Que signifie le RGPD dans le contexte de l’IA ?

Le Règlement général sur la protection des données protège les données à caractère personnel. Il s’agit notamment des informations permettant d’identifier une personne physique, directement ou indirectement, comme les noms, les adresses e-mail, les numéros de téléphone, les données clients, les données du personnel ou les dossiers de candidature.

Dès que de telles données sont traitées, plusieurs questions se posent : existe-t-il une base juridique pour ce traitement, combien de temps les données peuvent-elles être conservées, qui peut y accéder et quels sont les droits des personnes concernées ?

Cela vaut bien sûr aussi lorsque ces données sont traitées à l’aide d’un système d’IA. Le RGPD est donc un élément important de toute stratégie d’IA. Mais il ne constitue pas à lui seul une stratégie d’IA complète.

Toute information sensible n’est pas une donnée à caractère personnel

Bon nombre des informations les plus précieuses d’une entreprise ne relèvent pas directement du RGPD. Il s’agit, par exemple, des calculs de coûts, des listes de prix, des idées de produits, des documents de fabrication, du code source, des stratégies commerciales, des offres, des projets de contrats, de la planification interne ou des chiffres de l’entreprise.

Ces informations peuvent être d’une importance considérable pour une entreprise. Pourtant, elles ne constituent pas automatiquement des données à caractère personnel.

C’est précisément là que naît souvent un faux sentiment de sécurité. Une solution peut être parfaitement conforme au droit de la protection des données tout en présentant un risque important pour les informations confidentielles de l’entreprise.

La question déterminante n’est donc pas seulement :

Avons-nous le droit de traiter ces données ?

Mais aussi :

Devons-nous vraiment transmettre ces informations à ce service ?

La protection des données et la sécurité des données ne sont pas la même chose

La protection des données concerne les données à caractère personnel. La sécurité des données porte sur toutes les informations qui doivent être protégées.

Il s’agit de questions très concrètes :

• Où les données sont-elles traitées ?
• Qui peut y accéder ?
• Qui exploite l’infrastructure technique ?
• Les contenus sont-ils conservés ?
• Sont-ils utilisés à d’autres fins ?
• Peuvent-ils servir à entraîner un modèle ?
• Que se passe-t-il en cas d’incident de sécurité ?
• Les données peuvent-elles être entièrement supprimées ?
• Quelles options s’offrent à une entreprise si les conditions d’un fournisseur changent ?

Ces questions ne concernent pas seulement les données à caractère personnel. Elles s’appliquent tout autant aux secrets d’affaires, aux documents techniques, aux stratégies clients et au savoir-faire interne.

Conforme au RGPD ne signifie pas automatiquement sécurisé

L’expression « conforme au RGPD » est souvent utilisée comme un label de qualité général. En pratique, sans plus d’explications, cette affirmation n’a qu’une portée limitée.

Une entreprise devrait examiner plus précisément ce que recouvre cette affirmation :

• Concerne-t-elle l’emplacement des serveurs ?
• Les dispositions contractuelles ?
• La suppression des données ?
• L’utilisation des données saisies à des fins d’entraînement ?
• Les droits d’accès au sein du fournisseur ?
• Ou la base juridique du traitement ?

Une solution peut être conforme au RGPD dans un domaine donné tout en présentant des risques dans d’autres. Il est donc toujours utile d’examiner le système dans son ensemble.

L’emplacement des serveurs ne suffit pas à lui seul

De nombreux fournisseurs mettent en avant le fait que les données sont stockées en Europe. Cela peut être un point important, mais ne répond pas à toutes les questions.

Il importe également de savoir quelle entreprise exploite le service, à quel droit elle est soumise et qui peut accéder aux données, sur le plan technique ou juridique.

La loi américaine CLOUD Act est souvent évoquée à cet égard. Dans certaines conditions, cette loi peut obliger des entreprises américaines à remettre des données aux autorités américaines. Cela peut aussi concerner des données stockées en dehors des États-Unis.

La pertinence de cette loi et la mesure dans laquelle elle s’applique dépendent, au cas par cas, de la configuration technique et juridique précise.

Pour les entreprises, cela signifie que le lieu de stockage est important. Le contrôle juridique des données l’est tout autant, voire davantage.

Qu’advient-il des données dans les grands modèles de langage ?

L’utilisation de modèles de langage implique souvent la saisie de contenus produits dans le cadre du travail quotidien. Les employés leur demandent d’améliorer des textes, de résumer des documents, d’examiner des contrats, de rédiger des offres ou de répondre à des questions techniques.

Des informations sensibles peuvent alors rapidement se retrouver dans des systèmes externes. Les utilisateurs ne savent pas toujours quelles données ils transmettent.

