FAQ PÉDAGOGIQUE :

IA, CONFIDENTIALITÉ ET RÉGLEMENTATIONS

1. Quelles sont les principales réglementations qui s’appliquent à l’IA en entreprise ?

• RGPD (UE 2016/679) : Règlement général sur la protection des données, en vigueur dans l’UE depuis 2018. Il encadre le traitement des données personnelles, dont celles que l’on soumet à un modèle d’IA (prompt, documents, etc.).
• AI Act : Futur règlement européen sur l’IA, prévu pour 2025/2026. Il classifie les systèmes d’IA par niveau de risque (haut, moyen, faible) et impose des obligations (transparence, certification, audits, etc.).
• Autres législations sectorielles : CCPA en Californie pour la protection des données consommateurs, HIPAA pour la santé aux États-Unis, etc.

2. Que risque-t-on si l’on ne respecte pas le RGPD ou l’AI Act ?

• Sous le RGPD, les sanctions peuvent aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial (pour les infractions les plus graves).
• Avec le futur AI Act, les amendes pourront atteindre 30 millions d’euros ou 6 % du chiffre d’affaires, selon le niveau de non-conformité.
• Par ailleurs, les autorités (CNIL, autorité italienne, etc.) peuvent ordonner la suspension d’un service d’IA en cas de manquement grave, comme ce fut le cas de ChatGPT en Italie.

3. Les modèles de langage stockent-ils et réutilisent-ils mes données ?

• Pour les modèles “grand public” (ChatGPT, Bard, etc.), les requêtes sont souvent enregistrées pour améliorer le service. Les données peuvent être relues par l’éditeur, sauf paramétrage ou contrat spécifique.
• En mode entreprise/API (OpenAI, Anthropic, Google Cloud, etc.), beaucoup d’éditeurs s’engagent à ne pas réutiliser les données pour entraîner leurs modèles, et proposent des fonctionnalités de rétention limitée.
• Les modèles open-source (LLaMA, Mistral, etc.) déployés en local n’envoient pas de données à l’extérieur. La réutilisation dépend donc de la configuration interne.

4. Quelles sont les différences entre un modèle open-source et un modèle propriétaire en termes de confidentialité ?

• Open-source : Aucun transfert de données à un tiers par défaut, on contrôle totalement l’hébergement. Adapté aux scénarios demandant une forte souveraineté. En revanche, il faut gérer soi-même la sécurité et l’infrastructure.
• Propriétaire : Peut être plus performant ou plus riche en fonctionnalités. Cependant, il faut vérifier si les données sont transmises à l’éditeur, si elles servent à l’entraînement, et signer des clauses de confidentialité (DPA RGPD). Des options “Entreprise” existent pour mieux maîtriser la rétention des données.

5. Quels secteurs sont particulièrement sensibles à la confidentialité et pourquoi ?

• Finance & Comptabilité : Données bancaires et financières très sensibles, soumis au secret bancaire. Exemples : utilisation d’IA pour l’analyse de portefeuille ou chatbots clients.
• Santé : Données de santé considérées comme sensibles (article 9 RGPD), soumis aux obligations de secret médical et hébergement certifié (HDS en France, HIPAA aux États-Unis).
• Juridique : Secret professionnel de l’avocat. Toute fuite de dossiers clients peut se révéler dramatiquement dommageable.
• Ressources Humaines : Données personnelles et parfois sensibles (CV, évaluations, salaires). L’utilisation d’IA doit respecter le droit du travail et éviter la discrimination.
• E-commerce & Marketing : Données clientes massives pour le ciblage et la personnalisation. Risque de profilage excessif (violations RGPD, ePrivacy).

6. Comment intégrer la technique du RAG (Retrieval-Augmented Generation) sans risquer une fuite de données ?

• Indexer uniquement le nécessaire : Éviter de charger toute la base documentaire interne, surtout si elle contient des données personnelles sensibles.
• Appliquer un contrôle d’accès : Filtrer les documents selon l’identité de l’utilisateur pour éviter qu’un employé accède à des infos confidentielles d’un autre service.
• Chiffrer le stockage : La base de vecteurs doit être protégée pour prévenir toute fuite (chiffrement au repos, accès restreint).
• Pseudonymiser : Éliminer ou masquer les informations les plus sensibles dans les documents indexés avant de les envoyer dans la base RAG.

