Demander à ChatGPT de résumer un CV, copier un échange client pour obtenir une réponse, faire synthétiser un compte rendu de réunion par une intelligence artificielle… Ces usages peuvent sembler anodins et font désormais partie du quotidien de nombreux professionnels.
Pourtant, une question mérite d’être posée avant de cliquer sur « envoyer » : quelles informations sommes-nous réellement en train de transmettre à l’IA ?
L’utilisation de l’intelligence artificielle générative en entreprise n’est pas incompatible avec la protection des données personnelles. Elle nécessite cependant quelques précautions, particulièrement lorsque les informations utilisées concernent des salariés, des candidats, des clients ou des partenaires.
Une donnée personnelle, c’est quoi exactement ?
Une donnée personnelle est une information qui permet d’identifier directement ou indirectement une personne. Il peut donc s’agir d’un nom ou d’un prénom, mais aussi d’une adresse e-mail, d’un numéro de téléphone, d’une photographie, d’un identifiant client ou de plusieurs informations qui une fois croisées, permettent de retrouver une personne. C’est donc une notion beaucoup plus large qu’on pourrait le penser.
En entreprise, de nombreux documents en contiennent naturellement. Par exemple un CV, une réclamation client, un compte rendu d’entretien, un fichier commercial ou un échange de mails peuvent ainsi contenir plusieurs données personnelles.
Le problème n’est donc pas d’utiliser une IA pour travailler sur ces documents, mais de savoir quelles informations lui sont transmises.
Le premier risque se trouve souvent dans le prompt
Lorsque l’on utilise une IA générative, on se concentre généralement sur la réponse que l’on souhaite obtenir. Pourtant, il faut aussi regarder ce que l’on transmet à l’outil pour l’obtenir.
Prenons un exemple simple. Un responsable RH copie l’intégralité d’un CV dans une IA et lui demande d’en faire une synthèse. Il vient potentiellement de transmettre à un service externe le nom du candidat, ses coordonnées, ses expériences professionnelles et différentes informations sur son parcours.
Même situation avec un commercial qui copie un échange avec un client ou un manager qui demande à une IA de reformuler un compte rendu contenant les noms de plusieurs collaborateurs.
La CNIL recommande ainsi de ne transmettre à une IA que les informations que l’utilisateur est réellement autorisé à partager. Elle conseille notamment d’éviter d’y saisir des données personnelles, confidentielles ou stratégiques sans avoir vérifié comment l’outil les utilise et les protège.
Mais que deviennent les informations envoyées à une IA ?
Il n’existe pas une réponse unique à cette question. Tout dépend de l’outil utilisé, de sa configuration et du type de compte ou d’abonnement.
Une chose est certaine, lorsqu’une information est saisie dans une IA en ligne, elle est transmise au fournisseur du service afin qu’il puisse traiter la demande et générer une réponse.
Cela ne veut pas forcément dire qu’elle sera utilisée pour entraîner le modèle. Certains outils permettent de désactiver cette utilisation et certaines offres professionnelles excluent même l’entraînement sur les données de l’entreprise par défaut, mais les informations doivent tout de même être traitées par le service pour pouvoir répondre à la demande.
Avant d’utiliser une IA avec des informations professionnelles, l’entreprise doit donc s’interroger sur ce que deviennent ces données : où sont-elles hébergées, combien de temps sont-elles conservées, peuvent-elles être réutilisées et quelles garanties propose le fournisseur ?
C’est particulièrement important lorsque les informations concernent des salariés, des clients ou des partenaires.
Attention aussi aux réponses produites par l’IA
La protection des données ne concerne pas uniquement les informations que l’on transmet à l’outil.
Une IA générative peut également produire une information fausse à propos d’une personne tout en la présentant de manière très convaincante. C’est ce que l’on appelle communément une « hallucination ».
Le problème apparaît lorsque cette information est ensuite reprise sans vérification dans un fichier client, un dossier RH ou pour prendre une décision professionnelle.
L’IA ne dispense donc pas l’utilisateur de vérifier les résultats obtenus.
Quels réflexes adopter en entreprise ?
L’idée ici n’est pas d’interdire l’utilisation de l’IA générative mais de l’encadrer.
Une entreprise peut commencer par définir quels outils peuvent être utilisés et pour quels usages. Elle doit également permettre à ses collaborateurs de savoir quelles informations peuvent être communiquées à une IA et lesquelles doivent rester dans l’environnement interne de l’organisation.
Lorsqu’une information personnelle n’est pas nécessaire pour réaliser une tâche, le réflexe à prendre peut être de la retirer ou la masquer avant de transmettre le document. Une IA n’a par exemple pas besoin de connaître le nom d’un candidat pour résumer son parcours professionnel.
La CNIL recommande également aux organisations de formaliser des règles internes d’utilisation et de former les utilisateurs au fonctionnement, aux limites et aux risques de ces outils.
Cette sensibilisation est d’autant plus importante que les usages évoluent rapidement. Savoir utiliser une IA, ce n’est pas uniquement savoir rédiger un bon prompt, c’est aussi savoir quelles informations peuvent lui être confiées.
Pour les entreprises qui souhaitent accompagner leurs équipes dans ces nouveaux usages, la formation permet justement de mieux comprendre le fonctionnement des outils, leurs limites et les bonnes pratiques à adopter au quotidien. Vous pouvez retrouver nos formations dédiées à l’intelligence artificielle pour découvrir les parcours adaptés aux différents métiers et usages professionnels.
L’intelligence artificielle générative offre de nombreuses possibilités pour gagner du temps et faciliter certaines tâches. L’enjeu n’est donc pas de s’en priver, mais d’apprendre à l’utiliser sans perdre la maîtrise des informations que l’entreprise lui confie.