IA et données confidentielles : ce qu’une PME doit vérifier

La question revient à chaque premier échange, surtout dans la santé, l’assurance, le juridique et la finance : « nos données ne peuvent pas partir n’importe où ». C’est une bonne question, et elle a des réponses concrètes.

Ce guide donne des repères pratiques. Il ne remplace pas l’avis d’un juriste ou de votre délégué à la protection des données sur votre situation.

Les trois questions à poser à tout fournisseur

Où les données sont-elles traitées ? Dans quel pays se trouvent les serveurs, et quelle société les exploite. Un hébergement situé dans l’Union européenne mais opéré par une société soumise à un droit étranger ne présente pas les mêmes garanties qu’un hébergeur local.

Les données servent-elles à entraîner un modèle ? Certains services réutilisent les conversations pour améliorer leurs modèles, selon l’offre et les réglages. Les offres professionnelles l’excluent généralement par contrat. Il faut le lire, pas le supposer.

Que dit le contrat ? Un fournisseur qui traite des données personnelles pour votre compte est un sous-traitant au sens du RGPD. Son article 28 impose un contrat qui précise l’objet du traitement, sa durée, les mesures de sécurité et le sort des données à la fin. La plupart des fournisseurs sérieux proposent ce document.

Trois niveaux de protection

1. Un service en ligne avec garanties contractuelles. Les données transitent par le fournisseur du modèle, sous contrat, sans réutilisation pour l’entraînement. C’est suffisant pour beaucoup d’usages courants : rédaction, tri de demandes, résumé de documents internes non sensibles.

2. Un hébergement européen ou suisse. Le modèle est exploité par un hébergeur situé dans la juridiction que vous exigez. Les données ne quittent pas ce territoire. C’est un bon compromis quand la localisation est une exigence de vos clients ou de votre secteur.

3. Un modèle exécuté sur votre propre infrastructure. Le modèle tourne sur un serveur que vous contrôlez, sans aucun appel vers l’extérieur. C’est la seule option quand aucune donnée ne doit sortir, par exemple pour des dossiers couverts par le secret professionnel. Elle demande du matériel adapté et une exploitation suivie, et les modèles utilisables ainsi sont moins puissants que les plus grands modèles en ligne, ce qui suffit pour de nombreuses tâches d’extraction et de classement.

Notre démonstration IA sans fuite de données montre le troisième cas, avec le journal d’audit de chaque requête. Nous exécutons nous-mêmes des modèles sur GPU dédié : c’est une configuration que nous exploitons, pas seulement que nous décrivons.

Ce que demande le RGPD, en pratique

Pour une PME qui met en place un outil IA traitant des données personnelles, les obligations concrètes sont les suivantes :

• inscrire le traitement au registre des activités de traitement, avec sa finalité et ses destinataires ;
• signer le contrat de sous-traitance avec chaque fournisseur qui accède aux données ;
• vérifier les transferts hors de l’Union européenne et le mécanisme qui les encadre ;
• informer les personnes concernées, clients ou salariés, de ce nouveau traitement ;
• évaluer les risques par une analyse d’impact lorsque le traitement est susceptible de présenter un risque élevé, ce qui peut être le cas avec des données de santé ou une évaluation automatisée de personnes ;
• prévoir la notification d’une violation de données à l’autorité de contrôle, en France la CNIL, dans un délai de 72 heures.

Et en Suisse : la nLPD

La nouvelle loi fédérale sur la protection des données est en vigueur depuis le 1^er septembre 2023. Elle reprend des principes proches du RGPD, avec ses propres règles. Les points à retenir pour un projet IA :

• le devoir d’informer les personnes lors de la collecte de leurs données ;
• les conditions de communication de données à l’étranger, qui dépendent du niveau de protection du pays destinataire ;
• l’obligation de tenir un registre des activités de traitement, avec des exceptions pour certaines petites entreprises ;
• l’annonce au Préposé fédéral (PFPDT), dans les meilleurs délais, d’une violation de la sécurité des données qui entraîne vraisemblablement un risque élevé pour les personnes.

Une entreprise genevoise qui sert aussi des clients en France doit souvent tenir compte des deux cadres.

Le secret professionnel change le niveau d’exigence

Avocats, médecins, fiduciaires et assureurs sont tenus à des obligations de confidentialité qui vont au-delà de la protection des données. Avant de transmettre un dossier à un service externe, il faut vérifier ce que vos règles professionnelles autorisent en matière de sous-traitance. Dans le doute, l’exécution locale ou l’anonymisation préalable des documents sont les deux voies sûres.

Une règle simple pour l’équipe

Le risque le plus courant n’est pas une faille technique. C’est un collaborateur qui colle un contrat ou un fichier client dans un outil personnel pour gagner du temps. Trois mesures le réduisent :

1. fournir un outil autorisé, sinon chacun utilisera le sien ;
2. dire par écrit quelles données ne doivent jamais y être saisies ;
3. former l’équipe sur des cas tirés de son travail.

Ce que nous documentons dans un projet

Pendant le cadrage d’une automatisation ou d’un assistant documentaire, nous listons les services qui accèdent aux données, leur localisation et leurs conditions d’utilisation. Cette liste vous appartient : elle alimente votre registre et vous permet de répondre à un client qui pose la question.

Questions fréquentes

Peut-on utiliser ChatGPT ou un outil équivalent avec des données clients ?

Cela dépend de l’offre souscrite et de ses réglages. Les offres professionnelles prévoient en général un contrat de sous-traitance et excluent l’entraînement sur vos données. Un compte personnel gratuit utilisé pour le travail n’offre pas ces garanties par défaut.

Une IA hébergée en local est-elle forcément conforme ?

Non. L’hébergement local supprime le transfert vers un tiers, mais il reste à gérer les droits d’accès, la journalisation, la durée de conservation et l’information des personnes concernées.

Une entreprise suisse est-elle concernée par le RGPD ?

Elle peut l’être si elle propose des biens ou des services à des personnes situées dans l’Union européenne ou si elle suit leur comportement. Dans tous les cas, elle est soumise à la loi fédérale sur la protection des données (nLPD).