7. Comment se conformer au RGPD quand on utilise des IA ?

1. Base légale : S’assurer d’avoir une justification (intérêt légitime, consentement, etc.) pour le traitement des données via l’IA.
2. Minimisation : Envoyer le moins de données personnelles possible dans le prompt.
3. Information et transparence : Expliquer aux utilisateurs (clients, collaborateurs) que leurs données peuvent être traitées par une IA.
4. Sécurité : Chiffrer les données, restreindre l’accès, faire des audits réguliers.
5. Droits des personnes : Permettre l’accès, la rectification, l’effacement, etc. Si l’IA a mémorisé des informations, il faut être en mesure de les supprimer.

8. Dans quels cas privilégier une IA déployée en interne (on-premise ou cloud privé) ?

• Lorsqu’on traite des données hautement confidentielles (secret bancaire, données de santé, secrets industriels).
• Quand le risque de fuite est inacceptable ou la réglementation impose un hébergement souverain (ex : secteur santé en France).
• Pour limiter le transfert hors UE (accorder une importance au GDPR et éviter les complexités de transferts internationaux).

9. Peut-on utiliser ChatGPT ou Bard pour traiter des données sensibles ?

• Non, pas dans leur version grand public par défaut, car les échanges sont sauvegardés sur leurs serveurs. Toute donnée sensible (numéro de compte, rapport médical, etc.) risquerait de se retrouver hors du contrôle de l’entreprise.
• En revanche, des versions “Entreprise” ou “API” peuvent mieux sécuriser et désactiver la réutilisation des données, à condition de souscrire à un contrat adapté (DPA) et de paramétrer une rétention nulle.

10. Quelles bonnes pratiques de formation et de sensibilisation mettre en place pour éviter les erreurs humaines ?

• Charte interne : Mentionnant explicitement l’interdiction d’envoyer des données critiques à des IA publiques.
• Cas concrets : Présenter des exemples de fuites (Samsung, etc.) pour montrer le risque réel.
• Nommer des référents (DPO, équipe IA) : Toute question sensible doit être validée par eux.
• Mises à jour régulières : L’écosystème IA évolue vite, il est essentiel d’actualiser les consignes et de diffuser l’information en interne.

11. Comment gérer l’entraînement d’une IA sur mes données, tout en restant conforme ?

• Pseudonymisation : Retirer ou masquer les informations sensibles avant l’entraînement.
• Consentement ou base légale : Informer les personnes concernées si les données traitées sont personnelles.
• Documenter (registre RGPD) : Décrire la finalité, la nature des données, les mesures de sécurité.
• Séparer les environnements de production et d’entraînement : Pas de liaison directe qui laisse fuir les données en clair.

12. Quels sont les avantages d’utiliser des IA open-source comme LLaMA ou Mistral ?

• Contrôle complet sur la solution : Pas de données partagées à un éditeur externe.
• Évolutivité et personnalisation : On peut ajuster le modèle selon ses besoins spécifiques.
• Conformité facilitée : Pas de transfert international par défaut ; on peut prouver la localisation du traitement.
• En contrepartie, il faut disposer de ressources techniques (compétences, GPU) et assurer la maintenance et la sécurité soi-même.

13. Quelles sont les bonnes pratiques clés pour éviter une fuite de données ?

• Masquer ou anonymiser : Enlever systématiquement noms, emails, numéros de compte avant l’envoi à un LLM.
• Contrôler les accès : Filtrage et authentification (surtout pour le RAG).
• Désactiver l’historique (si possible) ou paramétrer une rétention courte sur les plateformes IA.
• Auditer régulièrement : Vérifier qui a accédé à quoi et détecter d’éventuelles anomalies.
• N’utiliser que des services “Enterprise” si vous gérez du sensible, en veillant à la signature d’un DPA RGPD.

14. Faut-il un accord contractuel spécifique avec le prestataire d’IA ?

• Oui, idéalement. On doit signer un Contrat de Sous-Traitance (DPA RGPD) si l’IA traite des données personnelles pour notre compte. Cela précise les engagements du prestataire sur la sécurité, la rétention, la finalité, etc.
• Exiger des clauses interdisant la réutilisation des données pour l’entraînement, et un engagement sur la localisation (dans l’UE, par exemple).

