Langue: Français
Lorsque vous connectez un assistant IA à ActivityInfo, l'assistant lit les données de votre base de données et les envoie à l'entreprise qui gère l'assistant. Cette entreprise traite vos données en votre nom. La question de savoir si cela est acceptable est une décision de protection des données pour votre organisation, et non une décision technique, et elle doit être réglée avant que quiconque ne connecte un assistant à une base de données contenant des données sensibles.
Dans ActivityInfo, les données sensibles désignent généralement les données personnelles des personnes bénéficiant d'un programme : noms, coordonnées, composition du ménage, lieux, informations sur la santé, cas de protection, ou texte libre qui identifie quelqu'un indirectement. Cet article décrit ce qu'il faut vérifier, et dans quel ordre.
Ce qui quitte ActivityInfo
Un assistant agit avec les autorisations de l'utilisateur qui l'a autorisé, comme décrit dans Comprendre les autorisations pour les assistants IA. Dans le cadre de ces autorisations, les données qui parviennent au fournisseur d'IA contiennent :
- les noms et descriptions des bases de données, des dossiers, des formulaires et des champs,
- les valeurs dans les enregistrements que l'assistant récupère, y compris le texte libre,
- les résultats des analyses qu'il effectue, et
- les questions que vous posez et les réponses qu'il donne, qui toutes deux répètent des données.
Considérez tout ce qu'un assistant lit comme des données que votre organisation a divulguées au fournisseur. Supposez que ces données sont stockées dans l'historique de la conversation et qu'elles peuvent être lues par le personnel du fournisseur dans les conditions décrites dans ses termes.
Utiliser un compte professionnel ou d'entreprise
Un compte grand public et un compte professionnel du même fournisseur sont souvent régis par des conditions différentes.
Les comptes grand public, y compris les comptes gratuits et les abonnements payants individuels, généralement :
- autorisent le fournisseur à utiliser le contenu des conversations pour améliorer ou entraîner ses modèles,
- n'offrent aucun accord de traitement des données (Data Processing Agreement), seulement des conditions pour les consommateurs,
- ne donnent à votre organisation aucun contrôle administratif sur qui connecte quoi, ni aucun contrôle sur la durée de conservation des conversations, et
- ne prennent aucun engagement sur le lieu de traitement des données.
Un compte sur un forfait professionnel, d'équipe ou d'entreprise, acheté par votre organisation plutôt que par un particulier, offre normalement un accord de traitement des données (Data Processing Agreement), des contrôles administratifs et des paramètres de conservation. Les conditions diffèrent d'un fournisseur à l'autre et changent avec le temps, alors lisez les conditions qui s'appliquent au forfait spécifique à la date où vous l'achetez, plutôt que de vous fier à un résumé.
Ne connectez pas une base de données qui contient des données personnelles en utilisant un compte grand public.
Examiner l'accord de traitement des données (DPA)
En vertu du RGPD et d'une législation similaire dans d'autres pays, votre organisation est le responsable du traitement des données dans votre base de données ActivityInfo, et un fournisseur d'IA qui les traite devient un sous-traitant. Un accord écrit est obligatoire, et votre organisation doit l'examiner avant de se connecter. Vérifiez qu'il :
- désigne le fournisseur comme un sous-traitant et limite le traitement à la fourniture du service,
- stipule que vos entrées et sorties ne sont pas utilisées pour entraîner ou améliorer les modèles du fournisseur,
- liste les sous-traitants ultérieurs et indique comment vous êtes informé de leurs modifications,
- indique la durée de conservation des entrées et des sorties, et comment elles sont supprimées,
- décrit les mesures de sécurité qui s'appliquent,
- engage le fournisseur à vous notifier en cas de violation de données personnelles,
- donne à votre organisation un droit d'audit ou de recevoir des rapports d'audit, et
- définit le mécanisme juridique pour tout traitement en dehors de votre propre région.
Conservez l'accord signé avec votre registre des activités de traitement, ainsi qu'une note indiquant les bases de données concernées par la décision. Si un fournisseur n'offre pas d'accord de traitement des données, ne connectez pas une base de données qui contient des données personnelles.
Garder les données sensibles hors de l'entraînement des modèles
Un modèle entraîné sur vos enregistrements peut en reproduire des fragments dans les réponses données à d'autres personnes. Supprimer une conversation, fermer un compte ou invoquer un droit à l'effacement ne supprime pas les données d'un modèle qui a déjà été entraîné avec.
