Une IA peut-elle réellement protéger vos données

Un service hébergé doit traiter ce que vous lui envoyez pour produire une réponse. La question utile n'est donc pas seulement « est-ce chiffré ? », mais aussi : où le contenu est-il traité, combien de temps est-il conservé, qui peut y accéder et selon quelles règles ?

La CNIL recommande de partir d'un besoin précis et de définir les usages autorisés. Résumer un document public et analyser un dossier contenant des données personnelles ne posent pas les mêmes questions. La promesse commerciale doit être rapportée à une offre, une configuration et une date.

Le chiffrement protège les données pendant leur transport. Il ne dit pas, à lui seul, ce que le service fait du contenu une fois reçu. Une évaluation sérieuse regarde donc aussi la politique de conservation, les paramètres d'entraînement, les sous-traitants et les engagements contractuels.

La CNIL rappelle que la sécurité doit être proportionnée aux risques du traitement. Contrôles d'accès, environnement de développement et protection des données ne se résument pas à la qualité du modèle. Le paiement d'un abonnement ne constitue pas, à lui seul, une garantie de confidentialité.

« Zéro rétention », exclusion de l'entraînement, hébergement régional ou environnement d'entreprise peuvent recouvrir des architectures et des contrats différents. La robustesse d'une promesse dépend de la documentation disponible, des audits éventuels, des exceptions et du périmètre exact du produit.

Ne pas utiliser les conversations pour l'entraînement ne signifie pas ne rien conserver. Et supprimer un échange visible ne décrit pas nécessairement le sort des sauvegardes ou des journaux techniques. Il faut lire les exceptions et demander une clarification lorsqu'une documentation reste incomplète.

Si une équipe traite une donnée sensible comme si elle restait strictement locale alors qu'elle traverse un service tiers, elle peut étendre involontairement son exposition. Le niveau de précaution doit donc suivre la sensibilité de la donnée, pas le confort apparent de l'interface.

Un exemple : retirer un nom ne suffit pas toujours à rendre un dossier anonyme si son contexte permet d'identifier la personne. Cette difficulté invite à minimiser les informations envoyées plutôt qu'à présumer leur anonymat. Un déploiement local doit lui aussi protéger les postes, les accès et les sauvegardes.

Avant d'utiliser une IA avec des informations sensibles, vérifier les règles de rétention, d'entraînement, de sous-traitance, de localisation et de suppression. Lorsque le risque l'exige, réduire les données envoyées, anonymiser ce qui peut l'être ou choisir une architecture qui limite l'exposition à des tiers.

Le bon arbitrage peut être de renoncer à un usage, d'employer des données publiques ou de faire valider l'environnement par les responsables concernés. ANSSI distingue la sécurité des systèmes d'IA de leur utilisation pour la cybersécurité : un outil capable de détecter une menace n'est pas pour autant sans risque.