Que signifie le RGPD dans le contexte de l’IA ?

Le règlement général sur la protection des données protège les données à caractère personnel. Il s’agit notamment d’informations pouvant être attribuées directement ou indirectement à une personne physique, par exemple des noms, des adresses e-mail, des numéros de téléphone, des données clients, des données du personnel ou des dossiers de candidature.

Dès lors que de telles données sont traitées, se pose notamment la question de savoir s’il existe une base juridique à cet effet, pendant combien de temps les données peuvent être conservées, qui peut y accéder et quels droits possèdent les personnes concernées.

Cela s’applique bien entendu également lorsque ces données sont traitées à l’aide d’un système d’IA. Le RGPD constitue donc un élément important de toute stratégie en matière d’IA. Mais il ne constitue pas à lui seul l’ensemble de la stratégie en matière d’IA.

Toutes les informations sensibles ne sont pas des données à caractère personnel.

Bon nombre des informations les plus précieuses d’une entreprise ne relèvent pas directement du RGPD. Il s’agit par exemple de calculs, de listes de prix, d’idées de produits, de documents de fabrication, de code source, de stratégies commerciales, d’offres, de projets de contrats, de plans internes ou de données chiffrées de l’entreprise.

Ces informations peuvent revêtir une importance considérable pour une entreprise. Elles ne constituent toutefois pas automatiquement des données à caractère personnel.

C’est précisément là qu’un faux sentiment de sécurité apparaît souvent. Une solution peut être correctement configurée sur le plan de la protection des données tout en représentant un risque considérable pour les informations confidentielles de l’entreprise.

La question décisive n’est donc pas seulement la suivante :

Pouvons-nous traiter ces données ?

Mais aussi :

Devrions-nous vraiment transmettre ces informations à ce service ?

La protection des données et la sécurité des données ne sont pas la même chose

La protection des données se concentre sur les données à caractère personnel. La sécurité des données concerne toutes les informations à protéger.

Il s’agit de questions très pratiques :

• Où les données sont-elles traitées ?
• Qui peut y accéder ?
• Qui exploite l’infrastructure technique ?
• Les contenus sont-ils enregistrés ?
• Sont-elles utilisées à d’autres fins ?
• Peuvent-ils être utilisés pour l’entraînement d’un modèle ?
• Que se passe-t-il en cas d’incident de sécurité ?
• Est-il possible de supprimer complètement des données ?
• Quelles possibilités une entreprise a-t-elle lorsque les conditions d’un prestataire changent ?

Ces questions ne concernent pas uniquement les données à caractère personnel. Elles s’appliquent tout autant aux secrets d’affaires, aux documents techniques, aux stratégies clients et au savoir-faire interne.

Conforme au RGPD ne signifie pas automatiquement sûr

Le terme « conforme au RGPD » est souvent utilisé comme un label général de qualité. En pratique, cette affirmation n’est que peu significative sans explication supplémentaire.

Une entreprise devrait examiner plus précisément à quoi se rapporte l’affirmation :

• S’agit-il de l’emplacement des serveurs ?
• Des dispositions contractuelles ?
• De la suppression des données ?
• Concernant l’utilisation des saisies à des fins d’entraînement ?
• Concernant les droits d’accès au sein du fournisseur ?
• Ou concernant la base juridique du traitement ?

Une solution peut être conforme au RGPD dans un domaine précis tout en comportant des risques ailleurs. Il est donc toujours utile d’examiner l’ensemble du système.

L’emplacement du serveur ne suffit pas à lui seul

De nombreux fournisseurs vantent le fait que les données sont stockées en Europe. Cela peut être un point important. Mais cela ne répond pas à toutes les questions.

Il est également déterminant de savoir quelle entreprise exploite le service, à quel droit cette entreprise est soumise et qui peut accéder aux données sur le plan technique ou juridique.

Dans ce contexte, le CLOUD Act américain est souvent mentionné. Cette loi peut obliger les entreprises américaines, sous certaines conditions, à communiquer des données aux autorités américaines. Cela peut également concerner des données qui ne sont pas stockées aux États-Unis.

La question de savoir si, et dans quelle mesure, cela est pertinent dans un cas particulier dépend de la configuration technique et juridique concrète.

Pour les entreprises, cela signifie : le lieu de stockage est important. Le contrôle juridique des données l’est tout autant.

Que se passe-t-il avec les données dans les grands modèles de langage ?

Lors de l’utilisation de modèles linguistiques, des contenus issus du travail quotidien sont souvent saisis. Les collaborateurs font améliorer des textes, résumer des documents, vérifier des contrats, formuler des offres ou répondre à des questions techniques.

