Un sous-traitant peut-il réutiliser mes données sans me demander ?

Non. Selon la CNIL, il lui faut une autorisation écrite du responsable de traitement et une réutilisation compatible avec le traitement initial. Sans autorisation, il est considéré comme responsable de ce traitement et peut être sanctionné.

Pourquoi l'entraînement sur mes documents pose-t-il un risque ?

L'ANSSI explique qu'un modèle hérite de la sensibilité des données qui l'ont entraîné et peut, dans certains cas, produire des réponses proches de ces données, révélant des informations sensibles.

Le fournisseur d'IA peut-il s'entraîner sur vos documents ?

Cela dépend de l'offre et du contrat. Certains services prévoient de réutiliser les données envoyées pour améliorer leurs modèles ; d'autres l'excluent. Pour vos documents d'entreprise, la règle est simple : vérifiez ce que dit le contrat, et faites écrire ce que vous acceptez ou refusez. Côté RGPD (règlement général sur la protection des données), un sous-traitant ne peut pas réutiliser vos données à sa guise.

Ce que constatait l'ANSSI en 2024

Dans son guide du 29/04/2024, l'ANSSI (Agence nationale de la sécurité des systèmes d'information) indique que, dans la majorité des offres d'IA générative grand public, les données envoyées étaient collectées et utilisées par le prestataire pour optimiser ses modèles. Les conditions évoluent : la seule réponse valable est celle de votre contrat, à la date où vous le signez.

Pourquoi c'est un vrai risque

L'ANSSI explique qu'un modèle d'IA « hérite » de la sensibilité des données qui ont servi à l'entraîner. Il peut être sujet à une « régurgitation » : dans certains cas, il produit des réponses proches de ses données d'entraînement et révèle ainsi des informations sensibles. Une grille tarifaire ou un contrat qui aurait servi à entraîner un modèle partagé pourrait, en théorie, ressortir ailleurs.

Le guide distingue aussi les données d'usage : les questions de vos salariés et les réponses produites. Elles peuvent contenir des données sensibles et sont parfois utilisées pour réentraîner le modèle.

Ce que dit la CNIL sur la réutilisation par un sous-traitant

La CNIL (Commission nationale de l'informatique et des libertés) a précisé le 11/01/2022 les conditions dans lesquelles un sous-traitant peut réutiliser des données personnelles confiées par son client :

la réutilisation doit être compatible avec le traitement initial, ce que le client vérifie par un « test de compatibilité » ;
le client doit l'autoriser par écrit ;
une autorisation « préalable et générale » de réutilisation n'est pas légale ;
une fois autorisé, le sous-traitant devient responsable de ce nouveau traitement, avec toutes les obligations qui vont avec ;
s'il réutilise sans autorisation, il est considéré comme responsable de ce traitement et peut être sanctionné.

La CNIL donne deux repères : améliorer un service informatique pourrait être jugé compatible avec des garanties comme l'anonymisation, alors que la prospection commerciale satisferait difficilement le test.

Ce que la CNIL recommande pour l'IA générative

Dans ses questions-réponses du 18/07/2024, la CNIL demande de vérifier si le prestataire peut réutiliser les données fournies. Si c'est le cas, l'entreprise doit analyser au cas par cas s'il faut interdire tout ou partie des données personnelles dans l'outil. Elle note que ces interdictions ne sont pas nécessaires avec une installation sur site, où la réutilisation par le fournisseur est impossible.

Que vérifier, concrètement

Où regarder	Ce qu'il faut trouver
Conditions générales et politique de confidentialité	Une phrase claire sur l'usage des données pour l'entraînement ou l'amélioration
Contrat de traitement des données	Traitement « uniquement sur instruction documentée » (article 28 du RGPD), sans exception floue
Paramètres du compte	Une option de refus, et son réglage par défaut
Sous-traitants ultérieurs	Les conditions de l'éditeur du modèle d'IA sur les données qui lui sont transmises
Clause de fin de contrat	La suppression des documents, des conversations et des copies

La clause à demander

Une rédaction simple suffit souvent comme point de départ de la négociation : « Le prestataire n'utilise ni les documents du client, ni les requêtes des utilisateurs, ni les réponses générées pour entraîner, ajuster ou améliorer un modèle d'IA, sauf autorisation écrite et spécifique du client. » Faites-la valider par votre avocat.

Les autres points à vérifier figurent dans les questions à poser au fournisseur et sur la page contrat de sous-traitance.