# Comment protéger les données de vos clients quand vous utilisez l’IA au travail?

Date: 2024-10-13 · Author: Robert Scales · https://guidetoartificialintelligence.com/fr/apprendre/proteger-donnees-clients-ia-au-travail/

**Answer:** Ne communiquez que le minimum de renseignements sur vos clients dont la tâche a besoin, remplacez les noms et les identifiants par des espaces réservés avant de coller quoi que ce soit, et utilisez les paramètres de confidentialité de l’outil ou un forfait d’entreprise qui exclut vos données de l’entraînement des modèles. Vérifiez ensuite que votre usage respecte vos obligations en matière de vie privée et les attentes de vos clients.

Les assistants IA sont utiles précisément pour le genre de travail qui touche les clients : rédiger des réponses, résumer des dossiers, préparer des propositions. C’est aussi pour cette raison qu’ils soulèvent une question de vie privée. Tout ce que vous tapez dans un robot conversationnel quitte votre ordinateur et est conservé, au moins pendant un certain temps, par l’entreprise qui l’exploite. Selon le service et vos paramètres, ce contenu peut aussi être lu par des réviseurs humains ou servir à améliorer de futurs modèles.

La bonne nouvelle, c’est que l’essentiel de la protection vient d’habitudes que vous maîtrisez, avant même qu’un paramètre entre en jeu. Un principe utile du droit de la vie privée est la minimisation des données : ne recueillir et ne communiquer que les renseignements personnels dont une tâche a réellement besoin. Appliqué à l’IA, cela veut dire que le modèle a rarement besoin de savoir qui est votre client pour vous aider à lui écrire.

## Étape 1 : se demander si l’IA a vraiment besoin des vraies données

Bien des tâches ont besoin de la structure d’un document, pas de ses détails identifiants. Un modèle peut améliorer le ton d’une lettre adressée « au client » aussi bien que celui d’une lettre adressée à une personne nommée. Avant de coller quoi que ce soit, classez l’information en trois groupes :

| À exclure complètement | À remplacer par des espaces réservés | Habituellement correct à inclure |
|---|---|---|
| Renseignements de santé, numéros d’assurance sociale, coordonnées bancaires ou de carte, mots de passe | Noms, adresses courriel, numéros de téléphone, adresses postales, numéros de compte ou de dossier | Le type de demande, des dates générales, des montants arrondis ou modifiés, les termes du secteur |

Si une tâche dépend vraiment de détails sensibles, comme des antécédents médicaux, un robot conversationnel généraliste n’est pas le bon outil, à moins que votre organisation en ait approuvé un pour cet usage.

## Étape 2 : utiliser des espaces réservés, et faire le remplacement vous-même

Remplacez les identifiants par des étiquettes neutres dans votre propre copie avant qu’elle s’approche de l’IA. Ne collez pas l’original dans un robot conversationnel pour lui demander de l’anonymiser : à ce moment-là, les données ont déjà été communiquées.

Voici un exemple concret. Le courriel original d’une cliente se lit ainsi : « Bonjour, ici Marie Tremblay, de la Boulangerie Tremblay, 214, rue Principale. Notre facture 4471 est erronée et nous avons été facturés deux fois. » Votre version caviardée, préparée dans un éditeur de texte, devient :

```prompt
Je travaille dans un cabinet comptable. Voici le courriel d’un client dont les noms et les numéros ont été remplacés par des espaces réservés. Rédige une réponse courte et courtoise qui s’excuse de la double facturation, confirme que nous émettrons un remboursement dans un délai de cinq jours ouvrables et demande au client de confirmer le mode de remboursement qu’il préfère. Garde chaque espace réservé exactement tel qu’il est écrit pour que je puisse le remplacer plus tard.

Courriel du client :
« Bonjour, ici [NOM DU CLIENT], de [NOM DE L’ENTREPRISE], [ADRESSE]. Notre facture [NUMÉRO DE FACTURE] est erronée et nous avons été facturés deux fois. »
```

La réponse revient avec les espaces réservés intacts, et vous remettez les vrais détails dans votre logiciel de courriel. L’IA a fait la rédaction; elle n’a jamais su qui était le client.

Pour les tâches que vous répétez, allez un peu plus loin et demandez un modèle de réponse plutôt qu’une réponse unique, par exemple : « Rédige un modèle de réponse réutilisable pour les plaintes de double facturation, avec des espaces réservés. » Vous n’avez alors plus jamais à coller le texte d’un client.

