Ces questions sont essentielles. Les solutions d’intelligence artificielle peuvent traiter des informations commerciales, administratives, techniques et parfois des données personnelles.
Une PME peut notamment souhaiter utiliser l’IA pour analyser des devis, rechercher des informations dans des dossiers clients, préparer des comptes rendus ou automatiser certaines opérations. Mais avant de connecter une solution à ses outils métiers, elle doit comprendre quelles informations seront utilisées, où elles seront traitées et qui pourra y accéder.
Une intégration IA doit être conçue en tenant compte des risques liés aux données, aux utilisateurs et aux actions réalisées.
Dans ce guide, Pluton Consulting présente les principaux points de vigilance et les bonnes pratiques pour déployer l’intelligence artificielle dans une entreprise.
Pour mieux protéger les données utilisées par une solution IA :
- Identifier les catégories d’informations traitées.
- Vérifier les fournisseurs et leurs conditions contractuelles.
- Déterminer les lieux de traitement et de stockage.
- Limiter les accès aux seules personnes et applications autorisées.
- Encadrer les connexions aux logiciels métiers.
- Protéger les clés API et les identifiants.
- Prévoir des contrôles humains pour les actions sensibles.
- Vérifier les obligations réglementaires applicables.
- Tester la solution avant son déploiement.
- Mettre en place une supervision et des procédures de gestion des incidents.
La sécurité ne repose pas sur un seul outil. Elle dépend de l’ensemble de l’architecture technique et organisationnelle.
Quels sont les risques liés à l’utilisation de l’IA en entreprise ?
L’intelligence artificielle peut être utilisée dans de nombreux processus métiers.
Cependant, certaines utilisations peuvent exposer l’entreprise à des risques.
Divulgation d’informations confidentielles
Des collaborateurs peuvent transmettre des documents sensibles à un service IA sans avoir vérifié les conditions d’utilisation.
Accès non autorisés
Une solution mal configurée peut donner accès à des informations qui ne devraient pas être consultables par certains utilisateurs.
Erreurs de traitement
Un modèle IA peut produire des informations incorrectes ou mal interpréter un document.
Actions inadaptées
Un agent IA connecté à un logiciel peut déclencher une opération non souhaitée si ses permissions et ses contrôles sont insuffisants.
Dépendance aux fournisseurs
Les changements de fonctionnalités, de tarifs ou de conditions contractuelles peuvent affecter le fonctionnement d’une solution.
Non-respect des obligations applicables
Le traitement de données personnelles ou l’utilisation de certains systèmes IA peut entraîner des obligations spécifiques.
Ces risques doivent être étudiés avant le déploiement.
Les six piliers d’un projet IA sécurisé :
Données
Identifier, classifier et limiter les informations utilisées.
Accès
Définir les permissions et protéger les identifiants.
Infrastructure
Examiner l’hébergement, les fournisseurs et les flux.
Contrôles
Prévoir les validations et la gestion des erreurs.
Collaborateurs
Former les utilisateurs aux règles et aux limites.
Gouvernance
Documenter les responsabilités et organiser le suivi.
Quelles données peut-on transmettre à une intelligence artificielle ?
La réponse dépend du service utilisé, des contrats, des paramètres, de la finalité du traitement et des obligations applicables.
Il est utile de distinguer plusieurs catégories d’informations.
Données publiques
Il peut s’agir d’informations librement accessibles, sous réserve des droits et conditions applicables.
Données internes
Elles peuvent comprendre des procédures, des documents de travail ou des informations opérationnelles.
Données commerciales confidentielles
Elles peuvent concerner les prix, les marges, les propositions commerciales, les stratégies ou les contrats.
Données personnelles
Il s’agit d’informations concernant une personne physique identifiée ou identifiable.
Données particulièrement sensibles
Certaines catégories de données personnelles bénéficient d’un régime de protection spécifique.
La possibilité de traiter une donnée avec un outil IA doit être vérifiée avant son utilisation.
Une information ne devient pas librement exploitable simplement parce qu’elle est techniquement accessible.
Intelligence artificielle et RGPD : quelles obligations pour une PME ?
