Six questions à poser à tout fournisseur d'IA avant de lui confier des données clients

De nombreuses entreprises hésitent à adopter l'IA en raison de la protection des données, souvent à juste titre. La bonne nouvelle : il n'est pas nécessaire d'être juriste pour reconnaître les prestataires fiables. Voici six questions indispensables à poser à tout fournisseur avant de lui transmettre la moindre donnée client. Une réponse évasive en dit déjà long.

1. « Disposez-vous d'un accord de sous-traitance des données (DPA) ? »

Conformément à l'article 28 du RGPD, un contrat doit garantir que le prestataire traite les données uniquement selon vos instructions documentées. Sans cet accord, aucune donnée client ne doit être transmise.

2. « Où sont stockées les données et quels sont les sous-traitants impliqués ? »

Interrogez le fournisseur sur la localisation de ses centres de données et sur ses sous-traitants ultérieurs. L'hébergement des données au sein de l'UE simplifie grandement la conformité juridique.

3. « Mes données sont-elles utilisées pour entraîner vos modèles ? »

La seule réponse acceptable est non. Vos données clients vous appartiennent ; elles ne doivent pas servir à enrichir le modèle d'un tiers.

4. « L'IA a-t-elle accès à plus d'informations que l'employé qui l'interroge ? »

Une question fréquemment négligée. Une IA omnisciente risque de divulguer par inadvertance des données confidentielles à des collaborateurs qui ne devraient pas y avoir accès, comme le contenu de boîtes mail ou d'agendas personnels. L'IA doit être soumise aux mêmes restrictions de droits d'accès que les utilisateurs humains.

5. « Quelles actions l'IA peut-elle exécuter de manière autonome, et puis-je modifier ces autorisations ? »

Pour chaque tâche, vous devez pouvoir définir si l'IA se contente de suggérer, si elle agit après validation humaine ou si elle opère de manière autonome. Cette configuration doit être réversible à tout moment.

6. « Puis-je auditer et retracer chaque action effectuée ? »

Un journal de bord détaillant ce que l'IA a fait, à quel moment et pour quelle raison, constitue la base indispensable du contrôle interne et de la réponse aux demandes d'exercice de droits.

Et en dehors de l'Union européenne ?

Au Royaume-Uni, le UK GDPR applique des principes similaires ; aux États-Unis, des lois étatiques comme le California Consumer Privacy Act encadrent ces pratiques ; au Canada, la LPRPDE (PIPEDA) s'applique. Ces six questions constituent partout un excellent point de départ. Elles ne remplacent toutefois pas un conseil juridique formel.