Les règles : données des clients (RGPD), transparence (AI Act), confidentialité

Trois mots reviennent dès qu'on parle d'IA au travail : protection des données, transparence, confidentialité. Derrière eux, des règles courtes et des sources officielles lisibles. Aujourd'hui, vous voyez ce que vous devez aux données des autres. Puis ce que vous devez dire, et ce qui reste chez vous.

Objectif : À la fin, vous saurez ce que vous pouvez faire avec les données des autres, ce que vous devez annoncer, et ce qui ne sort jamais de chez vous.

La vidéo

Les sous-titres sont affichés par défaut.

Transcription (le texte de la vidéo)

Dans cette leçon, nous prenons les trois règles dont tout le monde parle. La protection des données, la transparence, la confidentialité. À la fin, vous saurez ce que vous pouvez faire avec les données des autres, ce que vous devez annoncer, et ce qui reste chez vous.

Dès que vous notez le nom d'un client, vous traitez des données personnelles. En Suisse, la nouvelle loi sur la protection des données s'applique aux entreprises depuis le premier septembre deux mille vingt-trois. Elle étend le devoir d'informer et rend obligatoire un registre des traitements, avec une exception pour les petites entreprises à risque limité. En France et dans l'Union européenne, le règlement général porte les mêmes principes. Une finalité déterminée dès la collecte, des données limitées au nécessaire, une durée fixée, une information claire, et des droits pour la personne.

L'Union européenne s'est dotée d'un texte propre à l'intelligence artificielle. Le règlement deux mille vingt-quatre, mille six cent quatre-vingt-neuf, est entré en vigueur le premier août deux mille vingt-quatre, et s'applique de manière générale depuis le deux août deux mille vingt-six. Le volet qui vous concerne est la transparence. Prévenir les personnes quand elles s'adressent à une machine. Rendre identifiables les contenus créés par une IA. Signaler clairement les fausses vidéos et les textes destinés au public. La Suisse n'est pas dans l'Union, mais ce texte sert déjà de référence.

Regardez l'écran. Nous demandons une règle d'usage en cinq lignes pour notre association suisse de dix bénévoles. La réponse arrive, propre. Aucune donnée de membre dans une IA publique. Des crochets à la place des noms. On indique quand un texte a été préparé avec une IA. En cas de doute, le comité décide. Et la cinquième ligne affirme que le règlement européen s'applique à nous. Nous ouvrons les sources officielles. En Suisse, c'est la loi fédérale sur la protection des données. Nous corrigeons cette ligne. Les quatre autres étaient justes.

À vous maintenant. Demandez la règle d'usage de l'IA pour votre structure, en précisant votre pays et le type de données que vous détenez. Ouvrez ensuite au moins une source officielle et corrigez vous-même la ligne sur la loi applicable. Ajoutez une sixième ligne sur ce que vous annoncez. Puis affichez ces lignes, datées, là où votre équipe les verra. Vous ne pouvez rien casser.

Retenez ceci. Les données des autres ne se collent pas dans une IA publique : des crochets, sinon rien. Ce qui a été fait avec une IA se dit, et une machine ne se fait jamais passer pour une personne. Et cinq lignes affichées valent mieux qu'un long document que personne ne lit. Cette leçon termine l'étape de la petite entreprise et de l'association. À la prochaine étape, nous regardons ce que l'IA change dans votre métier.

L'idée

Les données des autres ne se collent pas dans une IA. Et ce qui a été fait avec une IA se dit.

La démonstration

Voici l'exemple, entièrement fait sous vos yeux, avant que vous ne le fassiez vous-même.

Nous voulons une règle écrite pour notre petite structure. Nous demandons à l'IA de la rédiger, puis nous la vérifions à la source.

Notre demande : « Rédigez en cinq lignes la règle d'usage de l'IA pour notre association. Nous sommes dix bénévoles en Suisse, et nous gérons un fichier de membres. Dites ce qu'on met dans une IA, et ce qu'on n'y met jamais. Dites aussi ce qu'on annonce aux membres, et qui décide en cas de doute. Citez la loi applicable. »

Exemple de réponse : « Un : nous ne collons jamais de données de membres dans une IA publique. Deux : nous remplaçons les noms par des crochets. Trois : nous indiquons quand un texte a été préparé avec une IA. Quatre : en cas de doute, le comité décide. Cinq : nous respectons le RGPD, qui s'applique à notre association. »

Nous relisons, et la cinquième ligne nous arrête. En Suisse, c'est la nouvelle loi sur la protection des données qui s'applique. Elle vaut pour les entreprises depuis le 1er septembre 2023. Le règlement européen ne remplace pas la loi suisse. Il peut toutefois concerner une structure qui offre des services à des personnes résidant dans l'Union européenne.