Le règlement général sur la protection des données, ou RGPD, s’applique lorsqu’une organisation réalise des traitements de données personnelles relevant de son champ d’application.
L’utilisation d’un outil IA ne dispense pas l’entreprise de respecter ses obligations.
Selon les situations, il peut notamment être nécessaire de :
- Définir la finalité du traitement.
- Identifier une base légale appropriée.
- Limiter les données utilisées à ce qui est nécessaire.
- Définir les durées de conservation.
- Informer les personnes concernées.
- Encadrer les relations avec les prestataires.
- Protéger les données.
- Organiser l’exercice des droits.
- Examiner les transferts internationaux.
- Déterminer si une analyse d’impact est nécessaire.
Les obligations précises dépendent du traitement, des rôles des acteurs et des risques.
Une entreprise doit également déterminer si elle agit comme responsable de traitement ou sous-traitant pour les opérations concernées.
Faut-il réaliser une analyse d’impact ?
Une analyse d’impact relative à la protection des données peut être obligatoire lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes.
Elle n’est pas automatiquement obligatoire pour chaque utilisation de l’IA.
La nécessité d’en réaliser une doit être examinée au regard du traitement concerné.
Pour approfondir les obligations applicables, il est recommandé de consulter les ressources officielles de la CNIL.
Où sont stockées les données utilisées par une IA ?
Il faut distinguer plusieurs opérations :
- La transmission des données.
- Leur traitement.
- Leur stockage éventuel.
- La conservation des journaux techniques.
- Les sauvegardes.
- Les accès de support.
- Les transferts éventuels vers d’autres prestataires.
Une solution IA peut utiliser plusieurs services techniques.
Les lieux de traitement et de stockage dépendent de l’architecture et des fournisseurs retenus.
Hébergement en France
Certaines architectures peuvent utiliser des infrastructures situées en France.
Hébergement dans l’Union européenne
D’autres solutions peuvent proposer des modalités de traitement ou de stockage au sein de l’Union européenne.
Hébergement hors de l’Union européenne
Des transferts internationaux peuvent nécessiter des garanties et vérifications spécifiques lorsqu’ils concernent des données personnelles.
Le lieu d’hébergement ne suffit pas, à lui seul, à démontrer la conformité ou la sécurité d’une solution.
Il faut également examiner les accès, les contrats, les sous-traitants, les flux de données et les mesures techniques.
Les données transmises à ChatGPT ou à d’autres IA sont-elles confidentielles ?
Les conditions de traitement des données varient selon les fournisseurs, les produits, les offres et les paramètres.
Il ne faut pas supposer que tous les services IA fonctionnent de la même manière.
Avant de choisir un outil, une entreprise doit notamment vérifier :
- Les conditions contractuelles.
- Les modalités d’utilisation des données.
- Les politiques de conservation.
- Les paramètres disponibles.
- Les sous-traitants.
- Les mesures de sécurité annoncées.
- Les possibilités de suppression.
- Les modalités d’administration.
- Les engagements de confidentialité.
Les informations doivent être vérifiées pour le produit et l’offre réellement utilisés.
Il est recommandé de définir une politique interne précisant les données qui peuvent être transmises aux outils IA.
Comment sécuriser un agent IA connecté aux logiciels métiers ?
Un agent IA peut être conçu pour consulter des documents, rechercher des informations ou réaliser certaines actions dans des applications.
Les risques dépendent notamment des permissions accordées.
Limiter les droits
L’agent ne doit disposer que des accès nécessaires à sa mission.
Séparer lecture et écriture
Lorsque cela est possible, les opérations de consultation doivent être distinguées des opérations modifiant des données.
Encadrer les actions sensibles
Les opérations financières, contractuelles ou difficilement réversibles doivent faire l’objet de contrôles appropriés.
Prévoir une validation humaine
Une action peut être préparée par l’IA puis confirmée par un collaborateur habilité.
Conserver une traçabilité adaptée
Il peut être nécessaire d’enregistrer les opérations réalisées, dans le respect des obligations applicables.
Tester les comportements inattendus
Les tests doivent inclure les erreurs, les demandes ambiguës et les tentatives de manipulation.
