Utiliser une IA de codage avec des données personnelles est-il conforme ?

Introduction

Le code contient plus de données personnelles qu’on ne le pense : jeux de test, extraits de production, journaux, exemples de configuration.

La qualification du traitement

Transmettre des données personnelles à un outil externe constitue un traitement.

Lorsque l’éditeur les traite pour le compte de l’utilisateur, il agit comme sous-traitant.

Toutes les obligations habituelles s’appliquent : base légale, information des personnes, accord de sous-traitance, encadrement des transferts, durée de conservation, sécurité.

Rien dans la nature de l’outil ne crée d’exception.

Le cas de la réutilisation pour l’entraînement

Lorsque les conditions prévoient la réutilisation des saisies pour développer ou améliorer les modèles, l’éditeur traite pour une finalité qui lui est propre.

Cet usage excède l’instruction du responsable de traitement et le fait sortir de son rôle de sous-traitant.

Il est incompatible avec la transmission de données personnelles appartenant à des clients, dont l’organisation est responsable.

C’est le premier point à vérifier.

Les données personnelles présentes dans un contexte de développement

Les jeux de test issus de la production.

Les extraits de bases de données utilisés pour reproduire une anomalie.

Les journaux applicatifs contenant des identifiants, des adresses ou des contenus.

Les exemples de configuration comportant des adresses de courriel réelles.

Les captures d’écran d’environnements de production.

Les tickets d’assistance reproduits pour analyse.

Chacun de ces éléments est fréquemment soumis à un outil sans que la présence de données personnelles ne soit identifiée.

Les mesures de minimisation

Elles constituent la réponse la plus efficace.

Interdire l’usage de données de production comme jeux de test, et fournir des jeux synthétiques.

Anonymiser ou pseudonymiser avant toute soumission, ce qui est généralement possible sans dégrader la tâche.

Remplacer les valeurs réelles par des valeurs fictives dans les exemples et les journaux transmis.

Écarter systématiquement les identifiants, clés et secrets, dont la transmission pose en outre un problème de sécurité.

Limiter la portion transmise à ce qui est nécessaire.

Ces mesures relèvent de la discipline de développement et se documentent dans la politique interne.

L’accord de sous-traitance

Lorsque des données personnelles transitent, un accord conforme est requis.

Ses annexes doivent être vérifiées : catégories de données, localisation, sous-traitants ultérieurs, mesures de sécurité, durée de conservation, suppression.

L’éditeur doit être ajouté à la liste des sous-traitants ultérieurs communiquée aux clients, avec la procédure de notification prévue.

Cette déclaration est fréquemment omise et relevée lors des audits clients.

Les transferts

De nombreux outils réalisent leurs traitements hors de l’Union européenne.

L’encadrement doit être vérifié : décision d’adéquation couvrant l’entité concernée, ou clauses contractuelles types avec le module adapté et des annexes complétées.

Une analyse d’impact du transfert, documentée, demeure exigée.

La localisation des équipes d’assistance de l’éditeur doit également être examinée : un accès depuis un pays tiers constitue un transfert.

Le registre et l’information

Le traitement doit figurer au registre, avec sa finalité et ses destinataires.

Lorsque des données de clients transitent, l’information de ces clients est due, par la liste des sous-traitants ultérieurs.

Lorsque des données de salariés transitent, notamment dans des journaux, leur information est due également.

L’analyse d’impact

Elle n’est pas systématiquement requise pour un outil de développement.

Elle le devient lorsque des données sensibles ou des volumes importants transitent, ou lorsque le traitement présente un risque élevé.

Sa réalisation, même simplifiée, documente la démarche et répond aux questionnaires clients.

Le déploiement local

Un modèle exécuté sur l’infrastructure de l’entreprise supprime la transmission à un tiers et l’essentiel des difficultés.

Cette option se justifie pour les organisations traitant des données sensibles ou soumises à des exigences sectorielles.

Traiter le code comme un lieu de données personnelles

Ce qui est soumis à l’outil en contient plus qu’il n’y paraît. Notre expertise RGPD et protection des données personnelles construit ces dispositifs.

En résumé

• L’éditeur est sous-traitant, à encadrer par un accord et à déclarer comme sous-traitant ultérieur.
• La réutilisation des saisies pour l’entraînement est incompatible avec les données de clients.
• Jeux de test, journaux et exemples de configuration contiennent fréquemment des données personnelles.
• Interdire les données de production en test et fournir des jeux synthétiques.
• Vérifier l’encadrement des transferts et la localisation des équipes d’assistance.