IA générative et données : les recommandations de la CNIL pour les entreprises

Partir d'un besoin, pas de l'outil

Le 18 juillet 2024, la CNIL a publié une série de questions-réponses destinées aux organismes qui souhaitent utiliser un système d'IA générative. Premier conseil : partir de besoins concrets. Un outil qui aide à rédiger ne présente pas les mêmes risques qu'un outil qui aide à prendre une décision sur un client ou un candidat ; le second appelle davantage d'exigence.

La CNIL recommande aussi de vérifier, avant de choisir, la sécurité du système, sa pertinence pour le besoin, sa robustesse et l'absence de biais, en s'appuyant sur sa documentation.

Choisir le bon mode d'utilisation

Elle distingue plusieurs façons d'utiliser ces outils. Un service grand public peut convenir pour des usages qui ne touchent ni aux données personnelles ni aux informations confidentielles, à condition d'éviter les comptes créés avec des adresses personnelles. Dès que des données personnelles ou sensibles sont en jeu, elle juge une installation « sur site », chez vous, plus sûre.

Un service en ligne, dans le nuage, reste le plus courant : il faut alors un contrat de sous-traitance qui fixe les responsabilités et les accès, et un encadrement des transferts si les données quittent l'Union européenne. Avec une API, c'est surtout le fournisseur qui maîtrise le traitement : la CNIL conseille d'éviter, autant que possible, d'y saisir des données personnelles.

Ce que vos équipes peuvent saisir, ou pas

Les utilisateurs ne devraient soumettre que des informations qu'ils sont autorisés à partager. Selon les conditions du fournisseur, l'entreprise peut devoir interdire toute donnée personnelle, ou seulement certaines catégories. La CNIL conseille aussi de désactiver, quand c'est possible, la réutilisation de vos échanges par le fournisseur, et de proposer des modèles de requêtes déjà rédigés pour guider les équipes.

Former, vérifier, encadrer

• Former les utilisateurs au fonctionnement et aux limites de l'outil, et leur dire clairement ce qui est permis et ce qui ne l'est pas.
• Vérifier les résultats : ces systèmes peuvent produire des réponses inexactes qui paraissent plausibles. La CNIL recommande, comme bonne pratique, de ne jamais reprendre leurs sorties telles quelles, et de rester attentif au risque de trop s'y fier.
• Écrire une charte qui liste les usages autorisés et interdits, et prévoir une personne à qui signaler une difficulté.
• Associer le délégué à la protection des données, s'il y en a un, et envisager une analyse d'impact pour les usages sensibles.

Et pour une TPE ?

Nul besoin d'un comité pour appliquer ces conseils. Une page de règles, un compte professionnel plutôt que des comptes personnels, des paramètres vérifiés (historique, réutilisation des données) et une relecture systématique couvrent l'essentiel.

Un point mérite l'attention : si vous connectez l'outil à vos documents, par exemple une base de connaissances, ou si vous ajustez un modèle avec vos données, vous devenez responsable des données personnelles qu'elles contiennent. La CNIL rappelle enfin les obligations de transparence du règlement européen sur l'IA : signaler, dans les cas qu'il prévoit, les contenus créés par l'IA.