L’IA est-elle sûre au travail ? Les bases de la confidentialité et de la sécurité

Points clés à retenir

• Utilisez des outils d’IA approuvés par votre employeur et ne partagez que les informations nécessaires à la tâche.
• Vérifiez les politiques de stockage, de conservation et d’entraînement, ainsi que les contrôles d’accès, avant de saisir des informations professionnelles.
• Considérez les résultats de l’IA et les actions automatisées comme non vérifiés : examinez les résultats importants et exigez une approbation pour les modifications ayant des conséquences significatives.

L’IA peut être utilisée en toute sécurité au travail lorsque l’outil, les données et la tâche respectent les exigences de sécurité et de confidentialité de votre organisation. Elle n’est pas automatiquement sûre simplement parce qu’elle est populaire, payante ou présentée comme une solution « entreprise ».

Fonctionnement

Les outils d’IA professionnels traitent les informations que vous leur fournissez, comme des prompts, des documents, des images ou des transcriptions de réunions. Les outils connectés peuvent également récupérer des informations dans les e-mails, les espaces de stockage partagés et les systèmes internes.

Avec les services cloud, ces informations sont généralement transmises à l’infrastructure du fournisseur pour être traitées. Selon le service et les paramètres, les prompts, les résultats, les fichiers importés ou les journaux d’activité peuvent être conservés.

L’IA locale peut, quant à elle, traiter les informations sur votre ordinateur. Toutefois, « local » ne signifie pas automatiquement que toutes les fonctionnalités restent hors ligne : les intégrations, la télémétrie et les autres activités réseau doivent tout de même être vérifiées.

Confidentialité et sécurité sont deux notions différentes

La confidentialité concerne la manière dont les informations relatives aux personnes sont collectées, utilisées, partagées et conservées. Une transcription de réunion contenant des détails sur la santé d’un employé pose un problème de confidentialité, même si personne ne pirate le système.

La sécurité concerne la protection des informations et des systèmes contre les accès, divulgations, modifications ou perturbations non autorisés. Un agent d’IA disposant d’autorisations excessives pourrait créer un risque de sécurité en modifiant des fichiers ou en envoyant des informations à la mauvaise personne.

Les deux sont importantes. Un service sécurisé peut malgré tout utiliser les données d’une manière que votre organisation n’autorise pas.

Suivez les données, pas le discours marketing

Avant d’utiliser un outil au travail, posez-vous les questions suivantes :

• Quelles informations recevra-t-il ? Prenez en compte les fichiers importés, les comptes connectés et les métadonnées des documents.
• Qui peut y accéder ? Pensez aux collègues, aux administrateurs, aux prestataires de services et aux personnes autorisées à les examiner.
• Combien de temps sont-elles conservées ? Vérifiez les conversations, les journaux, les sauvegardes et les politiques de suppression.
• Peuvent-elles servir à l’entraînement ? Vérifiez les conditions applicables à votre compte et à vos paramètres.
• Que peut faire l’outil ? Lire un document n’est pas la même chose qu’envoyer un e-mail ou modifier une fiche client.

« Non utilisées pour l’entraînement » ne signifie pas nécessairement « non stockées ». De même, supprimer une conversation peut ne pas effacer immédiatement toutes les copies conservées.

Exemples concrets

Rédiger un e-mail courant

Un collègue demande à l’IA de reformuler une invitation générique à une réunion. Si l’outil est approuvé et que le prompt ne contient aucune information confidentielle, cette tâche présente souvent un risque relativement faible.

Le risque change lorsque le prompt inclut un projet d’acquisition confidentiel ou des informations médicales sur un employé. Utilisez des éléments fictifs à la place des détails réels et ajoutez ensuite les précisions nécessaires dans votre environnement de travail approuvé.

Résumer des dossiers clients

Une équipe d’assistance souhaite obtenir des résumés des conversations avec les clients. Ces conversations peuvent contenir des noms, des adresses, des informations de compte ou d’autres données personnelles.

Un processus approuvé peut convenir, mais importer des dossiers dans un compte personnel non approuvé n’est pas acceptable. Supprimez les informations inutiles et confirmez que votre organisation autorise ce traitement. Remplacer uniquement les noms peut ne pas suffire à empêcher l’identification à partir des détails restants.

Laisser un agent utiliser des applications

Simular (Sai) est un agent autonome qui utilise des applications dans un navigateur et sur ordinateur. Il illustre un risque différent de celui de la simple génération de texte : un agent peut effectuer des actions, et pas seulement les suggérer.

Commencez par un environnement de test et des autorisations limitées. Lorsque les contrôles le permettent, exigez une approbation humaine avant tout envoi de message, suppression de fichier, achat ou modification des accès.

Repérer les messages suspects

L’IA peut également contribuer à la sécurité au travail. Sublime Security détecte les attaques avancées d’hameçonnage par e-mail et d’ingénierie sociale, tandis que CrowdStrike Charlotte AI aide à la recherche de menaces et au triage des incidents.

