Données dans les services d’IA cloud : que vérifier avant de les utiliser

Poser une question à un assistant, utiliser une API de modèles ou activer une fonction d’IA dans une autre plateforme peut entraîner des traitements de données différents. C’est pourquoi une affirmation générale comme « le fournisseur n’utilise pas mes données » ne suffit pas pour décider s’il est sûr de téléverser un document, du code ou des informations sur des clients. La réponse dépend du service concerné, du type de compte et des conditions applicables à cette fonction.

La documentation doit se lire comme un ensemble de règles, et non comme une promesse résumée sur une page commerciale. Il convient de déterminer quelles données sont traitées, dans quel but, pendant combien de temps elles sont conservées et quelles options sont disponibles pour le compte concerné. La règle pratique consiste à vérifier séparément chaque produit et chaque paramètre, plutôt qu’à transposer la politique d’un service à un autre.

La conservation concerne la durée pendant laquelle les informations peuvent être gardées et les opérations auxquelles elles servent. Il peut y avoir des différences entre le contenu envoyé, l’historique visible par l’utilisateur, les journaux de sécurité et les données associées à une requête. Le fait qu’une conversation ne s’affiche plus dans une interface ne prouve pas, à lui seul, que toutes les copies ou tous les journaux ont été supprimés ; une telle conclusion exige une documentation propre au service.

L’utilisation des données pour améliorer ou entraîner des modèles est une autre question. OpenAI indique que les contrôles de ChatGPT permettent de choisir si les conversations contribuent à l’entraînement et que la disponibilité des options dépend notamment du forfait et des paramètres de l’espace de travail. La même documentation explique que désactiver « Improve the model for everyone » empêche l’utilisation des nouvelles conversations pour entraîner des modèles, mais qu’elles peuvent toujours apparaître dans l’historique. Désactiver l’entraînement ne revient ni à effacer l’historique ni à définir une durée de conservation.

Il faut également distinguer l’entraînement de l’examen des contenus à des fins de sécurité ou de prévention des abus. Ces finalités sont différentes et peuvent relever de règles différentes. La documentation générale sur les données des entreprises ne remplace pas les instructions propres à une API, une fonction ou un forfait. Avant de vous fier à une exclusion, vérifiez si elle s’applique à l’outil utilisé, quelles conditions elle impose et si elle doit être demandée ou activée expressément.

Les contrôles peuvent varier selon le produit, le type de compte, la région ou la configuration administrée. Pour ChatGPT, OpenAI précise que les options disponibles dépendent de la connexion de l’utilisateur, de son forfait et des paramètres de l’espace de travail. Ne transposez pas automatiquement cette réserve à d’autres fournisseurs : elle montre pourquoi le nom d’une option ne suffit pas ; il faut vérifier sa portée et ses exceptions dans la documentation à jour du service précis.

Avant d’utiliser un service d’IA avec vos propres informations, trouvez sa politique relative aux données et les instructions spécifiques au produit. Cherchez des réponses concrètes aux questions suivantes :

• Ce qui est envoyé : saisies, pièces jointes, résultats, métadonnées et données d’utilisation.
• La finalité du traitement : fourniture du service, sécurité, assistance ou amélioration des modèles.
• La durée de conservation : délais par type de données et exceptions possibles, comme les journaux de sécurité.
• Les personnes qui peuvent y accéder : personnel du fournisseur, administrateurs de l’espace de travail ou sous-traitants ultérieurs, selon le cas.
• Ce que le client peut contrôler : exclusion de l’entraînement, suppression, exportation, conservation configurable et autorisations.
• Le type de compte concerné : personnel, professionnel, API ou autre, et l’éventuelle modification de la règle générale par des conditions contractuelles.

Si la page ne clarifie pas un point important, ne comblez pas le manque par une déduction fondée sur un autre service. Consultez la documentation contractuelle, les paramètres d’administration ou le service d’assistance du fournisseur. Pour les organisations, la vérification doit aussi porter sur les personnes habilitées à activer les contrôles et sur la gestion des données au regard des obligations internes et légales applicables.

Le Comité européen de la protection des données rassemble des informations et des travaux d’orientation sur l’intelligence artificielle et la protection des données à caractère personnel. Ce cadre est utile pour évaluer les responsabilités et les risques, mais il ne détermine pas, à lui seul, combien de temps un service donné conserve une requête ni quel paramètre est activé pour un compte. Pour répondre à ces questions, il faut consulter les conditions et les instructions propres au fournisseur, ainsi que la configuration réelle.

La documentation de l’AEPD sur l’innovation et la technologie peut servir de point de départ institutionnel pour trouver des ressources liées aux technologies émergentes. Toutefois, une page thématique ne remplace pas une analyse juridique du cas et ne confirme pas qu’un outil précis satisfait à toutes les exigences applicables. Les recommandations réglementaires apportent du contexte ; la documentation du service et sa configuration précisent les conditions déclarées par le fournisseur pour cet usage.

Les sources disponibles permettent de tirer une conclusion circonscrite : dans les services d’IA, l’entraînement, la conservation et les contrôles du compte doivent être vérifiés séparément. L’aide officielle de ChatGPT montre qu’une préférence relative à l’entraînement peut concerner les nouvelles conversations sans nécessairement supprimer l’historique, et que les options dépendent du forfait et de l’espace de travail. Cela explique pourquoi il ne faut pas interpréter une option de confidentialité comme une garantie universelle.

Il n’y a ici ni comparaison complète et à jour des fournisseurs, ni éléments suffisants pour établir les durées de conservation de services précis ou affirmer qu’une option donnée supprime la vérification humaine. Aucun changement récent justifiant une actualité de dernière minute n’est non plus présenté. La conclusion utile est méthodologique : ne transmettez pas d’informations sensibles avant d’avoir identifié la politique applicable à votre service, votre compte et votre configuration, et consignez tout point que la documentation ne tranche pas.