Les collaborateurs peuvent-ils mettre les données clients dans un outil d'IA ?

Les données clients dans les outils d'IA, c'est possible, mais pas n'importe comment

Mettre les données clients dans un outil d'IA n'est pas interdit par principe, mais c'est bien un traitement de données à caractère personnel soumis aux mêmes règles que tout autre système. Avant que les données ne prennent cette direction, il faut examiner s'il existe une base juridique appropriée, si vous ne traitez pas plus de données que nécessaire pour l'objectif visé, et — souvent le point le plus crucial — ce que le fournisseur de l'outil d'IA fait de ce qui est fourni en entrée. De nombreux outils d'IA généraux utilisent les données introduites, avec ou sans le savoir, pour entraîner ou améliorer leur propre modèle, ce qui constitue un objectif différent de celui pour lequel le client a fourni ses données à l'origine.

Ce dernier point touche immédiatement à la limitation des finalités et à la minimisation des données selon le RGPD : les données collectées pour un contact client ne sont pas automatiquement appropriées pour être insérées dans n'importe quel outil d'IA. Si l'outil traite les données au nom de l'organisation, le fournisseur est un sous-traitant, et un contrat de sous-traitance doit préciser ce qui peut et ne peut pas être fait avec les données, où elles sont stockées, et si elles sont utilisées à des fins d'entraînement. Ce n'est donc pas une simple question oui ou non sur l'« IA », mais une question qui varie selon l'outil, le paramètre et le type de données clients — certains outils d'IA proposent des variantes professionnelles dans lesquelles l'entraînement sur les données d'entrée est explicitement désactivé, d'autres non.

Ce dont cela découle : articles 5 et 6 du RGPD

Le fait qu'une base juridique soit nécessaire pour tout traitement résulte de l'article 6 du RGPD, et le fait que les données ne peuvent pas être utilisées au-delà de la finalité pour laquelle elles ont été collectées, et pas plus que nécessaire, découle des principes de limitation des finalités et de minimisation des données énoncés à l'article 5 du RGPD. Le Comité européen de la protection des données publie des lignes directrices qui traitent spécifiquement de la gestion des données à caractère personnel dans les systèmes d'IA, et qui apportent des précisions supplémentaires sur des questions telles que l'entraînement sur les données d'entrée et le rôle du fournisseur en tant que sous-traitant.