Le risque ne découle souvent pas d’un comportement délibérément fautif. Il résulte de la facilité d’utilisation et de l’absence de règles.

Les entreprises devraient donc définir clairement quelles informations peuvent être saisies dans des systèmes d’IA externes et lesquelles ne le peuvent pas. La sécurisation technique joue également un rôle important.

Dans bien des cas, une solution d’entreprise centralisée avec des droits d’accès clairement définis est plus sûre que l’utilisation incontrôlée de comptes personnels par des employés.

La dépendance à l’égard des fournisseurs fait également partie de l’évaluation des risques

Aujourd’hui, de nombreuses technologies d’IA performantes viennent des États-Unis. Elles offrent de grandes opportunités aux entreprises. Dans le même temps, elles créent une dépendance à l’égard de fournisseurs, de plateformes et de conditions-cadres politiques sur lesquels les entreprises européennes n’ont qu’une influence limitée.

Les services peuvent modifier leurs tarifs. Certaines fonctionnalités peuvent disparaître. Les conditions d’utilisation peuvent changer. L’accès à certains modèles peut être limité selon les régions. Les décisions politiques et les règles d’exportation peuvent également influer sur la disponibilité des technologies.

Les entreprises ne devraient donc pas seulement se demander quelle solution est la plus performante aujourd’hui. Elles devraient aussi vérifier si cette technologie restera disponible de façon fiable à long terme.

La situation devient particulièrement critique lorsque des processus essentiels dépendent entièrement d’un seul fournisseur. Une décision technique se transforme alors rapidement en risque pour l’entreprise.

Au-delà du RGPD : ce que les entreprises doivent faire

Une utilisation responsable de l’IA exige davantage qu’un examen de la protection des données. Elle nécessite des règles claires concernant les données de l’entreprise, des mesures de sécurité techniques, des droits d’accès encadrés, un choix réfléchi des fournisseurs et des contrats qui précisent clairement ce qu’il advient des données.

Elle nécessite également une stratégie pour le cas où un service ne serait plus disponible, ainsi que des employés qui savent quelles informations ils peuvent saisir dans un système d’IA.

Le RGPD reste important, mais il ne représente qu’une partie du tableau d’ensemble.

Le point de réflexion de Vimmera

Posez-vous la question :

• Savez-vous quelles données vos employés saisissent déjà dans des systèmes d’IA ?
• Existe-t-il des règles claires à ce sujet ?
• Savez-vous où ces données sont traitées ?
• Connaissez-vous le cadre juridique applicable aux fournisseurs utilisés ?
• Est-il précisé si les données saisies sont conservées ou utilisées à des fins d’entraînement ?
• Pourriez-vous changer de fournisseur si les prix, les conditions ou la disponibilité venaient à changer ?
• Les données confidentielles de l’entreprise qui ne relèvent pas du RGPD sont-elles également protégées ?

Si vous ne pouvez pas répondre clairement à plusieurs de ces questions, l’utilisation de l’IA au sein de votre entreprise mérite un examen plus approfondi.

La question pratique de la semaine

Votre entreprise serait-elle suffisamment protégée si, dès demain, toutes les données à caractère personnel étaient traitées dans le strict respect du RGPD ?

Ou subsisterait-il malgré tout des risques pour les secrets d’affaires, les connaissances internes et les informations stratégiques importantes ?

À retenir

Le RGPD est important. Il protège les données à caractère personnel et établit des règles claires pour leur traitement. Toutefois, dans le cadre de l’utilisation de l’IA, cela ne suffit pas à lui seul.

Les entreprises doivent également prêter attention à la sécurité des données, à la confidentialité, au contrôle technique, aux possibilités d’accès prévues par la loi et à la dépendance à l’égard de fournisseurs particuliers.

Toute information importante n’est pas une donnée à caractère personnel. Mais nombre d’informations ont tant de valeur pour une entreprise qu’elles doivent être protégées avec au moins autant de soin.

Une bonne stratégie d’IA ne commence donc pas par la question de savoir si une solution est conforme au RGPD. Elle commence par la question de savoir quelles données l’entreprise doit protéger et à quelles conditions ces données peuvent être traitées.

Et si on y regardait de plus près ?

Vous souhaitez savoir quels risques l’utilisation de l’IA présente pour votre entreprise et comment concilier efficacement protection des données, sécurité des données et indépendance technologique ?

Écrivez-nous à info@vimmera.de. Ensemble, nous examinerons votre utilisation actuelle de l’IA et définirons une approche adaptée à vos besoins, à vos données et à votre entreprise.