Utiliser les outils d'IA dans le cadre du RGPD : un guide pratique pour les équipes de l'UE

Je ne suis pas avocat et ce n'est pas un avis juridique - mais j'ai siégé des deux côtés, aidant les équipes à mettre en place des outils d'IA dans l'UE, et les quatre mêmes questions décident si un outil est autorisé sur l'ordinateur portable de travail : quelles données entrent, où sont-elles traitées, qui d'autre peut les voir et combien de temps sont-elles conservées. Si un fournisseur ne peut pas répondre clairement à ces quatre questions, l'outil n'est pas prêt pour les données client, quelle que soit la qualité du modèle.

Le point de départ pratique est que la plupart des données personnelles ne devraient pas du tout être stockées dans un outil de chat grand public. Un nom, un e-mail et une clause contractuelle sont des données personnelles au sens du RGPD, et les coller dans un assistant général signifie généralement qu'ils atterrissent sur une infrastructure hors de votre contrôle, sont utilisés pour des améliorations dans des conditions que vous n'avez pas négociées et sont plus difficiles à supprimer que prévu. La valeur par défaut qui fonctionne pour la plupart des équipes est la suivante : des outils grand public pour le travail interne non sensible, des accords d'entreprise pour tout ce qui touche les clients.

Le paramètre qui fait plus de travail que n'importe quel document de politique consiste à désactiver la formation sur vos données. Il existe dans la plupart des niveaux d'entreprise et souvent également dans les environnements grand public, et c'est la différence entre vos invites qui sont des données de formation et non. Lorsqu'un compte professionnel n'indique pas clairement si les invites sont utilisées pour la formation, traitez cela comme un non jusqu'à ce que vous l'obteniez par écrit.

La résidence des données est plus importante en Europe que ne le suggèrent les pages marketing. Si votre équipe insiste sur le traitement hébergé dans l'UE, vérifiez la région plutôt que de vous fier à une icône de drapeau, et vérifiez la liste des sous-traitants pour les fournisseurs que vous utilisez réellement : fournisseurs de modèles, services de transcription et tout outil d'automatisation situé au milieu. Chacune est une question de transfert distincte, et elles se multiplient.

La rétention est le point où la plupart des équipes sont surprises. Les historiques de discussions qui subsistent dans un espace de travail pendant des années constituent un handicap qui survit au projet, et la demande de suppression qui arrive dans dix-huit mois sera plus difficile si les données n'ont jamais été conçues pour expirer. Renseignez-vous auprès de votre fournisseur sur les délais de conservation et les garanties de suppression avant d'en avoir besoin, et définissez votre propre règle interne sur ce qui ne doit jamais être collé en premier lieu.

Ce qui m'a finalement convaincu d'écrire une politique plutôt que des conseils, c'est de voir une petite équipe inventer ses propres règles : pas de données client dans les outils grand public, pas de code source provenant de référentiels privés, pas d'informations sur la santé et une étape d'approbation de cinq minutes avant que quoi que ce soit ne soit envoyé à un modèle en dehors de la liste approuvée. Assez simple à retenir, suffisamment spécifique pour être appliqué, et il a survécu au premier audit.

Questions fréquemment posées :

Q : L'utilisation de ChatGPT au travail est-elle illégale en vertu du RGPD ?

R : Pas automatiquement, mais l'utilisation d'un compte consommateur pour les données client est très difficile à défendre, car vous ne pouvez généralement pas indiquer où les données ont été traitées, si elles ont été utilisées à des fins de formation ou si elles ont été supprimées sur demande. Pour le travail interne et non personnel, c'est généralement bien.

Q : Quel est le minimum que je dois faire avant de déployer un outil d'IA dans une équipe ?

R : Quatre éléments : un plan d'affaires avec une formation sur vos données désactivée, une liste d'outils approuvés, une liste interne à ne pas coller couvrant les données client et le code source, et un propriétaire nommé qui répond aux questions lorsque quelqu'un est bloqué.

Q : Ai-je besoin d’un accord de traitement des données avec le fournisseur ?

R : Oui, et il est généralement disponible sur les niveaux professionnels. Si un fournisseur n’en signe pas, c’est un signal clair de ne pas lui envoyer de données personnelles, quelle que soit la qualité du produit.