L'erreur la plus commise lors de l'utilisation d'outils d'IA sur le lieu de travail est que les collaborateurs saisissent des données à caractère personnel dans un outil tel que ChatGPT, Copilot ou un chatbot similaire, sans que l'entreprise ne le sache. Un CV, un dossier client ou un échange de courriels est rapidement résumé ou réécrit, alors que personne n'a vérifié où ces données se retrouvent ensuite, qui peut les consulter et s'il existe un contrat de traitement des données avec le fournisseur de cet outil.
Ce n'est pas un détail mineur. Dès lors qu'un outil traite des données à caractère personnel, les mêmes principes s'appliquent que pour toute autre application SaaS : il doit exister une base légale, le traitement doit figurer dans le registre des activités de traitement, et si le fournisseur agit en tant que responsable du traitement, un contrat de traitement des données doit l'accompagner. Pour de nombreux outils d'IA gratuits, ce dernier fait défaut, ou les conditions stipulent que les données saisies peuvent être utilisées pour entraîner le modèle. Cela varie considérablement selon le fournisseur et la formule d'abonnement, et c'est précisément pourquoi un contrôle préalable est nécessaire.
Comment cela se passe mal en pratique
Dans la plupart des cas, le problème ne naît pas de la négligence, mais de l'ignorance. Un collaborateur des ressources humaines colle une lettre de candidature dans un chatbot pour améliorer une description de poste. Un chef de projet se fait résumer un mail de client. Aucun d'entre eux ne pense au RGPD, car cela ressemble à un outil d'aide et non à un traitement de données à caractère personnel. L'entreprise elle-même n'a souvent pas d'aperçu des outils d'IA utilisés au quotidien, et encore moins de savoir si ces outils figurent dans le registre des activités de traitement ou sur une liste de logiciels approuvés.
Une deuxième erreur récurrente est que les entreprises qui ont une politique d'IA ne l'alignent pas sur leur registre des activités de traitement et leurs contrats de traitement des données existants. L'outil d'IA est alors traité isolément du reste de la conformité RGPD, alors qu'il s'agit essentiellement de la même question qui s'applique à tout autre outil SaaS : qui traite quelles données, à quel titre, et sur quelle base. la base de connaissances avec explications par sujet traite également cette question pour les autres logiciels largement utilisés, et montre que les outils d'IA ne sont en pratique pas une exception à la systématique qui s'applique déjà à d'autres fournisseurs.
Pourquoi il peut s'agir de données à caractère personnel, même si ce n'est pas l'intention
Le RGPD utilise une notion large de données à caractère personnel : toute information qui peut être rattachée à une personne physique identifiable. Un nom, un numéro de client, une photo, une note téléphonique ou une combinaison de données qui ensemble désignent une personne relèvent de cette définition. Lors de l'utilisation d'outils d'IA, il ne s'agit donc pas seulement de données à caractère personnel explicites comme un CV, mais aussi de fragments qui se trouvent dans un document plus large, comme un nom dans une pièce jointe qui est copié avec le document.
L'Autorité Néerlandaise de Protection des Données et le CEPD publient des lignes directrices sur la manière de traiter l'IA et les données à caractère personnel, et ces lignes directrices évoluent ; ce qui s'applique aujourd'hui comme interprétation courante peut être affiné sur certains points. C'est l'une des raisons pour lesquelles une procédure régulière au sein de l'entreprise offre plus de certitude que des accords ponctuels entre collaborateurs.
Comment éviter cette erreur
Le cœur de la solution est simple à formuler, même si sa mise en œuvre prend du temps : dressez l'inventaire des outils d'IA utilisés au sein de l'entreprise, et déterminez pour chaque outil si des données à caractère personnel y sont saisies. Si c'est le cas, cet outil doit figurer dans le registre des activités de traitement et il faut vérifier, comme pour les autres fournisseurs SaaS, si le fournisseur agit en tant que responsable du traitement et s'il existe un contrat de traitement des données disponible. comment les données sont protégées auprès des responsables du traitement donne un aperçu des points pertinents à cet égard.
En outre, une courte instruction concrète adressée aux collaborateurs est plus efficace qu'un document de politique exhaustif que personne ne lit : quels outils sont autorisés, quelles données peuvent y être traitées et lesquelles ne le peuvent pas, et vers qui un collaborateur doit-il se tourner en cas de doute. Cette dernière étape est peut-être la plus importante, car la plupart des erreurs ne résultent pas d'une mauvaise volonté mais de l'absence d'un point de contact clairement défini.
Si c'est déjà arrivé
Si une grande quantité de données à caractère personnel a été involontairement saisie dans un outil d'IA sans qu'un contrat de traitement des données n'existe pour ce faire, il est judicieux d'évaluer si cela se qualifie comme un événement qui appelle une réaction, par exemple dans le cadre de l'obligation de notification en cas de violation de données. obtenir une première indication en quelques questions peut fournir à ce titre une première base, indépendamment de la question de savoir si une notification est nécessaire dans un cas concret ; cette évaluation incombe au responsable du traitement lui-même ou à un juriste.
Voulez-vous dresser un inventaire des outils, y compris les applications d'IA, qui méritent une attention particulière pour votre propre entreprise ? Effectuez le diagnostic rapide gratuit ou lisez les sujets dans les questions fréquemment posées sur le RGPD et les logiciels pour déterminer ce que votre situation exige.