Que signifie le RGPD dans le contexte de l’IA ?

Le règlement général sur la protection des données protège les données à caractère personnel. Cela inclut les informations qui peuvent être attribuées directement ou indirectement à une personne physique, par exemple les noms, les adresses e-mail, les numéros de téléphone, les données clients, les données du personnel ou les dossiers de candidature.

Dès que de telles données sont traitées, se posent notamment les questions de savoir s’il existe une base juridique, combien de temps les données peuvent être conservées, qui peut y accéder et quels sont les droits des personnes concernées.

Cela vaut bien sûr aussi lorsque ces données sont traitées à l’aide d’un système d’IA. Le RGPD est donc un élément important de toute stratégie IA. Mais il ne constitue pas à lui seul toute la stratégie IA.

Toutes les informations sensibles ne sont pas des données à caractère personnel

Bon nombre des informations les plus précieuses d’une entreprise ne relèvent pas directement du RGPD. Il s’agit par exemple des calculs, des listes de prix, des idées de produits, des documents de fabrication, du code source, des stratégies commerciales, des offres, des projets de contrats, des planifications internes ou des chiffres d’affaires.

Ces informations peuvent être d’une importance énorme pour une entreprise. Pourtant, elles ne sont pas automatiquement des données à caractère personnel.

C’est précisément là qu’apparaît souvent un faux sentiment de sécurité. Une solution peut être mise en place de manière conforme au droit de la protection des données tout en présentant un risque considérable pour des informations confidentielles de l’entreprise.

La question décisive n’est donc pas seulement :

Avons-nous le droit de traiter ces données ?

Mais aussi :

Devons-nous seulement transmettre ces informations à ce service ?

Protection des données et sécurité des données ne sont pas la même chose

La protection des données se concentre sur les données à caractère personnel. La sécurité des données concerne toutes les informations dignes de protection.

Il s’agit de questions très concrètes :

• Où les données sont-elles traitées ?
• Qui peut y accéder ?
• Qui exploite l’infrastructure technique ?
• Les contenus sont-ils enregistrés ?
• Sont-ils utilisés à d’autres fins ?
• Peuvent-ils être utilisés pour l’entraînement d’un modèle ?
• Que se passe-t-il en cas d’incident de sécurité ?
• Les données peuvent-elles être entièrement supprimées ?
• Quelles possibilités une entreprise a-t-elle si les conditions d’un fournisseur changent ?

Ces questions ne concernent pas uniquement les données à caractère personnel. Elles s’appliquent tout autant aux secrets d’affaires, aux documents techniques, aux stratégies clients et au savoir-faire interne.

Être conforme au RGPD ne signifie pas automatiquement être sûr

L’expression « conforme au RGPD » est souvent utilisée comme un label de qualité général. En pratique, sans explication supplémentaire, cette affirmation n’est que peu significative.

Une entreprise devrait examiner plus précisément à quoi se rapporte cette affirmation :

• S’agit-il de l’emplacement des serveurs ?
• Des dispositions contractuelles ?
• De la suppression des données ?
• De l’utilisation des saisies à des fins d’entraînement ?
• Des droits d’accès au sein du fournisseur ?
• Ou de la base juridique du traitement ?

Une solution peut être conforme au RGPD dans un domaine précis tout en comportant des risques ailleurs. C’est pourquoi il vaut toujours la peine d’examiner l’ensemble du système.

L’emplacement du serveur ne suffit pas à lui seul

De nombreux fournisseurs vantent le fait que les données sont stockées en Europe. Cela peut être un point important. Mais cela ne répond pas à toutes les questions.

Il est également déterminant de savoir quelle entreprise exploite le service, à quel droit cette entreprise est soumise et qui peut accéder techniquement ou juridiquement aux données.

Dans ce contexte, on cite souvent le CLOUD Act américain. Cette loi peut, sous certaines conditions, obliger les entreprises américaines à remettre des données aux autorités américaines. Cela peut aussi concerner des données qui ne sont pas stockées aux États-Unis.

Si et dans quelle mesure cela est pertinent dans un cas concret dépend de la configuration technique et juridique spécifique.

Pour les entreprises, cela signifie : l’emplacement de stockage est important. Le contrôle juridique sur les données l’est au moins autant.

Que se passe-t-il avec les données dans les grands modèles de langage ?

Lors de l’utilisation de modèles de langage, on saisit souvent des contenus issus du travail quotidien. Les collaborateurs font améliorer des textes, résumer des documents, vérifier des contrats, rédiger des offres ou répondre à des questions techniques.

Des informations sensibles peuvent alors rapidement parvenir à des systèmes externes. Les utilisateurs ne sont pas toujours conscients des données qu’ils transmettent à ce moment-là.

