Un devis, une liste de clients, un tableau de salaires - chaque jour quelqu'un dans l'équipe glisse cela dans un outil d'IA. Trois endroits où ces données peuvent finir, et neuf questions à poser à un fournisseur avant un incident plutôt qu'après.
Une scène qui se joue aujourd'hui dans une entreprise sur deux : un collègue doit rédiger un devis, colle un tarif, le contrat de l'an dernier et une liste de contacts dans un chat d'IA pour donner du contexte au modèle. Trente secondes plus tard, il a son texte. Personne n'a demandé où sont parties ces trois pièces jointes.
Ce n'est pas de l'imprudence. C'est la réaction normale à un outil qui marche. La question « où cela va-t-il » n'a simplement nulle part où être posée.
La question n'est pas « IA ou pas d'IA »
Interdire l'IA dans une entreprise ne marche pas aujourd'hui. Les gens contournent via leur compte personnel et vous n'en saurez rien - un état pire que celui de départ.
La question utile est autre : dans laquelle des trois catégories tombe l'outil que nous utilisons ?
1. Un service public sur un compte gratuit. Inscription par e-mail, conditions acceptées, c'est parti. Sur les offres gratuites, il est courant que le fournisseur puisse utiliser les saisies pour améliorer le service. Pas un scandale - c'est écrit dans des conditions que personne ne lit.
2. Un outil payant sans contrat de sous-traitance. Vous payez, mais votre entreprise n'a rien signé. Vous ne savez pas avec certitude où les données se trouvent physiquement, combien de temps elles sont conservées ni qui y accède.
3. Une plateforme avec contrat de sous-traitance (DPA). Il existe un document signé qui dit où sont les données, pour combien de temps, qui les traite et ce qu'il est interdit d'en faire.
La différence entre la troisième et les deux premières n'est pas technique. Elle tient à ce que, dans la troisième, vous avez quelque chose à montrer.
Trois endroits où vos données peuvent finir
Ce qui fait la différence, ce n'est pas la qualité du modèle mais le papier. Soit vous savez où les données se trouvent et pour combien de temps, soit vous le supposez.
Neuf questions à poser au fournisseur
Cette liste vaut pour chaque outil dans lequel coulent des données d'entreprise. Les réponses devraient se trouver dans la documentation, pas être promises au téléphone.
Sur les données
- Nos saisies servent-elles à entraîner des modèles ?
- Combien de temps les données sont-elles conservées après suppression dans l'interface ?
- Pouvons-nous exporter toutes nos données à tout moment, et dans quel format ?
Sur la localisation
- Où tournent physiquement les serveurs ?
- Les données sortent-elles de l'UE, et sur quelle base ?
- Qui sont les sous-traitants ultérieurs - quelles autres sociétés interviennent ?
Sur le contrat et les accès
- Existe-t-il un contrat de sous-traitance, disponible sans longue négociation ?
- Qui, côté fournisseur, peut voir nos données, et dans quelles circonstances ?
- Comment serons-nous informés d'un incident de sécurité ?
La question numéro un est la plus utile
La réponse se trouve généralement en deux minutes dans les conditions d'utilisation et décide si l'outil convient à quoi que ce soit de sensible. Si un fournisseur ne l'a pas écrite clairement, c'est déjà une réponse.
Que faire concrètement
Vous n'avez pas besoin d'une politique de dix pages. Trois règles simples que l'équipe retiendra suffisent :
Classez les données en trois catégories. Publiques (textes marketing, tarif sur le site), internes (devis, procédures) et sensibles (données personnelles, salaires, informations de santé, secrets d'affaires). Pour chaque catégorie, dites quel outil est autorisé.
Désignez un outil validé. La cause la plus fréquente d'une fuite n'est pas la malveillance mais le fait que chacun a trouvé le sien. Quand une équipe a une option claire qui marche, elle cesse de chercher.
Les données personnelles ont un régime à part. Noms, contacts, informations de santé des clients - ici, uniquement un outil avec lequel vous avez un contrat et dont vous connaissez la localisation.
Vérifiez le cadre juridique
Les règles de traitement des données personnelles et de déploiement des systèmes d'IA se précisent en continu dans l'UE et diffèrent selon l'usage. Avant d'adopter des règles internes, vérifiez l'état actuel auprès de votre avocat ou de votre DPO - cet article est une orientation pratique, pas un conseil juridique.
Pourquoi ce n'est pas une raison d'éviter l'IA
Parcourez les neuf questions et vous remarquerez quelque chose de surprenant : l'essentiel du risque n'a rien à voir avec l'IA. Il tient au fait d'envoyer des données d'entreprise à un service tiers - ce que vous faites aussi avec le stockage cloud et la messagerie, sauf que vous vous y êtes habitué.
La seule différence est que la catégorie IA est jeune et que beaucoup de fournisseurs rattrapent ce qui est standard ailleurs. D'où l'intérêt des questions. Et la réponse « oui, c'est réglé, voici le contrat » existe aujourd'hui.
Comment Apexloop gère sauvegardes, disponibilité et responsabilité des données est décrit dans Sauvegardes et sécurité des données. Qui voit quelles données dans Droits d'accès et visibilité des données. Notre contrat de sous-traitance est public sur Traitement des données.
Questions fréquentes sur les données d'entreprise et l'IA
Est-il sûr de coller un devis client dans une IA ?
Cela dépend de l'outil. Avec un service disposant d'un contrat de sous-traitance et sans entraînement sur les saisies, c'est une pratique courante. Sur un compte public gratuit, cela signifie que le contenu quitte votre contrôle - et s'il contient contacts ou prix, mieux vaut s'abstenir.
Suffit-il que l'IA tourne dans l'UE ?
C'est une part importante de la réponse, mais pas toute. Au-delà de la localisation des serveurs, examinez la conservation, les sous-traitants et l'entraînement - un service hébergé dans l'UE peut être mal réglé sur les trois.
Comment savoir si l'on entraîne sur nos données ?
Cherchez dans les conditions les mots « training » ou « amélioration de nos services ». Sur les offres professionnelles, l'entraînement sur les données clients est généralement exclu explicitement ; sur les comptes gratuits, il est souvent autorisé.