialité soit pensée dès la conception et non ajoutée après coup. Pour être accompagné dans la cartographie de vos données et le choix d’une configuration sûre, réservez une consultation gratuite de 30 minutes ou décrivez votre problématique au concepteur de solutions IA sur la page d’accueil.