Démarrer · Simple
Les données de l’entreprise sont-elles en sécurité dans les outils d’IA ? Ce qu’il faut vérifier avant que le personnel y colle des documents
Le personnel colle déjà des e-mails, des offres et des tableaux dans des outils d’IA, que l’entreprise ait une règle ou non. Savoir si c’est sûr n’est pas une affaire d’opinion : c’est écrit dans les conditions de l’offre utilisée.
Photo : Nilo Velez, domaine public (CC0)
Dans ce guide
En bref
Cela dépend de l’offre et de ses conditions, et vous pouvez les vérifier vous-même. Cinq points en décident : si vos saisies servent à l’entraînement, où les données sont stockées, qui peut les voir chez l’éditeur, combien de temps elles sont conservées, et s’il existe un accord de traitement des données. Certaines choses ne doivent jamais y être collées, quelle que soit l’offre.
Peut-on utiliser l’IA avec les données de l’entreprise en toute sécurité ?
C’est aussi sûr que les conditions de l’offre précise que votre personnel utilise, et ces conditions diffèrent d’une offre à l’autre du même produit. Les offres gratuites et grand public ont souvent d’autres règles que les offres professionnelles, surtout sur la question de savoir si ce que vous tapez peut servir à améliorer les modèles de l’éditeur. Le nom de l’outil vous apprend donc peu de chose. L’offre, si.
Il y a deux risques distincts. Le premier est ce que l’éditeur fait de votre texte : le stocker, le laisser lire par ses employés, entraîner ses modèles dessus. Le second est ce que votre propre personnel y met : de bonnes conditions ne rendent pas sûr un texte qui n’aurait jamais dû quitter l’entreprise. Le premier risque se règle en lisant ; le second, par une règle que tout le monde connaît.
Que faut-il vérifier dans les conditions de votre offre ?
Vérifiez cinq points, et tirez chaque réponse des conditions ou des documents de confidentialité de l’éditeur lui-même, pas d’un site comparateur.
| Point | Question à laquelle répondre | Une bonne réponse |
|---|---|---|
| Entraînement | Nos saisies et nos fichiers servent-ils à entraîner ou à améliorer des modèles ? | Non, ou seulement si nous l’activons nous-mêmes |
| Lieu de stockage | Dans quel pays ou quelle région nos données sont-elles stockées et traitées ? | Une région nommée, compatible avec vos obligations |
| Accès chez l’éditeur | Qui peut lire nos conversations, et quand ? | Un accès limité et journalisé, pour des raisons énoncées |
| Conservation | Combien de temps conversations et fichiers sont-ils conservés, et pouvons-nous les supprimer ? | Une durée énoncée, et la suppression sur demande |
| Accord de traitement des données | L’éditeur en signe-t-il un pour cette offre ? | Oui, disponible pour l’offre que vous utilisez |
Notez les réponses avec la date et le nom de l’offre. Les conditions changent, et « nous avons vérifié cela au printemps » ne vaut quelque chose que si quelqu’un sait ce qui a été vérifié.
Deux autres points comptent dès que plus de quelques personnes utilisent l’outil. L’entreprise peut-elle gérer les comptes de façon centralisée, pour qu’une personne qui part perde son accès le dernier jour ? Et les conversations d’un employé sont-elles invisibles pour les autres, sauf partage volontaire ?
Quand faut-il un accord de traitement des données ?
Il en faut un dès que l’outil traite des données personnelles pour votre compte. Selon le RGPD, une entreprise qui fait traiter des données personnelles par un prestataire, son sous-traitant, a besoin d’un contrat avec lui qui encadre ce traitement. Noms, adresses e-mail, correspondance avec les clients et dossiers du personnel sont tous des données personnelles.
En pratique, cela veut dire : si l’offre que votre personnel utilise ne propose pas un tel accord, les données personnelles n’y ont pas leur place. Si l’éditeur traite les données hors de l’Union européenne, le RGPD pose des conditions supplémentaires à ce transfert, et les documents de l’éditeur doivent dire comment elles sont remplies. C’est le moment où une courte conversation avec la personne chargée de la protection des données dans votre entreprise évite des ennuis plus tard.
Que ne faut-il jamais coller dans un outil d’IA ?
Quatre sortes de contenus restent dehors, quoi que dise l’offre. La raison n’est pas qu’une fuite soit certaine. C’est que le dommage, s’il se produit, ne se répare pas.
| Sorte de données | Peut-elle entrer ? | Pourquoi |
|---|---|---|
| Textes publiés, brouillons marketing maison, questions générales | Oui | Rien n’y est secret |
| Procédures et notes internes sans noms | Oui, dans l’outil approuvé | Dommage faible, et les conditions ont été vérifiées |
| Données personnelles de clients ou du personnel | Seulement avec un accord et une base légale | Le RGPD s’y applique |
| Contrats et documents sous accord de confidentialité | Non, sauf si l’autre partie a donné son accord | Vous avez promis la confidentialité à quelqu’un d’autre |
| Chiffres, prix et projets non publiés | Non, ou seulement dans un outil approuvé pour cela | Le dommage d’une fuite est irréversible |
| Mots de passe, clés d’accès, coordonnées bancaires | Jamais | Aucune tâche n’en a besoin, et qui les détient détient le compte |
Une habitude utile couvre beaucoup de cas : enlevez les noms. Une lettre de réclamation où le nom du client, son adresse et son numéro de commande sont remplacés par des mentions génériques se résume ou reçoit une réponse tout aussi bien, en général.
Comment sécuriser l’usage de l’IA dans l’entreprise ?
Vous choisissez un outil, vous le vérifiez une fois et vous donnez aux gens une règle courte. Interdire purement et simplement les outils d’IA marche rarement : les gens passent par des comptes privés, et alors plus rien n’a été vérifié.
- Savoir ce qui est utiliséDemandez au personnel quels outils il utilise aujourd’hui, et pour quoi. Demandez-le sans reproche, sinon vous n’aurez pas la vraie liste.
- Choisir un outil et une offreRetenez une offre avec des comptes d’entreprise et vérifiez les cinq points ci-dessus. Notez les réponses.
- Écrire la règleUne page : quel outil, ce qui peut y entrer, ce qui n’y entre jamais, à qui demander.
- L’expliquerQuinze minutes en réunion d’équipe, avec des exemples tirés de votre propre travail, font plus qu’un document que personne n’ouvre.
- La revoirRelisez les conditions et la règle une fois par an, et chaque fois que l’éditeur annonce des changements.
La règle elle-même peut être aussi courte que ceci :
Notre façon de faire
Quand nous intégrons l’IA au travail d’une entreprise, nous décidons d’abord de quelles données la tâche a besoin et desquelles elle n’a pas besoin, et nous passons avec vous les cinq points ci-dessus en revue pour les outils concernés. Les droits d’accès sont réglés avant qu’un assistant ne reçoive le moindre fichier interne. Nous ne communiquons jamais les informations de nos clients.
Si un assistant doit répondre à partir de fichiers internes, les droits d’accès deviennent la question centrale ; voyez assistants IA pour la façon dont cela se construit. L’endroit où vivent les documents et les sauvegardes fait partie du même tableau, traité sous sécurité et sauvegardes.
Les questions qu’on nous pose souvent
Vous préférez que ce soit réglé sans vous en charger ?
Dites-nous sur quoi vous travaillez. Une personne vous répond sous un jour ouvré.