Confirmez donc deux choses distinctes :
- Exclusion de l'entraînement. L'accord de traitement des données, ou les conditions de votre forfait, doit stipuler que votre contenu n'est pas utilisé pour l'entraînement. Lorsque le fournisseur propose également un paramètre pour cela, vérifiez également ce paramètre, et revérifiez-le après tout changement de forfait ou après que le fournisseur a modifié ses conditions.
- Examen humain et conservation. Les fournisseurs conservent généralement les conversations pendant une certaine période pour surveiller les abus, et le personnel peut lire les conversations signalées. Ceci est distinct de l'entraînement, n'est souvent pas quelque chose que vous pouvez désactiver, et constitue en soi une divulgation des données. Renseignez-vous sur la période de conservation et sur qui peut lire les données pendant cette période.
Tenir compte du lieu de traitement des données
Le transfert de données personnelles au-delà des frontières nécessite souvent un mécanisme de transfert légal, tel qu'une décision d'adéquation ou des Clauses Contractuelles Types (Standard Contractual Clauses) ainsi qu'une évaluation du risque dans le pays de destination. La plupart des grands fournisseurs d'IA traitent les données aux États-Unis, ou dans plusieurs régions.
Établissez, par écrit :
- les régions où le modèle s'exécute et où l'historique des conversations est stocké,
- les emplacements des sous-traitants ultérieurs,
- si le forfait offre un engagement de résidence des données, et si cet engagement couvre le traitement ainsi que le stockage, et
- sur quel mécanisme de transfert l'accord repose.
Documentez l'évaluation. Pour certaines catégories de données, la conclusion peut être qu'aucun transfert n'est acceptable et que les données doivent rester en dehors de toute base de données accessible à un assistant. Les données révélant l'état de santé, les données sur les cas de protection ou de violence basée sur le genre, et toute donnée qui pourrait mettre une personne en danger si elle était divulguée, entrent dans cette catégorie, sauf avis contraire de votre conseiller en protection des données.
Envisager des fournisseurs locaux
Les principaux fournisseurs d'IA, OpenAI et Anthropic, sont basés aux États-Unis. Cependant, ce ne sont pas les seules options à considérer.
Mistral AI est établie en France et déclare héberger les données dans l'Union européenne par défaut. Son assistant prend en charge les connecteurs MCP personnalisés, il peut donc se connecter à ActivityInfo de la même manière que les autres assistants décrits dans ce manuel. Voir Connecter Mistral à ActivityInfo.
Pour une organisation qui doit conserver les données personnelles au sein de l'Union européenne, un fournisseur basé dans l'UE élimine la question du transfert international plutôt que de vous obliger à la gérer. Cela ne supprime pas les autres vérifications : examinez l'accord de traitement des données, confirmez l'exclusion de l'entraînement pour le forfait que vous achetez, et utilisez un compte d'organisation plutôt qu'un compte personnel.
Réduire ce qu'un assistant peut atteindre
Une fois que votre organisation a décidé qu'un fournisseur est acceptable, limitez l'exposition à ce dont le travail a réellement besoin :
- Activez le serveur MCP uniquement pour les bases de données qui en ont besoin. Le paramètre est par base de données et désactivé par défaut.
- N'accordez qu'un accès en lecture, sauf si l'assistant doit apporter des modifications.
- Connectez-vous avec un compte dont le rôle n'accorde que ce qui est nécessaire. Un rôle limité aux dossiers pertinents, ou limité par une condition à une partie d'un formulaire, limite l'assistant de la même manière. Évitez de vous connecter avec un compte administrateur par commodité.
- Laissez les identifiants directs hors des formulaires lorsque l'objectif ne les exige pas. Un formulaire qui n'a pas besoin d'un nom ou d'un numéro de téléphone pour remplir sa fonction ne devrait pas en collecter.
- Conservez les données les plus sensibles dans une base de données distincte pour laquelle le serveur MCP est désactivé.
Décider qui peut se connecter, en tant qu'organisation
Le commutateur est par base de données, et la personne qui l'active prend la décision pour tous ceux qui ont accès à cette base de données. Cela en fait une décision organisationnelle plutôt qu'individuelle.
Rédigez et diffusez :
- quelles bases de données peuvent être connectées à un assistant, et lesquelles ne le peuvent pas,
- quels fournisseurs et quels forfaits sont approuvés,
- qui approuve une nouvelle connexion, et
- à quelle fréquence les autorisations existantes sont examinées.
Demandez aux utilisateurs d'examiner périodiquement les assistants qu'ils ont autorisés et de révoquer ceux qu'ils n'utilisent plus, comme décrit dans Examiner et révoquer les assistants connectés.