Nous corrigeons donc la cinquième ligne, en citant la loi suisse. Nous gardons une réserve pour nos membres établis en France. Les quatre premières lignes, elles, étaient justes.

L'exercice guidé

Vous ne pouvez rien casser.

Vous ne pouvez rien casser. 1. Posez la demande ci-dessus à votre assistant, en précisant votre pays et le type de données que vous détenez. 2. Ouvrez les sources officielles citées au bas de cette leçon et vérifiez la ligne qui parle de la loi applicable. 3. Corrigez cette ligne vous-même : en Suisse, la loi fédérale sur la protection des données ; dans l'Union européenne, le règlement général. 4. Ajoutez une sixième ligne : ce que vous annoncez quand un texte ou une image a été préparé avec une IA. 5. Affichez ces lignes là où votre équipe les verra, et datez-les.

La consigne à copier :

Rédigez en cinq lignes la règle d'usage de l'IA pour [notre association, mon entreprise, mon service]. Nous sommes [nombre] personnes en [Suisse ou France], et nous gérons [des données de membres, de clients, de patients]. Dites ce qu'on met dans une IA, et ce qu'on n'y met jamais. Dites ce qu'on annonce à [nos membres, nos clients], et qui décide en cas de doute. Citez la loi applicable dans mon pays, et signalez ce que je dois vérifier moi-même à la source officielle.

Trois vérifications

Cochez chaque phrase quand elle est vraie pour vous :

Je vois cinq lignes courtes, lisibles par quelqu'un qui n'a pas suivi cette leçon.
Je vois que j'ai ouvert au moins une source officielle et corrigé la ligne sur la loi applicable.
Je vois une ligne qui dit ce que nous annonçons quand une IA a préparé un contenu.
Je vois la règle affichée et datée, à un endroit où l'équipe la lira.

Le quiz de la leçon

5 questions. La réponse est expliquée tout de suite. Vous pouvez réessayer autant de fois que vous voulez : aucune note n'est gardée.

1. Vous gérez une association en Suisse. Quelle loi encadre d'abord votre fichier de membres ?

2. Vous voulez coller votre fichier de clients dans une IA publique pour en tirer des statistiques. Que faites-vous ?

3. Vous publiez sur votre site une image entièrement fabriquée par une IA. Que demande la transparence ?

4. Un client vous demande d'effacer ses données. Que devez-vous pouvoir faire ?

5. Votre employeur n'a écrit aucune règle sur l'IA, et vous voulez y coller un document interne. Que faites-vous ?

Garder votre place

Et maintenant

D'ici demain, écrivez les cinq lignes de votre règle d'usage de l'IA, datez-les, et affichez-les là où votre équipe les verra. Ouvrez au moins une des sources citées ci-dessous avant de les rédiger. Nous vous reposerons une question dans 3 jours.

Comment avez-vous trouvé cette leçon ?

Deux questions, dix secondes. Vos réponses servent à corriger les leçons suivantes : c'est notre seul moyen de savoir ce qui passe mal.

Les mots de cette leçon

Donnée personnelle: Toute information qui se rapporte à une personne identifiée ou identifiable : un nom, une adresse, un numéro de dossier.
Registre des activités de traitement: La liste des traitements de données d'une organisation. Obligatoire en Suisse depuis 2023, avec une exception pour les petites entreprises à risque limité.
Finalité: La raison pour laquelle une donnée est collectée. Elle doit être déterminée au moment de la collecte, et annoncée à la personne.
Durée de conservation: Le temps pendant lequel une donnée est gardée, fixé à l'avance, avant effacement ou réexamen.
Transparence: Le fait d'annoncer qu'une machine est à l'œuvre : dire qu'on parle à une IA, et rendre identifiable ce qu'elle a créé.
Secret professionnel: L'obligation de silence attachée à certains métiers. Les informations couvertes ne se confient à aucun service extérieur.

Tout le glossaire