La question "ces données peuvent-elles être utilisées dans l'IA" reçoit souvent une réponse fondée sur le contenu : y a-t-il un nom, un montant, un diagnostic. Ce n'est pas le cœur du problème. Ce qui est déterminant, c'est généralement l'origine des données : dans quelles conditions ont-elles été collectées, dans quel but, et sur quelle base juridique. Un même texte — par exemple un e-mail client contenant une adresse — peut, dans un système, être traité sans problème par une application d'IA, et dans un autre non, selon la manière dont ces données sont entrées un jour dans le système et ce qui a été convenu ou consigné à leur sujet.
C'est la raison pour laquelle une liste générale du type "ces types de données ne peuvent jamais être utilisés dans l'IA" n'existe pas et n'aurait d'ailleurs pas de sens. Ce qui existe en revanche, c'est un certain nombre de domaines d'attention dans lesquels l'origine et la finalité des données doivent être examinées avec une attention particulière avant qu'elles n'entrent dans une application d'IA.
Pour les données à caractère personnel, la question centrale n'est pas tant de savoir s'il s'agit d'une donnée à caractère personnel, mais dans quel but elle a été collectée. Des données collectées dans un but précis — par exemple pour traiter une commande — ne peuvent pas être utilisées sans autre à une autre fin, comme l'entraînement d'un modèle ou leur traitement par un outil d'IA qui sort du contexte d'origine. La possibilité de le faire dépend de la base sur laquelle les données ont été obtenues à l'origine, d'un éventuel consentement, et de ce qui est stipulé à ce sujet dans les propres accords de traitement et déclarations de confidentialité. Pour les conditions exactes, la réglementation légale propre s'applique ; le texte en vigueur peut être consulté auprès de l'Autorité de protection des données et dans la législation applicable en matière de protection de la vie privée.
Parmi les données à caractère personnel, il existe une catégorie distincte soumise à un régime plus strict : les données relatives à la santé, à l'origine, à la religion, à la vie sexuelle, les données pénales et les catégories comparables. Pour ces données, des conditions supplémentaires s'appliquent, indépendamment de la question de savoir si une application d'IA pourrait bien fonctionner avec elles. Là aussi, l'origine est déterminante : les données ont-elles été collectées dans un cadre qui autorise leur traitement par un système d'IA, et existe-t-il une base juridique qui couvre cet usage.
Outre les données à caractère personnel, la confidentialité entre également en jeu, non pas issue de la législation sur la protection de la vie privée, mais des contrats. Les informations de clients, de fournisseurs ou de partenaires partagées sous une clause de confidentialité ne peuvent pas être introduites sans autre dans un outil d'IA, surtout si cet outil traite les données en dehors de sa propre organisation ou les utilise pour l'entraînement d'un modèle. Cela se pose par exemple lors du traitement des e-mails : lorsqu'on évalue si l'IA peut reprendre le tri d'une boîte mail générale, il ne s'agit pas seulement de savoir si un outil d'IA peut techniquement lire et trier des messages, mais aussi si le contenu de ces messages relève d'un accord de confidentialité conclu avec un tiers. Le même mécanisme s'applique à la téléphonie : lorsque la question de savoir si l'IA peut reprendre la réponse et le transfert d'appels téléphoniques se pose, il faut également examiner quelles données sont enregistrées et traitées pendant un appel, et selon quels accords.
Un autre point d'attention ne concerne pas le contenu des données mais leur statut dans le temps : les données soumises à un délai de conservation légal ou contractuel doivent être gérées d'une manière spécifique, et le recours à une application d'IA ne change rien à cette obligation. Ceux qui examinent cette question pour des processus d'archivage en viennent souvent naturellement à se demander comment l'IA peut reprendre l'archivage des documents et leur vérification par rapport aux délais de conservation se situe par rapport à leur propre obligation de conservation : un système d'IA peut être utile pour repérer les délais, mais la responsabilité du respect correct de ceux-ci ne s'en trouve pas déplacée pour autant.
L'introduction de données dans une nouvelle application d'IA touche parfois aussi à la représentation du personnel, notamment lorsqu'il s'agit de systèmes traitant des données relatives au fonctionnement, au comportement ou à la présence des collaborateurs. La question de savoir si et quand l'accord du conseil d'entreprise est requis constitue une question distincte, indépendante de celle relative à la vie privée ; vous trouverez davantage d'informations à ce sujet sur la page consacrée à quand le conseil d'entreprise est compétent. Même en dehors d'une procédure formelle d'approbation, il peut être utile d'examiner comment informer le conseil d'entreprise sur l'IA est organisé, précisément parce que l'usage des données et le déploiement d'applications d'IA se posent souvent ensemble au sein d'une organisation.
Cette page décrit le mécanisme selon lequel des données peuvent ou non être utilisées dans une application d'IA. Pour les décisions relatives à l'organisation des fonctions, des processus de travail ou de la politique du personnel à la suite du déploiement de l'IA, des exigences légales et des considérations propres s'appliquent, pour lesquelles cette page ne fournit aucune base.
La question essentielle pour chaque donnée que vous souhaitez utiliser dans une application d'IA n'est pas "est-ce sensible" mais "dans quelles conditions cette donnée est-elle entrée un jour dans le système, et cette base juridique couvre-t-elle également cet usage". Cette vérification relève du travail de votre propre organisation, éventuellement avec l'aide d'un conseiller juridique. Si vous souhaitez d'abord obtenir une indication de la part de vos tâches qui se prête de manière générale à une reprise par l'IA, indépendamment de la question des données, vous pouvez remplir le quickscan gratuit de ftetoai : douze questions, sans compte, avec une indication de la part des heures de votre profil qui peut aujourd'hui être reprise par l'IA. Le scan de travail complet, qui prend en compte ce type de questions relatives aux données par tâche, est encore en cours d'élaboration.
Vraag maar. Ik ken de kennisbank van deze site; wat ik niet weet, zeg ik erbij.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.