Qu’est-ce qu’une attaque par injection de prompt ?
Une injection de prompt consiste à introduire des instructions malveillantes dans un contenu qu’un système IA peut consulter.
Par exemple, un document externe pourrait contenir une instruction visant à modifier le comportement de l’agent.
Le risque apparaît lorsque le système traite des informations non fiables comme si elles constituaient des instructions autorisées.
Comment réduire ce risque ?
Plusieurs mesures peuvent être étudiées :
- Séparer les instructions du système et les contenus externes.
- Limiter les outils accessibles.
- Contrôler les actions autorisées.
- Vérifier les informations utilisées.
- Ajouter des validations humaines.
- Tester les scénarios d’attaque.
- Surveiller les comportements anormaux.
Aucune de ces mesures, prise isolément, ne garantit une protection absolue.
La sécurité doit être pensée à l’échelle de l’architecture.
Comment protéger les clés API et les accès aux logiciels ?
Les clés API permettent à certaines applications de communiquer avec des services externes.
Elles doivent être considérées comme des informations sensibles.
Une clé compromise peut permettre des accès ou des consommations non autorisés, selon les permissions associées.
Bonnes pratiques
- Ne pas publier les clés dans des documents publics.
- Éviter de les intégrer directement dans le code accessible aux utilisateurs.
- Utiliser un système adapté de gestion des secrets.
- Limiter les permissions.
- Séparer les environnements lorsque cela est pertinent.
- Surveiller les consommations.
- Prévoir la révocation et le renouvellement des identifiants.
- Retirer les accès devenus inutiles.
Les droits doivent être adaptés à chaque intégration.
Comment sécuriser une base documentaire utilisée par l’IA ?
Un assistant IA interne peut être connecté à une documentation d’entreprise.
Il peut notamment faciliter la recherche dans :
- Des procédures.
- Des contrats.
- Des documents techniques.
- Des dossiers clients.
- Des comptes rendus.
- Des fichiers administratifs.
Cependant, tous les collaborateurs ne doivent pas nécessairement accéder à tous les documents.
Respecter les droits d’accès
Les résultats de recherche doivent tenir compte des permissions applicables.
Contrôler les sources
Les documents utilisés doivent être identifiables et suffisamment fiables.
Gérer les versions
Une information ancienne peut conduire à une réponse inadaptée.
Limiter les données
Les documents intégrés doivent correspondre au besoin.
Prévoir des procédures de mise à jour
La base documentaire doit pouvoir évoluer avec l’activité.
Comment sécuriser les automatisations CRM et ERP ?
Les logiciels de gestion contiennent des informations essentielles au fonctionnement de l’entreprise.
Une automatisation peut être conçue pour transférer des données ou déclencher certaines opérations.
Avant de connecter les outils, il faut examiner :
- Les permissions.
- Les interfaces disponibles.
- Les catégories de données.
- Les règles de synchronisation.
- Les erreurs possibles.
- Les contrôles de cohérence.
- Les procédures de reprise.
- Les journaux techniques.
- Les accès des prestataires.
Une automatisation ne doit pas disposer de droits plus étendus que nécessaire.
Faut-il privilégier une IA hébergée localement ?
Certaines entreprises envisagent un déploiement sur leur propre infrastructure.
Cette approche peut répondre à des contraintes particulières.
Cependant, elle implique également des responsabilités.
Avantages potentiels
- Maîtrise de certains composants techniques.
- Possibilité de définir une architecture spécifique.
- Contrôle de certains flux.
- Adaptation à des contraintes internes.
Points de vigilance
- Coût des infrastructures.
- Administration des systèmes.
- Maintenance.
- Mises à jour.
- Sécurité.
- Sauvegardes.
- Disponibilité.
- Performances.
- Compétences nécessaires.
Un hébergement local n’est pas automatiquement plus sûr qu’une solution hébergée par un fournisseur spécialisé.
La sécurité dépend de la qualité de l’architecture et de son exploitation.
Comment former les collaborateurs à la sécurité de l’IA ?
La sécurité dépend aussi des pratiques quotidiennes.
