Notes · L’IA en entreprise

Que peut-on confier à Claude ou ChatGPT ?

Demandez dans votre entreprise qui utilise l’IA. En général, plus de mains se lèvent que la direction ne le pense. L’offre est reformulée avec ChatGPT, le procès-verbal résumé avec Claude, l’e-mail du client traduit. Souvent avec un compte privé.

Ce n’est pas une raison de paniquer. Cela montre que les outils sont utiles. Le problème est ailleurs. Personne ne sait quelles données sont sorties de l’entreprise, et personne n’a fixé ce qui est permis.

Le vrai risque, c’est le compte privé

Avec un compte privé, chaque personne décide de réglages que l’entreprise devrait fixer. Un exemple : Anthropic entraîne de nouveaux modèles avec les conversations des offres privées Free, Pro et Max si la personne l’autorise dans ses paramètres. Les données sont alors conservées jusqu’à cinq ans selon Anthropic, sinon 30 jours. Pour ses offres entreprises (Team, Enterprise et l’API), Anthropic n’utilise pas par défaut les entrées et les sorties pour l’entraînement.

Chez ChatGPT aussi, les comptes privés et les offres entreprises ont des conditions différentes. Selon OpenAI, les données de ChatGPT Business, Enterprise et Edu ainsi que de l’API ne servent pas par défaut à l’entraînement. Je vérifie la version actuelle du contrat avant chaque mise en place.

Et quand quelqu’un quitte l’entreprise, ses conversations partent avec lui. Vous ne savez pas ce qu’elles contiennent et ne pouvez rien effacer.

Une politique d’une page suffit pour commencer

Pas besoin d’un manuel. Une page que tout le monde lit protège mieux que vingt que personne ne lit. Elle répond à quatre questions.

1. Quels outils et quels comptes sont autorisés ? Par exemple Claude avec le compte de l’entreprise, pas de compte privé pour le travail.
2. Quelles données peuvent y entrer, et lesquelles jamais ? Les informations générales et publiques, oui. Les mots de passe, les données sur la santé et tout ce qui relève du secret professionnel, jamais. Les données de clients uniquement dans un outil autorisé pour cela.
3. Qui vérifie les résultats ? L’IA écrit de manière convaincante, même quand elle se trompe. Ce qui part chez un client est d’abord relu par une personne.
4. À qui signaler une erreur ? Qui a collé par mégarde des données de clients doit pouvoir le dire sans crainte. C’est la seule façon de réagir.

Vous pouvez télécharger ici un modèle. Il contient des champs pour le nom de votre entreprise et la personne responsable. Il ne remplace pas un conseil juridique et doit être adapté à votre entreprise.

Télécharger le modèle (Word)Aperçu (PDF)

Des comptes d’entreprise plutôt que des interdictions

Une interdiction pousse l’usage vers les téléphones privés. Mieux vaut un compte d’entreprise que les gens utilisent volontiers. Chez Claude, cela veut dire un plan Team ou Enterprise. Vous attribuez les comptes de façon centralisée, les bloquez en cas de départ et fixez ce qui est permis. Si une collaboratrice note une réponse d’un pouce levé ou baissé, Anthropic peut, selon ses propres indications, utiliser cette conversation pour l’entraînement. Dans les plans Team et Enterprise, vous pouvez désactiver ces évaluations pour tout le monde.

Ce qu’exige la loi sur la protection des données

La loi révisée sur la protection des données (LPD) s’applique depuis septembre 2023. Pour les outils d’IA, trois points comptent.

• Communication à l’étranger. Des données personnelles peuvent être communiquées vers un pays dont le Conseil fédéral a reconnu la protection des données comme adéquate. Pour les États-Unis, cela ne vaut depuis le 15 septembre 2024 que pour les entreprises certifiées selon le Swiss-U.S. Data Privacy Framework. La liste du département américain du Commerce indique si votre fournisseur en fait partie. Sinon, il faut des garanties, par exemple des clauses contractuelles types (art. 16 LPD). Je le vérifie dans le contrat du fournisseur.
• Registre des activités de traitement. L’utilisation de l’IA avec des données personnelles y figure comme traitement (art. 12 LPD). Les entreprises de moins de 250 collaborateurs en sont dispensées, sauf si elles traitent des données sensibles à grande échelle ou effectuent un profilage à risque élevé (art. 24 OPDo). Je recommande quand même l’inscription. Elle oblige à répondre une bonne fois aux questions.
• Annonce des incidents. Une violation de la sécurité des données qui entraîne vraisemblablement un risque élevé pour les personnes concernées s’annonce dans les meilleurs délais au PFPDT (art. 24 LPD). C’est pourquoi la politique désigne à qui s’adresser.

Où Claude traite vos données

Si vous utilisez Claude directement chez Anthropic, y compris avec un plan Team ou Enterprise, Anthropic indique stocker les données aux États-Unis. Les requêtes peuvent être traitées dans des centres de données aux États-Unis, en Europe, en Asie ou en Australie. Pour beaucoup de tâches, cela ne joue aucun rôle, pour certaines si. C’est pourquoi nous fixons ensemble quelles données restent dehors. Là où le traitement doit rester dans l’espace européen, il existe d’autres voies, par exemple Claude via un fournisseur cloud dans une région de l’UE, ou des modèles GPT sur Azure avec le bon type de déploiement. Ce que cela signifie sur Azure est expliqué dans la note Azure OpenAI : où vos données sont vraiment traitées.

Ce que je fais concrètement

• Un atelier avec votre direction. Ensuite, vous avez un projet de politique et savez de quels comptes vous avez besoin.
• Je configure les comptes d’entreprise et désactive ce que vous ne voulez pas.
• Je vérifie la protection des données et rédige l’inscription pour votre registre des activités de traitement.
• Une formation sur vos propres tâches : comment remplacer les noms avant de coller un texte, et comment vérifier les résultats.