IA générative : où vont les données internes ?

Quand un collaborateur colle un contrat dans un assistant conversationnel pour le résumer, ou quand un processus automatisé envoie des e-mails clients à un modèle de langage pour les classer, des données de l’entreprise quittent son système d’information. Elles transitent par un fournisseur, sont traitées sur ses serveurs, et peuvent, selon les conditions, y être conservées.

Ce n’est pas une raison pour renoncer à l’IA. C’est une raison pour savoir précisément ce qui se passe, et pour le décider plutôt que le subir.

Cet article ne remplace pas un avis juridique. Il liste les questions concrètes à se poser avant de lancer un usage de l’IA sur des données de l’entreprise.

Deux situations très différentes

L’usage individuel, souvent invisible

Beaucoup de collaborateurs utilisent déjà des outils d’IA grand public, avec leur compte personnel, pour gagner du temps : reformuler un e-mail, résumer un document, traduire un texte. Ces usages échappent souvent à toute règle, et les conditions des offres gratuites ou personnelles ne sont pas celles des offres professionnelles.

La première étape est simplement de savoir ce qui se fait, puis de proposer une alternative encadrée plutôt que d’interdire sans solution.

L’usage intégré dans un processus

Quand l’IA est intégrée dans un processus (tri des e-mails, lecture de factures, analyse de documents), les données sont envoyées automatiquement, en volume, via une API. Le choix du fournisseur, du contrat et de la configuration se fait une fois, au moment de la conception. C’est le bon moment pour poser les questions.

Les questions à poser au fournisseur

Les données servent-elles à entraîner les modèles ?

C’est la question la plus fréquente. Les conditions varient selon les fournisseurs et, surtout, selon les offres : un même fournisseur peut appliquer des règles différentes à son service grand public et à son API professionnelle. Il faut lire les conditions de l’offre effectivement utilisée, et vérifier les réglages disponibles.

Combien de temps sont-elles conservées ?

Même sans entraînement, les requêtes peuvent être conservées un certain temps, par exemple pour détecter des abus. Certaines offres permettent de réduire ou supprimer cette conservation. La durée et les conditions doivent être connues.

Où sont-elles traitées ?

La localisation des serveurs et la nationalité du fournisseur ont des conséquences sur le cadre juridique applicable. Certains fournisseurs proposent un traitement dans une région donnée. D’autres options existent : des modèles hébergés par un acteur européen, ou des modèles ouverts installés sur une infrastructure que l’entreprise maîtrise.

Quels sous-traitants interviennent ?

Un service d’IA peut lui-même s’appuyer sur un hébergeur ou un autre fournisseur de modèles. La chaîne complète doit être connue, au moins dans ses grandes lignes.

Les questions à se poser en interne

Quelles données sont réellement nécessaires ?

Pour classer un e-mail, il n’est pas toujours nécessaire d’envoyer les pièces jointes. Pour extraire le montant d’une facture, inutile de transmettre l’historique complet du fournisseur. Limiter les données envoyées au strict nécessaire réduit le risque, quel que soit le fournisseur.

Peut-on masquer ou pseudonymiser ?

Dans certains cas, les noms, adresses ou numéros d’identification peuvent être remplacés par des codes avant l’envoi, puis restitués au retour. Ce n’est pas toujours possible ni utile, mais c’est une option à examiner pour les données les plus sensibles.

Quelles catégories de données exclure ?

Certaines données justifient une prudence particulière : données de santé, données relatives aux salariés, informations stratégiques ou couvertes par un accord de confidentialité. Il vaut mieux identifier ces catégories en amont et prévoir qu’elles soient exclues du traitement automatique ou traitées autrement.

Qui a accès aux résultats ?

L’IA produit des résumés, des classements, des extractions. Ces résultats sont eux-mêmes des données, stockées quelque part. Les droits d’accès doivent suivre ceux des données d’origine.

Les options d’hébergement

Il n’y a pas une bonne réponse, mais un éventail d’options :

• Un service d’IA via API, avec une offre professionnelle et des conditions adaptées. Simple à mettre en œuvre, performances élevées, mais les données sortent de l’entreprise.
• Un fournisseur ou une région européenne, quand la localisation est un critère.
• Un modèle ouvert hébergé chez un prestataire cloud choisi par l’entreprise, avec plus de contrôle sur la configuration.
• Un modèle ouvert hébergé en interne, quand les données ne doivent pas sortir. Plus de contrôle, mais aussi plus de travail d’exploitation, et des modèles parfois moins performants selon la tâche.

Le choix dépend de la sensibilité des données, du volume, de la performance attendue et des moyens disponibles pour maintenir la solution.

Le cadre réglementaire

Le RGPD s’applique dès que des données personnelles sont traitées, IA ou pas. Le règlement européen sur l’IA ajoute des obligations qui dépendent du type d’usage et de son niveau de risque. Le niveau d’encadrement varie selon l’usage : ceux qui touchent aux décisions concernant des personnes font l’objet d’exigences plus fortes.

Ces sujets doivent être analysés au cas par cas, avec les personnes compétentes dans l’entreprise ou un conseil spécialisé. Ce que l’on peut faire en amont, c’est documenter clairement quelles données circulent, vers qui, et pourquoi.

Notre approche

C’est l’un de nos engagements : la transparence sur les données. Avant tout projet, nous disons quels fournisseurs d’IA sont envisagés et comment vos données circulent. Les données sensibles et les questions de conformité sont analysées avec vous avant de lancer un projet qui les concerne.

Cette transparence n’est pas une contrainte ajoutée à la fin. Elle influence les choix techniques dès le départ : quelles données envoyer, à quel fournisseur, avec quelle configuration, et quelles alternatives prévoir. Pour aller plus loin, voir par où commencer avec l’IA en entreprise.

Vous voulez utiliser l’IA sans perdre la maîtrise de vos données ? Parlons-en 20 minutes.