Ces outils soutiennent les activités de défense ; ils ne rendent pas fiable chaque message ni chaque évaluation d’incident. Le personnel doit toujours disposer d’un moyen clair de signaler les activités suspectes.

Avantages et limites

Utilisée avec précaution, l’IA peut réduire les tâches répétitives, aider à rédiger des documents, résumer des contenus approuvés et faciliter les investigations de sécurité. Des processus contrôlés permettent de profiter de ces avantages sans accorder un accès illimité à chaque outil.

Les principales limites sont d’ordre pratique :

• Réponses incorrectes : l’IA peut inventer des faits ou mal comprendre les instructions. Vérifiez les résultats avant de les utiliser pour prendre des décisions, communiquer avec les clients ou intervenir dans des systèmes de production.
• Exposition de données sensibles : les prompts, les fichiers importés, les journaux et les systèmes connectés peuvent révéler plus d’informations que prévu.
• Injection de prompt : une instruction malveillante dissimulée dans une page web, un e-mail ou un document peut tenter de détourner le comportement d’un outil d’IA. C’est particulièrement préoccupant lorsque l’outil peut accéder à des informations privées ou effectuer des actions.
• Autorisations excessives : un accès étendu augmente l’impact potentiel des erreurs ou des usages abusifs.
• Obligations internes et légales : les règles de l’entreprise, les accords avec les clients et les exigences de protection des données restent applicables.

Aucun paramètre ne résout à lui seul tous ces risques. La sécurité nécessite plusieurs niveaux de protection : des outils approuvés, un minimum de données, des accès restreints, une surveillance et une vérification humaine.

Comment commencer

1. Vérifiez la politique de votre organisation.

Demandez au service informatique, à l’équipe de sécurité ou à votre responsable quels outils et comptes sont approuvés. En l’absence de politique, évitez les tâches sensibles tant que vous n’avez pas reçu de consignes.

2. Choisissez une première tâche à faible risque.

Essayez de reformuler des informations publiques ou de chercher des idées à partir d’exemples fictifs. Ne commencez pas par importer des dossiers du personnel, des exports de données clients, des contrats confidentiels ou des identifiants de connexion.

3. Adaptez l’outil aux données.

LM Studio propose une interface de bureau pour découvrir, télécharger et exécuter des modèles locaux. Le traitement local peut aider à conserver les prompts sur un appareil géré par votre organisation, mais vérifiez la configuration et le comportement réseau. Le chiffrement de l’appareil, les mises à jour logicielles et les contrôles d’accès restent importants.

4. Examinez les paramètres et les conditions.

Confirmez les règles de conservation, l’utilisation pour l’entraînement, les options de suppression et les exigences applicables à la localisation des données. Utilisez un compte professionnel approuvé et activez l’authentification multifacteur lorsqu’elle est disponible. Un abonnement payant ne constitue pas, à lui seul, une autorisation de traiter des données confidentielles.

5. Limitez les connexions et les autorisations.

Ne connectez que les dossiers ou les comptes nécessaires. Privilégiez un accès en lecture seule lorsque cela convient et vérifiez les autorisations de partage avant d’activer la recherche dans les documents professionnels.

6. Intégrez la vérification et le signalement.

Vérifiez les résultats importants et approuvez les actions ayant des conséquences significatives. Sachez qui contacter si des informations sont exposées ou si l’outil se comporte de manière inattendue. Si vous partagez accidentellement des données sensibles, interrompez l’activité et signalez-le rapidement ; ne supposez pas que supprimer la conversation résout l’incident.

FAQ

Puis-je coller des informations professionnelles confidentielles dans un outil d’IA ?

Uniquement si votre organisation a approuvé cet outil et ce processus pour cette catégorie d’informations. Une approbation pour la rédaction générale ne couvre pas nécessairement les dossiers clients, le code source ou les données des employés. Ne collez jamais de mots de passe, de clés privées ou de jetons d’accès dans un assistant généraliste.

L’IA locale est-elle plus sûre que l’IA dans le cloud ?

Le traitement local peut réduire l’exposition à un fournisseur externe, mais il transfère davantage de responsabilités vers votre appareil et sa configuration. Les services cloud peuvent offrir des contrôles utiles à l’échelle de l’organisation. L’option la plus sûre dépend de vos données, de vos autorisations, de vos protections et des exigences de votre organisation, et pas seulement du lieu de traitement.

Peut-on faire confiance à un contenu généré par l’IA s’il semble convaincant ?

Non. Un texte fluide, des images réalistes et un enregistrement audio à la voix naturelle ne prouvent ni l’exactitude ni l’authenticité du contenu. Vérifiez les affirmations importantes à partir de sources fiables et confirmez les demandes inhabituelles de paiement ou d’accès par un canal de contact connu et indépendant. Les résultats de l’IA doivent éclairer le jugement, pas remplacer la vérification.