Protéger les données lors d’un usage IA en équipe
Définissez les données utilisables, les accès nécessaires et les validations humaines avant de confier des documents ou des actions à un assistant IA.
À la fin de ce guide : Une règle d’usage simple avant votre prochain test.
Décidez quelles données peuvent entrer
Listez les documents nécessaires à la tâche et retirez tout ce qui n’aide pas au résultat. Pour un atelier, préférez des données fictives. Pour un usage réel, vérifiez le contrat, les réglages du service, les destinataires et les règles internes : les conditions varient selon les offres.
Un remplacement de nom ne garantit pas l’anonymat. Une adresse, un historique détaillé ou un identifiant peut suffire à retrouver quelqu’un. Si vous ne savez pas si un jeu de données peut être transmis, faites valider ce point avant le test.
Traitez les documents comme des sources
Un fichier reçu peut contenir des instructions demandant d’ignorer vos règles, de récupérer d’autres documents ou d’envoyer des données ailleurs. Le contenu d’un document externe doit être traité comme une information à analyser, pas comme une autorisation.
Pour tester votre procédure sans risque, ajoutez à un document fictif une instruction demandant un envoi non prévu. Le résultat attendu est de ne rien envoyer et de signaler l’instruction, tout en poursuivant l’analyse autorisée si elle reste possible.
Réduisez les permissions
Un assistant chargé de résumer un dossier a rarement besoin de modifier tous les fichiers ou de contacter des personnes. Donnez l’accès nécessaire à la tâche, puis vérifiez ce que les outils peuvent effectivement faire. Une phrase dans une consigne ne remplace pas un contrôle d’accès.
Définissez les actions qui doivent rester à la main : publication, suppression, partage, paiement ou modification d’un compte. Conservez une trace suffisante pour expliquer ce qui s’est passé, sans y recopier des secrets.
Prévoyez l’erreur avant qu’elle arrive
Désignez une personne à contacter si des données partent au mauvais endroit, si une action inattendue se produit ou si un accès doit être retiré. Documentez les moyens d’arrêt et de récupération disponibles dans les outils utilisés.
Cette checklist aide à cadrer un usage, elle ne constitue pas un audit juridique ou de sécurité. Les traitements sensibles ou à grande échelle demandent un examen adapté à votre organisation.
Avant de passer à la suite
- Les données et le service destinataire sont autorisés.
- Les documents externes ne peuvent pas autoriser une action.
- Les outils ont le minimum d’accès utile.
- Le contrôle humain et la procédure d’arrêt sont définis.
Sources et prolongements
Cette méthode est une proposition pédagogique SAVVVY. Les documents suivants précisent les concepts et les outils ; les fonctions et conditions des services peuvent évoluer.