La checklist pour le fournisseur
Interrogez chaque fournisseur d'IA sur ces points :
- Existe-t-il un contrat de sous-traitance conformément à l'article 28 du RGPD ?
- Où les données sont-elles stockées et quels sont les sous-traitants ?
- Les données clients sont-elles utilisées pour l'entraînement des modèles d'IA ?
- Comment les identifiants et les champs confidentiels sont-ils protégés ?
- Qui dans l'équipe voit quoi et est-il possible de le configurer par personne ?
- Les actions de l'IA sont-elles journalisées ?
Droits d'accès : l'IA ne doit pas afficher plus que ce que l'humain est autorisé à voir
Un point souvent négligé : une IA qui sait tout peut accidentellement transmettre des informations à des personnes qui ne devraient pas y avoir accès. Par conséquent, les réponses de l'IA doivent être soumises aux mêmes droits que ceux de la personne qui pose la question. Les tâches personnelles, les calendriers privés et les boîtes aux lettres étrangères ne doivent pas figurer dans les réponses destinées aux collègues.
Ce que l'AI Act européen exige en plus
Depuis février 2025, les entreprises utilisant l'IA doivent assurer une compétence suffisante en IA à leurs employés (article 4). Toute personne communiquant avec une IA doit le signaler (article 50). Pour les systèmes à haut risque, une surveillance humaine effective est requise (article 14).
Royaume-Uni, États-Unis et Canada
Au Royaume-Uni, le UK GDPR s'applique avec des principes très similaires. Aux États-Unis, il n'existe pas de loi fédérale uniforme, mais des lois étatiques comme le California Consumer Privacy Act. Au Canada, la LPRPDE régit le traitement des données personnelles dans le secteur privé. La checklist ci-dessus constitue un bon point de départ partout.
Qui fait quoi ?
AIRIS prépare
- Hébergement des données dans l'UE: La base de données est située à Francfort, les fichiers dans des centres de données de l'UE. Les données clients ne sont pas utilisées pour l'entraînement des modèles d'IA.
- Les droits s'appliquent également à AIRIS: AIRIS ne montre à chacun que ce qu'il est autorisé à voir. Les tâches et les calendriers sont personnels, les boîtes aux lettres appartiennent à une seule entreprise.
- Journalisation et autorisations: Les actions d'AIRIS sont journalisées. Vous déterminez son niveau d'autonomie pour chaque tâche.
- Compétence en IA selon l'AI Act européen: Formations avec certificat pour votre équipe.
Vous décidez
- Les données qui sont intégrées dans un système d'IA sont décidées par l'entreprise, pas par le fournisseur.
- Les catégories particulières, comme les données de santé, nécessitent un examen spécifique.
- Ce guide ne remplace pas un conseil juridique.