> **À essayer :** prenez un courriel récent d’un client, faites-en une copie caviardée avec des espaces réservés dans un éditeur de texte et demandez à un outil d’IA de rédiger une réponse. Comptez combien de vrais détails vous avez dû communiquer pour obtenir une réponse utile. La plupart des gens constatent que la réponse est zéro.

## Étape 3 : connaître vos obligations

Au Canada, des lois sur la protection des renseignements personnels comme la LPRPDE (Loi sur la protection des renseignements personnels et les documents électroniques), au fédéral, et la Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels), au Québec, rendent les organisations responsables des renseignements personnels qu’elles détiennent, y compris quand elles les confient à un service externe. En termes généraux, cela veut dire utiliser les données des clients seulement aux fins auxquelles ils s’attendent, les protéger par des mesures de sécurité adéquates et être en mesure d’expliquer où elles sont allées. Les envoyer à un service d’IA constitue une communication à un tiers : cela a donc sa place dans votre politique de confidentialité, dans vos règles internes et, au besoin, dans une évaluation des facteurs relatifs à la vie privée (EFVP). Vos contrats avec vos clients peuvent ajouter leurs propres obligations de confidentialité. Il s’agit d’information générale, pas d’un avis juridique; votre responsable de la protection des renseignements personnels ou un avocat peut vous dire ce qui s’applique à votre situation.

## Quels paramètres et quels forfaits excluent vos données de l’entraînement?

Chaque service s’y prend différemment, et les réglages par défaut ne sont pas les mêmes. En date de ce mois-ci, voici ce que dit chaque entreprise, avec les paramètres à vérifier :

| Service | Ce que dit l’entreprise | Ce qu’il faut vérifier |
|---|---|---|
| ChatGPT (gratuit et Plus) | OpenAI peut utiliser votre contenu, y compris les souvenirs de la mémoire, pour améliorer ses modèles, à moins que vous ne désactiviez cette option dans les contrôles des données (*Data Controls*) | Désactivez l’amélioration du modèle dans les contrôles des données; utilisez une conversation temporaire, qui ne sert pas à l’entraînement et n’utilise pas la mémoire; passez en revue la mémoire ou désactivez-la |
| ChatGPT Team et Enterprise | OpenAI n’entraîne pas ses modèles sur le contenu de ces forfaits d’entreprise | Demandez à votre administrateur dans quel espace de travail vous êtes et si la mémoire est activée |
| Claude.ai | Anthropic affirme ne pas entraîner ses modèles génératifs sur les données soumises par les utilisateurs sans leur permission explicite | Lisez sa politique de confidentialité pour savoir ce qui compte comme une permission, et ne collez pas ce que vous ne voudriez pas voir conservé |
| Applications Gemini | Google demande aux utilisateurs de ne pas entrer de renseignements confidentiels. Les conversations vues par des réviseurs humains sont conservées jusqu’à trois ans, séparément de votre compte | Désactivez l’activité dans les applications Gemini (*Gemini Apps Activity*); même alors, Google conserve les conversations jusqu’à 72 heures pour faire fonctionner le service |

Deux points ressortent. D’abord, un paramètre qui arrête l’entraînement n’arrête pas la conservation : votre texte reste sur les serveurs de l’entreprise pendant un certain temps, si bien que les espaces réservés demeurent votre meilleure protection. Ensuite, les forfaits d’entreprise sont l’option la plus nette pour le travail régulier avec des clients, parce que l’entraînement est exclu pour tout l’espace de travail et qu’un administrateur, et non chaque employé, contrôle les paramètres. Si votre équipe utilise l’IA tous les jours, un forfait d’entreprise accompagné de règles internes claires sur ce qui peut être collé vaut plus que n’importe quel interrupteur individuel.

## Sources

- Memory and new controls for ChatGPT: https://openai.com/blog/memory-and-new-controls-for-chatgpt
- Claude 3.5 Sonnet: https://www.anthropic.com/news/claude-3-5-sonnet
- Don't tell your AI anything personal, Google warns in new Gemini privacy notice: https://www.zdnet.com/article/dont-tell-your-ai-anything-personal-google-warns-in-new-gemini-privacy-notice/