15. Le RAG (Retrieval-Augmented Generation) est-il plus ou moins risqué que d’entraîner le modèle avec mes données ?

• RAG : Les données ne sont pas fusionnées dans les poids du modèle, elles restent dans une base d’index, ce qui évite de “donner” définitivement ses documents à l’IA. Toutefois, il faut bien gérer la base de recherche, chiffrer, cloisonner l’accès pour éviter la divulgation accidentelle.
• Entraînement : Les données peuvent être intégrées au modèle, ce qui complique l’effacement RGPD. Par contre, si c’est un entraînement local, vous gardez la maîtrise. Dans les deux cas, la sécurité dépend de la rigueur de la configuration et du paramétrage.

16. Comment tracer et prouver ma conformité en cas de contrôle ?

• Tenir un registre RGPD : Documenter précisément quel type de données est transmis à quelle IA, à quelle finalité, et avec quels fournisseurs.
• DPIA (Analyse d’Impact) : Réalisée pour les usages à risque élevé (données sensibles, décisions automatisées).
• Contrats et logs : Conserver les accords DPA signés, les journaux d’accès, les politiques de rétention. Cela prouve la mise en place de mesures concrètes.

17. Quels sont les conseils sectoriels les plus importants ?

• Finance : Secret bancaire, hébergement sécurisé, pas d’utilisation grand public de ChatGPT avec des données de clients. Exemple de Morgan Stanley : partenariat spécial avec OpenAI + RAG interne.
• Santé : Données de santé = hautement sensibles. Usage d’IA avec solution HDS/HIPAA, pseudonymisation, consentement des patients.
• Juridique : Secret professionnel, privilégier une IA en local ou partenariat contractuel strict (Harvey pour Allen & Overy). Ne pas divulguer les dossiers clients à un chatbot public.
• RH : Ne pas utiliser d’IA pour surveiller les collaborateurs de manière excessive, respecter le droit du travail. Pas de décision d’embauche 100 % automatisée sans intervention humaine.
• E-commerce : Attention au consentement client (profilage, cookies), ne pas surprendre l’utilisateur avec un ciblage trop intrusif. Vérifier la sécurisation de la base clients utilisée par l’IA.

18. Comment former mes collaborateurs rapidement sur ces bonnes pratiques IA ?

• Mettre en place un module e-learning expliquant les bases du RGPD et de la confidentialité spécifique à l’IA.
• Réaliser des ateliers pratiques avec des exemples concrets d’utilisation d’un chatbot, en montrant ce qu’on peut et ne peut pas faire.
• Désigner des “champions IA” dans chaque équipe pour diffuser les bonnes pratiques et répondre aux questions de premier niveau.

19. Quelles sources officielles consulter pour approfondir ?

• Site de la CNIL : FAQ IA générative, Recommandations RGPD pour l’IA, documents sur l’IA et la santé, etc.
• Texte officiel RGPD (UE 2016/679) et futur AI Act (projet disponible sur le site du Parlement européen).
• Avis et Guidelines du CEPD (Comité Européen de la Protection des Données).
• Jurisprudences récentes : cas Clearview AI, suspension de ChatGPT en Italie, etc. pour voir comment les autorités appliquent la loi.

20. Dernière question : Comment s’assurer que l’innovation ne soit pas bloquée par la conformité ?

• Intégrer la compliance dès le début : Privacy by design, sélectionner des outils d’IA compatibles RGPD, prévoir les contrats, sensibiliser l’équipe projet.
• Adopter une posture de responsabilité : Se dire que l’IA doit respecter les utilisateurs, qu’ils soient clients, employés ou patients.
• Rester vigilant mais ouvert aux nouveaux outils et aux avancées techniques (pseudonymisation automatique, enclaves sécurisées, IA locale peu gourmande en GPU).
• En clair, voir la conformité non comme un frein, mais comme une condition indispensable pour instaurer la confiance et pérenniser les usages IA dans l’entreprise.

En résumé, la clé pour concilier IA et confidentialité est de mettre en place des solutions techniques (on-premise, cryptage, pseudonymisation) et organisationnelles (charte, formation, DPO impliqué) qui minimisent les risques et garantissent le respect des droits.