Le risque ne résulte souvent pas d’un comportement fautif intentionnel. Il naît de la commodité et de l’absence de règles.

C’est pourquoi les entreprises devraient définir clairement quelles informations peuvent être saisies dans des systèmes d’IA externes et lesquelles ne le peuvent pas. La sécurité technique joue également un rôle important.

Une solution d’entreprise centrale avec des droits d’accès réglementés est, dans de nombreux cas, plus sûre que l’utilisation incontrôlée de comptes privés par des collaborateurs individuels.

La dépendance vis-à-vis des fournisseurs fait également partie de l’évaluation des risques

De nombreuses technologies d’IA performantes proviennent aujourd’hui des États-Unis. Pour les entreprises, cela offre de grandes opportunités. En même temps, cela crée une dépendance vis-à-vis des fournisseurs, des plateformes et des cadres politiques sur lesquels les entreprises européennes n’ont qu’une influence limitée.

Les services peuvent modifier leurs prix. Des fonctions peuvent disparaître. Les conditions d’utilisation peuvent être adaptées. L’accès à certains modèles peut être limité régionalement. Des décisions politiques ou des règles d’exportation peuvent également influencer la disponibilité des technologies.

Les entreprises ne devraient donc pas seulement se demander quelle solution est aujourd’hui la plus performante. Elles devraient aussi vérifier à quel point cette technologie sera disponible à long terme.

La situation devient particulièrement critique lorsque des processus centraux dépendent entièrement d’un seul fournisseur. Une décision technique devient alors rapidement un risque entrepreneurial.

Où les entreprises doivent aller au-delà du RGPD

Une utilisation responsable de l’IA nécessite plus qu’un contrôle de protection des données. Elle exige des règles claires pour les données de l’entreprise, des mesures de sécurité techniques, des droits d’accès réglementés, un choix réfléchi des fournisseurs et des contrats qui définissent de manière compréhensible ce qu’il advient des données.

Elle nécessite également une stratégie pour le cas où un service ne serait plus disponible, ainsi que des collaborateurs qui savent quelles informations ils peuvent saisir dans un système d’IA.

Le RGPD reste important. Mais il ne constitue qu’une partie de l’ensemble.

Vimmera, matière à réflexion

Demandez-vous un instant :

• Savez-vous quelles données vos collaborateurs saisissent déjà aujourd’hui dans des systèmes d’IA ?
• Existe-t-il des règles claires à ce sujet ?
• Savez-vous où ces données sont traitées ?
• Connaissez-vous le cadre juridique des fournisseurs utilisés ?
• Est-il prévu que les saisies soient enregistrées ou utilisées à des fins d’entraînement ?
• Pourriez-vous changer de fournisseur si les prix, les conditions ou la disponibilité changeaient ?
• Les données confidentielles de l’entreprise qui ne relèvent pas du RGPD sont-elles également protégées ?

Si vous ne pouvez pas répondre clairement à plusieurs de ces questions, l’utilisation de l’IA dans votre entreprise devrait être examinée de plus près.

Question pratique de la semaine

Votre entreprise serait-elle suffisamment protégée si, demain, toutes les données à caractère personnel étaient traitées de manière entièrement conforme au RGPD ?

Ou subsisterait-il malgré tout des risques pour les secrets d’affaires, les connaissances internes et les informations stratégiquement importantes ?

À retenir

Le RGPD est important. Il protège les données à caractère personnel et établit des règles claires pour leur traitement. Mais dans le cadre de l’utilisation de l’IA, cela ne suffit pas à lui seul.

Les entreprises doivent tout autant veiller à la sécurité des données, à la confidentialité, au contrôle technique, aux possibilités d’accès juridiques et à la dépendance vis-à-vis de fournisseurs individuels.

Toutes les informations importantes ne sont pas des données à caractère personnel. Mais de nombreuses informations sont si précieuses pour une entreprise qu’elles doivent être protégées avec au moins autant de soin.

Une bonne stratégie IA ne commence donc pas par la question de savoir si une solution est conforme au RGPD. Elle commence par la question de savoir quelles données l’entreprise doit protéger et dans quelles conditions ces données peuvent être traitées.

Envie d’y regarder de plus près ?

Vous souhaitez savoir quels risques existent lors de l’utilisation de l’IA dans votre entreprise et comment concilier de manière pertinente protection des données, sécurité des données et indépendance technologique ?

Écrivez-nous volontiers à info@vimmera.de. Ensemble, nous examinerons votre utilisation actuelle de l’IA et développerons une approche adaptée à vos exigences, à vos données et à votre entreprise.