Données pour l'IA
Guide de classification

Au minimum, les catégories de données suivantes ne doivent jamais être saisies dans un outil d'IA, à moins que l'outil n'ait été spécifiquement approuvé pour ce type de données avec des contrôles appropriés en place : informations personnelles identifiables (PII) concernant les clients, les collaborateurs ou d'autres personnes ; données de comptes financiers, données de cartes de paiement ou coordonnées bancaires ; dossiers de santé ou médicaux ; identifiants, mots de passe, clés API ou jetons d'authentification ; communications couvertes par le secret professionnel (avocat-client, médecin-patient) ; secrets commerciaux, plans produit non diffusés, informations de M&A ; et code source des systèmes traitant des données sensibles. La question clé est la suivante : si ces données apparaissaient dans le jeu d'entraînement du fournisseur d'IA et se reflétaient dans les réponses fournies à d'autres utilisateurs, quelle en serait la conséquence ? Si la réponse est une violation réglementaire, une responsabilité juridique ou un préjudice matériel pour l'entreprise, ces données ne doivent pas entrer dans un outil d'IA externe.

Une mise en œuvre pratique exige trois couches fonctionnant de concert. Premièrement, la couche politique : un schéma de classification clair et documenté avec des règles explicites pour les outils d'IA à chaque niveau, rédigé dans un langage clair que les collaborateurs peuvent appliquer sans ambiguïté. Deuxièmement, la couche formation : une formation régulière des collaborateurs à l'aide d'exemples réalistes de données qu'ils rencontrent réellement, avec des scénarios de décision qui développent l'intuition de classification. Troisièmement, la couche technique : des règles DLP qui détectent les schémas de données pertinents pour la classification (numéros de carte de crédit, numéros NHS, indicateurs financiers de l'entreprise) soumis aux services d'IA, et une plateforme de sécurité de l'IA qui surveille tout l'usage des outils d'IA et signale les violations de la politique. La couche technique est ce qui rend la classification applicable, sans elle, la classification est une recommandation plutôt qu'un contrôle.

Oui, et c'est là que la plupart des organisations se trompent. Le niveau de classification des données approprié pour un outil d'IA donné dépend de : la présence d'un accord de traitement des données et d'une garantie d'absence d'entraînement (essentielle pour tout outil utilisé avec des données Interne ou supérieures) ; l'endroit où les données sont traitées et stockées (UE uniquement pour les données sensibles au titre du RGPD) ; les certifications de sécurité détenues par l'outil (SOC 2 Type II, ISO 27001) ; et le fait que l'outil soit un produit d'entreprise ou un produit grand public avec des paramètres de traitement des données par défaut différents. Un même type de données peut être autorisé dans un outil d'IA et interdit dans un autre selon ces facteurs. Votre politique d'usage acceptable de l'IA doit préciser explicitement les outils approuvés pour chaque niveau de classification, et non laisser les collaborateurs effectuer eux-mêmes cette détermination.

L'utilisation de données personnelles avec des outils d'IA crée plusieurs obligations au titre du RGPD. En tant que responsable de traitement, vous êtes tenu de garantir une base légale pour l'activité de traitement, ce qui, pour le travail assisté par l'IA, signifie généralement l'intérêt légitime ou l'exécution d'un contrat, deux fondements nécessitant une évaluation de la nécessité. Si le fournisseur d'IA est un sous-traitant, vous avez besoin d'un DPA conforme au RGPD au titre de l'article 28 avant tout traitement de données personnelles. Si les conditions du fournisseur en font un responsable de traitement (courant dans les produits d'IA grand public), vous devez évaluer si le transfert vers ce responsable repose sur une base légale. Le principe de minimisation des données (article 5(1)(c)) exige que seules les données personnelles strictement nécessaires soient utilisées, soumettre une base de données clients complète à un outil d'IA pour une tâche réalisable avec des données anonymisées violerait probablement ce principe. Enfin, tout système d'IA prenant des décisions automatisées concernant des individus peut déclencher les droits prévus à l'article 22, exigeant des processus de contrôle humain.