Des informations sensibles peuvent ainsi rapidement parvenir dans des systèmes externes. Les utilisateurs n’ont pas toujours conscience des données qu’ils sont en train de transmettre.

Le risque ne résulte souvent pas d’un comportement intentionnellement fautif. Il résulte de la commodité et de l’absence de règles.

Les entreprises devraient donc définir clairement quelles informations peuvent être saisies dans des systèmes d’IA externes et lesquelles ne le peuvent pas. La sécurisation technique joue également un rôle important.

Une solution d’entreprise centralisée avec des droits d’accès réglementés est, dans de nombreux cas, plus sûre que l’utilisation non contrôlée de comptes privés par certains collaborateurs.

La dépendance vis-à-vis des fournisseurs fait également partie de l’analyse des risques.

De nombreuses technologies d’IA performantes proviennent aujourd’hui des États-Unis. Pour les entreprises, cela offre de grandes opportunités. Parallèlement, une dépendance se crée vis-à-vis des fournisseurs, des plateformes et des conditions-cadres politiques sur lesquels les entreprises européennes n’ont qu’une influence limitée.

Les services peuvent modifier leurs prix. Des fonctionnalités peuvent être supprimées. Les conditions d’utilisation peuvent être adaptées. L’accès à certains modèles peut être limité selon les régions. Les décisions politiques ou les règles d’exportation peuvent également influencer la disponibilité des technologies.

Les entreprises ne devraient donc pas seulement se demander quelle solution est aujourd’hui la plus performante. Elles devraient également vérifier dans quelle mesure cette technologie sera disponible à long terme.

La situation devient particulièrement critique lorsque des processus centraux dépendent entièrement d’un seul fournisseur. Une décision technique se transforme alors rapidement en risque entrepreneurial.

Là où les entreprises doivent aller au-delà du RGPD

Une utilisation responsable de l’IA nécessite plus qu’un contrôle de la protection des données. Elle requiert des règles claires pour les données de l’entreprise, des mesures de sécurité techniques, des droits d’accès réglementés, un choix réfléchi des prestataires et des contrats qui définissent clairement ce qu’il advient des données.

Elle a également besoin d’une stratégie au cas où un service ne serait plus disponible, ainsi que de collaborateurs qui savent quelles informations ils sont autorisés à saisir dans un système d’IA.

Le RGPD reste important à cet égard. Il ne constitue toutefois qu’une partie de l’ensemble.

La réflexion Vimmera

Demandez-vous un instant :

• Savez-vous quelles données vos collaborateurs saisissent déjà aujourd’hui dans des systèmes d’IA ?
• Existe-t-il des règles claires à ce sujet ?
• Savez-vous où ces données sont traitées ?
• Connaissez-vous le cadre juridique des prestataires utilisés ?
• Est-il prévu que les saisies soient enregistrées ou utilisées à des fins d’entraînement ?
• Pourriez-vous changer de fournisseur si les prix, les conditions ou la disponibilité changeaient ?
• Les données confidentielles de l’entreprise qui ne relèvent pas du RGPD sont-elles également protégées ?

Si vous ne pouvez pas répondre clairement à plusieurs de ces questions, l’utilisation de l’IA dans votre entreprise devrait être examinée de plus près.

Question pratique de la semaine

Votre entreprise serait-elle suffisamment protégée si, dès demain, toutes les données à caractère personnel étaient traitées en parfaite conformité avec le RGPD ?

Ou subsisterait-il malgré tout des risques pour les secrets d’affaires, les connaissances internes et les informations stratégiquement importantes ?

À retenir

Le RGPD est important. Il protège les données à caractère personnel et établit des règles claires pour leur traitement. Toutefois, cela ne suffit pas à lui seul lors de l’utilisation de l’IA.

Les entreprises doivent tout autant veiller à la sécurité des données, à la confidentialité, au contrôle technique, aux possibilités d’accès légales et à la dépendance vis-à-vis de certains fournisseurs.

Toutes les informations importantes ne sont pas des données à caractère personnel. Mais de nombreuses informations ont pour une entreprise une valeur telle qu’elles doivent être protégées au moins aussi soigneusement.

Une bonne stratégie d’IA ne commence donc pas par la question de savoir si une solution est conforme au RGPD. Elle commence par la question de savoir quelles données l’entreprise doit protéger et dans quelles conditions ces données peuvent être traitées.

Et si vous y regardiez de plus près ?

Vous souhaitez savoir quels risques comporte l’utilisation de l’IA dans votre entreprise et comment concilier de manière pertinente la protection des données, la sécurité des données et l’indépendance technologique ?

N’hésitez pas à nous écrire à info@vimmera.de. Ensemble, nous examinons votre utilisation actuelle de l’IA et élaborons une approche adaptée à vos exigences, à vos données et à votre entreprise.