Comment protéger les données confidentielles utilisées dans les outils d’intelligence artificielle ?

Pour protéger les données confidentielles utilisées dans les outils d’intelligence artificielle, il faut limiter les informations transmises, choisir des services maîtrisés et sécuriser chaque étape du traitement. Une politique interne claire, associée au chiffrement, au contrôle d’accès et à la vérification des obligations du RGPD, réduit les risques de fuite et de réutilisation non souhaitée.

Identifier les risques liés aux données confiées à l’intelligence artificielle

Un prompt peut contenir bien plus qu’une simple consigne : contrat, coordonnées d’un client, extrait de dossier RH ou code source. Selon les paramètres du service, ces éléments peuvent être conservés, consultés par des prestataires ou utilisés pour améliorer un modèle. Avant tout usage, l’entreprise doit donc comprendre où circulent les informations, combien de temps elles sont gardées et qui peut y accéder.

Une agence fictive, Atelier Nord, souhaite résumer des retours clients avec un assistant génératif. Si un salarié copie l’ensemble des messages, les noms, adresses et détails de commande deviennent inutilement exposés. Une version expurgée, limitée aux éléments nécessaires à l’analyse, permet d’obtenir un résultat utile tout en réduisant la surface de risque. La prévention des fuites commence par cette minimisation.

Les menaces ne se limitent pas au stockage. Des instructions malveillantes dissimulées dans un document peuvent pousser un système à divulguer des informations ou à produire un résultat trompeur. Il faut aussi contrôler la qualité des données d’entrée : une information inexacte ou biaisée peut conduire à une décision injuste. La sécurité informatique doit donc couvrir les données, les modèles et les usages.

Réduire les données transmises et choisir des outils maîtrisés

Appliquer la minimisation et l’anonymisation

Le principe pratique est simple : ne transmettre à un outil que les données indispensables à la tâche. Pour préparer une réponse commerciale, un collaborateur peut remplacer le nom du client par « Client A » et retirer les coordonnées, les numéros de contrat et les détails confidentiels. Cette anonymisation doit toutefois être évaluée avec prudence : la combinaison d’une ville, d’un métier rare et d’une date précise peut permettre de retrouver une personne.

Lorsque les données doivent rester réutilisables en interne, la pseudonymisation peut être plus adaptée, à condition de conserver séparément la clé de correspondance et d’en limiter l’accès. Des données synthétiques peuvent aussi servir aux tests et aux démonstrations. Elles réduisent l’exposition, mais ne dispensent pas de vérifier qu’elles ne reproduisent pas des informations personnelles réelles.

Vérifier les conditions de traitement

Avant de déployer un service, examinez ses règles de conservation, ses lieux d’hébergement, les sous-traitants impliqués et les options permettant de désactiver l’entraînement sur les requêtes. Pour encadrer les usages professionnels, les équipes peuvent consulter un guide sur l’encadrement de l’IA générative par les salariés. Le choix d’un outil doit reposer sur des garanties vérifiables, et non sur sa seule facilité d’utilisation.

Renforcer la sécurité technique et la gouvernance des données

Les protections techniques doivent accompagner les règles d’usage. Le chiffrement des données en transit et au repos limite leur exploitation en cas d’interception ou d’accès non autorisé. Le contrôle d’accès doit suivre le principe du moindre privilège : chaque salarié ne consulte que les ressources nécessaires à sa mission, avec une authentification renforcée pour les comptes sensibles.

Atelier Nord peut, par exemple, créer un espace professionnel réservé aux collaborateurs autorisés, désactiver l’historique lorsque le service le permet et programmer la suppression des conversations après une durée définie. Les journaux d’accès aident à détecter une activité inhabituelle. Les sauvegardes doivent également être protégées et testées : une copie non sécurisée peut devenir un point d’entrée supplémentaire.

La gouvernance des données précise qui approuve les outils, qui évalue les risques et qui répond à un incident. Un registre des traitements, une cartographie des flux et une procédure de signalement rendent les responsabilités concrètes. La CNIL recommande notamment de définir la base de données, la durée de conservation, l’information des personnes et les modalités d’exercice de leurs droits. Une politique documentée transforme les principes de sécurité en gestes vérifiables.

Assurer la conformité réglementaire et encadrer les décisions

Le RGPD impose de déterminer une finalité, de limiter la collecte et de protéger les données personnelles dès la conception du traitement. Les personnes concernées doivent recevoir une information compréhensible et pouvoir exercer leurs droits, notamment l’accès, la rectification et l’effacement selon les conditions applicables. Les décisions entièrement automatisées qui produisent des effets significatifs exigent une vigilance particulière et des garanties adaptées.

La conformité réglementaire ne se résume pas à choisir un fournisseur européen. L’organisation doit documenter les usages, vérifier les rôles du responsable de traitement et du sous-traitant, puis réaliser une analyse d’impact lorsque le traitement est susceptible d’engendrer un risque élevé. Les outils utilisés pour le recrutement, le crédit ou la santé réclament également une gouvernance renforcée, car une erreur algorithmique peut affecter directement les droits d’une personne.

Pour une PME, une fiche d’évaluation simple peut recenser la nature des données, la finalité, les destinataires, la durée de conservation et les mesures de sécurité. Les engagements de confidentialité des prestataires complètent cette analyse, sans remplacer les vérifications internes. La conformité devient ainsi un processus continu, réexaminé lors de chaque changement de modèle ou d’usage.

Former les équipes et prévenir le shadow AI

Une règle de sécurité n’est efficace que si elle est comprise et appliquée. Une charte doit indiquer les outils autorisés, les catégories de données interdites dans les prompts et la marche à suivre en cas d’erreur. Elle peut distinguer les informations publiques, internes, confidentielles et très sensibles, avec des exemples concrets pour chaque catégorie.

Le shadow AI apparaît lorsque des salariés utilisent des comptes personnels ou des services non validés pour gagner du temps. Plutôt que de se limiter à l’interdiction, l’entreprise gagne à proposer une solution approuvée, à expliquer les risques et à former les équipes sur des scénarios réalistes. Un atelier peut montrer comment reformuler une demande sans transmettre un dossier client complet.

• Établir une liste d’outils autorisés et vérifier leurs paramètres de confidentialité.
• Retirer des prompts les identifiants, secrets commerciaux et données personnelles non nécessaires.
• Former les collaborateurs à la détection des demandes suspectes et aux procédures d’alerte.
• Réviser régulièrement les accès, les durées de conservation et les incidents signalés.

Un examen régulier aide à mesurer l’efficacité de ces consignes et à corriger les écarts. Pour approfondir la gestion des usages salariés, une ressource sur la mise en place d’un cadre interne pour l’IA générative peut compléter la démarche. Une intelligence artificielle responsable repose autant sur des outils bien configurés que sur des équipes capables de protéger les informations au quotidien.