Les données clients et l'IA : ce que vous pouvez légalement intégrer dans un modèle, et comment le prouver

Commencer avec un but

Les données des clients sont collectées pour une raison : exécuter une commande, fournir un support, envoyer une facture. La loi autorise généralement leur utilisation pour cette raison et pour des objectifs compatibles. L'utilisation des tickets de support pour aider votre équipe de support à répondre plus rapidement est souvent compatible. Utiliser les mêmes tickets pour entraîner un modèle que vous envisagez de vendre à d'autres entreprises ne l'est généralement pas.

Donc, avant qu'un quelconque fichier ne soit téléchargé, écrivez une phrase : nous utilisons ces données pour faire X, dans l'intérêt de Y. Si vous ne pouvez pas l'écrire ou si elle sonne mal, arrêtez-vous là. Cette phrase devient l'ancre de tout le reste.

Connaître votre fondement juridique

Chaque utilisation des données personnelles nécessite un fondement légal. Pour les projets d'IA, les options réalistes sont généralement le contrat (le traitement est nécessaire pour servir le client), l'intérêt légitime (vous avez un besoin commercial réel qui ne l'emporte pas sur les droits du client) ou le consentement.

L'intérêt légitime est le fondement le plus courant et celui qui est souvent revendiqué sans le travail derrière. Il nécessite un test d'équilibre écrit : ce que vous gagnez, ce que le client risque, et pourquoi il pourrait raisonnablement s'attendre à cette utilisation. Ce document prend une après-midi à rédiger et c'est la première chose qu'un auditeur demandera à voir.

Certaines données ne doivent pas être incluses

Les informations sur la santé, les données biométriques, les croyances religieuses ou politiques, l'orientation sexuelle, l'adhésion à un syndicat : ce sont des catégories spéciales et le seuil pour les traiter est beaucoup plus élevé. La même prudence s'applique aux données concernant les enfants et aux identifiants financiers tels que les numéros de carte.

La règle pratique est simple. À moins que le projet entier ne consiste à gérer ce type de données et que vous ayez pris conseil à ce sujet, filtrez-les avant qu'elles n'atteignent un modèle. Des outils de suppression existent pour cela. Testez-les contre vos vraies données, car un filtre qui attrape 95 % des numéros de carte laisse encore passer les 5 % restants.

L'endroit où les données vont compte autant que ce qu'elles sont

L'envoi de données client à un fournisseur d'IA fait de ce dernier votre responsable du traitement. Vous devez avoir un accord de traitement des données avec lui et vous devez lire attentivement trois clauses :

Formation : le fournisseur utilise-t-il vos entrées pour améliorer ses propres modèles ? Les niveaux commerciaux disent généralement non. Obtenez-le par écrit.
Conservation : combien de temps gardent-ils vos invites et sorties, et pouvez-vous raccourcir cela ?
Localisation : où les données sont-elles traitées ? Les transferts hors UE nécessitent un mécanisme juridique, tel qu'une décision d'adéquation ou des clauses contractuelles standard.

L'exécution de modèles sur votre propre infrastructure élimine la plupart de ces questions. Elle ne supprime pas non plus le besoin de documenter ce que vous avez fait.

La récupération est plus facile à défendre que la formation

Il existe deux manières générales de donner un modèle vos données. Vous pouvez le former ou le peaufiner, de sorte que les données deviennent partie intégrante du modèle. Ou vous pouvez garder les données dans vos propres systèmes et laisser le modèle rechercher ce dont il a besoin au moment où il répond, ce qui est généralement appelé récupération.

Pour les données client, la récupération est presque toujours le choix plus sûr. Lorsque qu'un client vous demande de supprimer ses données, vous supprimez l'enregistrement et il disparaît de toutes les réponses futures. Récupérer des données d'un modèle formé est, en pratique, quasi impossible. Cela rend le droit à l'effacement très difficile à honorer, et les régulateurs le savent.

Comment prouver que vous avez fait cela correctement

La conformité que vous ne pouvez pas prouver compte peu. Conservez ces enregistrements et tenez-les à jour :

Un enregistrement du traitement listant le système d'IA, les données qu'il utilise, la finalité et le fondement juridique.
Une évaluation de l'impact sur la protection des données. De nouvelles technologies combinées à de grands volumes de données personnelles déclenchent presque toujours cela. C'est le document le plus persuasif que vous puissiez remettre à un auditeur.
Des accords de traitement signés avec chaque fournisseur qui traite les données.
Des journaux montrant quelles données sont entrées dans le système, quand et sous l'autorité de qui, ainsi que des preuves que votre suppression a fonctionné.
Un propriétaire désigné qui passe en revue tout cela à chaque fois que le système change.

La réglementation AI de l'UE ajoute ses propres obligations en matière de documentation, en particulier lorsque le système est utilisé dans des domaines à haut risque tels que le recrutement ou le crédit. Si vos enregistrements couvrent déjà ces cinq points, vous êtes la plupart du chemin.

Portez le poids dès le début

Les entreprises tombent dans l'embarras lorsque le prototype arrive en premier et que les documents sont reconstruits plus tard. Faites-le à l'envers. Écrivez le but, choisissez le fondement, filtrez les données, signez les contrats, allumez les journaux, puis construisez. Cela ajoute quelques semaines au plus, et cela signifie que la réponse à "pouvez-vous prouver ?" est un dossier, pas une course contre la montre.

Cette préparation de base représente une grande partie de ce que nous faisons chez Hercules A. Que vous travailliez avec nous ou non, faites-le avant que le premier enregistrement ne soit entré.