Sécurité de l'IA dans les missions clients : ce qu'il faut exiger
5 minutes de lecture
Dès qu'un cabinet utilise l'IA sur ses missions, les questions de données deviennent très concrètes. Ce qu'il faut exiger de tout outil d'IA, et la réponse de Hebno sur chaque point.
Dès qu'un cabinet utilise l'IA sur ses missions, la sécurité cesse d'être un sujet informatique abstrait. Elle devient une question de confiance : les clients peuvent-ils confier leurs documents au cabinet ? Un cabinet qui traite les documents d'autrui doit pouvoir dire où vont ces données, qui peut les voir, si elles servent à entraîner un modèle et si quelqu'un peut vérifier ce qui s'est passé. Ce guide présente ce qu'il faut exiger de tout outil d'IA sur ces questions, et la réponse de Hebno à chacune.
Le sujet mérite un guide à part, plutôt qu'une ligne dans une liste de fonctionnalités, parce que toute affirmation sur les données et la conformité engage réellement la responsabilité juridique de celui qui la fait. Sur d'autres sujets, un cabinet doit présenter sa valeur avec assurance. Ici, la précision compte plus que le ton : il faut s'en tenir à ce qui est vrai.
Les questions à poser à tout outil d'IA
Avant d'utiliser l'IA sur une mission, obtenez des réponses claires à ces questions, et considérez toute réponse floue comme un signal d'alerte.
| Question | Pourquoi c'est important | Ce qu'il faut obtenir |
|---|---|---|
| Où les données sont-elles hébergées ? | Les clients et la réglementation imposent souvent un lieu | Un choix clair du lieu d'hébergement, pas un haussement d'épaules |
| Nos données servent-elles à entraîner des modèles ? | Entraîner un modèle sur des données clients est un manquement à la confiance et à la confidentialité | Un non, sans détour |
| Qui peut voir quoi ? | Les règles d'accès du cabinet doivent continuer à s'appliquer dans l'outil | Les droits existants sont repris tels quels |
| Les données sont-elles chiffrées ? | C'est la protection de base, en transit comme au repos | Un chiffrement en transit et au repos |
| Pouvons-nous voir ce qui s'est passé ? | Les clients et les auditeurs doivent savoir comment l'outil a été utilisé | Des journaux d'audit des accès et de l'activité |
Si un fournisseur ne peut pas répondre simplement, c'est en soi un problème. Pour un travail destiné aux clients, « nous y travaillons » n'est pas une raison suffisante pour y faire passer des données clients.
Les réponses de Hebno
Un hébergement que vous choisissez
Les données dans Hebno peuvent être hébergées dans l'UE ou aux États-Unis, au choix du client. C'est délibéré : un cabinet londonien qui a des clients dans l'UE et un cabinet américain dont les clients sont aux États-Unis n'ont pas les mêmes exigences, et un lieu unique imposé ne conviendrait qu'à l'un des deux. Vous choisissez le lieu qui correspond à vos obligations au lieu d'accepter celui qu'un fournisseur a fixé par défaut.
Aucun entraînement sur vos données
Les contenus que vous soumettez ne servent à entraîner aucun modèle. C'est le minimum pour un cabinet qui traite des documents clients confidentiels, et cela doit être dit clairement, pas enfoui dans les paramètres d'une offre entreprise. Le travail client que vous faites dans Hebno reste le vôtre.
Des règles d'accès qui continuent de s'appliquer
Les droits déjà en place dans votre cabinet doivent continuer à s'appliquer dans l'outil d'IA. On rejoint ici le guide des connaissances connectées : connecter les sources et les outils de votre cabinet ne doit pas changer qui peut voir quoi. Une personne qui n'a pas accès à un document dans vos systèmes n'y accède pas davantage en posant la question à un assistant. Les droits fondés sur les rôles limitent chacun à ce qu'il doit voir.
Chiffrement et journaux d'audit
Les données sont chiffrées en transit et au repos, et les accès comme l'utilisation sont consignés dans des journaux d'audit. Le chiffrement est le minimum attendu, pas un argument de vente. Les journaux d'audit comptent davantage pour les clients : grâce à eux, vous et vos clients voyez comment l'IA a été utilisée sur une mission, au lieu de devoir croire le cabinet sur parole. Le DPA (accord de traitement des données) fixe les conditions contractuelles.
Le règlement européen sur l'IA (AI Act) et la question de la responsabilité
Ce texte crée des obligations sur la manière d'utiliser l'IA, et le détail évolue encore. Considérez donc tout résumé, celui-ci compris, comme un rappel de vérifier les exigences en vigueur et non comme un conseil juridique. Pour un cabinet d'experts, les mesures concrètes sont simples : savoir quelles données votre utilisation de l'IA implique, garder une trace de la façon dont vous l'avez utilisée et pouvoir montrer cette trace. Le choix de l'hébergement, la garantie de non-entraînement, le contrôle des accès et les journaux d'audit sont des éléments concrets qui vous aident à respecter ces obligations.
Aucun outil ne peut assumer à la place du cabinet ses propres responsabilités. Hebno fournit les contrôles, et votre cabinet décide toujours quels travaux se prêtent à l'IA, quelles autorisations des clients s'appliquent et comment les résultats sont relus. Sur ce dernier point, voir le guide complet du travail client fiable : la relecture est une étape de qualité, et c'est aussi ce qui permet à une personne désignée de rester responsable du travail.
La sécurité comme socle
La sécurité n'est pas une raison d'utiliser l'IA sur les missions, mais c'est ce qui permet de l'y utiliser de façon responsable. Un cabinet devrait choisir une plateforme d'IA parce qu'elle aide l'équipe à produire un travail client fiable, et attendre les réponses ci-dessus en standard, pas en option payante. Quand les questions de données sont correctement traitées, on cesse de s'en inquiéter et l'équipe peut se concentrer sur le travail. La version publique de ces réponses figure sur la page sécurité.