Une formation peut aborder :
- Les données autorisées.
- Les documents confidentiels.
- Les informations personnelles.
- Les règles de partage.
- Les limites des modèles.
- Les erreurs possibles.
- La vérification des réponses.
- Les procédures internes.
- Le signalement des incidents.
Les collaborateurs doivent comprendre ce qu’ils peuvent faire avec les outils et les situations nécessitant une validation.
Comment organiser la gouvernance IA d’une PME ?
Une PME peut définir des règles simples pour encadrer ses projets.
Identifier les responsables
Déterminer qui valide les usages et les accès.
Recenser les outils
Connaître les solutions utilisées dans l’entreprise.
Classer les données
Identifier les informations sensibles.
Définir les autorisations
Préciser les usages permis et interdits.
Évaluer les risques
Examiner les conséquences possibles d’une erreur.
Former les utilisateurs
Diffuser les règles et les bonnes pratiques.
Organiser le suivi
Prévoir des contrôles et une mise à jour des procédures.
Cette démarche doit rester proportionnée à la taille de l’entreprise et aux risques rencontrés.
Le règlement européen sur l’IA concerne-t-il les PME ?
Le règlement européen sur l’intelligence artificielle, souvent appelé AI Act, prévoit un cadre fondé notamment sur les catégories de systèmes et les risques associés.
Les obligations applicables dépendent du rôle de l’entreprise, du système utilisé, de sa finalité et des dispositions effectivement entrées en application.
Une PME qui utilise un service IA n’a pas nécessairement les mêmes obligations qu’une organisation qui développe ou commercialise un système.
Avant un déploiement, il convient de vérifier :
- La finalité du système.
- Les acteurs concernés.
- La classification éventuelle du système.
- Les obligations applicables.
- Le calendrier réglementaire en vigueur.
Les exigences doivent être appréciées au cas par cas.
Pour obtenir une interprétation juridique adaptée, l’entreprise peut solliciter un professionnel compétent.
Comment auditer la sécurité d’un projet IA ?
Une analyse préalable peut porter sur plusieurs dimensions.
Les données
Quelles informations seront utilisées ?
Les utilisateurs
Qui pourra accéder à la solution ?
Les fournisseurs
Quels services techniques interviendront ?
Les logiciels
Quelles applications seront connectées ?
Les permissions
Quelles actions seront autorisées ?
Les risques
Quelles seraient les conséquences d’une erreur ?
Les contrôles
Quelles vérifications seront nécessaires ?
La supervision
Comment détecter et traiter les incidents ?
La conformité
Quelles obligations devront être respectées ?
Cette analyse permet d’identifier les points à traiter avant le déploiement.
QUESTIONNAIRE
Évaluez les contrôles prévus
RÉSULTAT
Répondez aux questions pour obtenir une orientation indicative.
Questionnaire d’orientation uniquement. Il ne remplace ni un audit de sécurité, ni une analyse juridique ou RGPD.
Pourquoi choisir Pluton Consulting pour votre projet IA ?
Pluton Consulting accompagne les entreprises dans l’intégration de l’intelligence artificielle et l’automatisation de leurs processus métiers.
Notre société est implantée à Mérignac, dans Bordeaux Métropole, et étudie des projets partout en France.
Nous intervenons notamment sur :
- L’audit IA.
- Le conseil.
- L’automatisation.
- Les agents IA.
- Le développement sur mesure.
- L’intégration aux logiciels métiers.
- La formation.
Dans le cadre des projets, les questions de permissions, de données, de connexions et de contrôle doivent être examinées selon les besoins.
Notre objectif est de concevoir des solutions utiles et adaptées aux contraintes opérationnelles des entreprises.
ET MAINTENANT
Intégrez l’IA dans votre entreprise avec une approche maîtrisée
Vous souhaitez automatiser vos processus ou déployer un agent IA, mais vous vous interrogez sur la confidentialité et la sécurité des données ? Pluton Consulting peut étudier vos besoins, vos logiciels et les contraintes techniques de votre projet. L’objectif est d’identifier les possibilités d’intégration et les mesures à prévoir avant le déploiement.
Faire étudier mon projet IA
