Avant de confier vos données à un projet IA, ces huit questions séparent un prestataire sérieux d'un risque juridique et opérationnel. Un guide pratique pour dirigeants et équipes publiques.
Vous avez un projet d'assistant IA, de recherche documentaire ou de classification automatique. Un prestataire vous envoie une proposition commerciale claire, un devis lisible, un calendrier. Tout semble prêt. La vraie question n'est pas là : où vont vos données, qui peut les voir, et que se passe-t-il si quelque chose dérape ?
La sécurité des données dans un projet IA ne se joue pas au moment de la signature, mais dans les questions qu'on pose avant. Voici huit questions concrètes, avec ce qu'une bonne réponse ressemble — et ce qui doit vous alerter.
1. Où sont hébergés les modèles et les données ?
Un projet IA combine trois flux : vos données d'entrée, les modèles (souvent des API externes), et les journaux d'exécution. Demandez explicitement la localisation de chacun.
Un prestataire sérieux sait dire : « les appels au modèle passent par l'API X, hébergée en Europe, avec engagement de non-entraînement sur nos données ». Méfiez-vous du flou. Si la réponse est « c'est dans le cloud », creusez. Pour une entreprise soumise au RGPD, la localisation n'est pas un détail : c'est ce qui détermine les transferts hors UE et les clauses contractuelles nécessaires.
2. Vos données servent-elles à entraîner le modèle ?
C'est la question centrale de la confidentialité des LLM en entreprise. Par défaut, certains fournisseurs utilisent les échanges pour améliorer leurs modèles. D'autres offrent des garanties contractuelles de non-entraînement.
Exigez une réponse écrite, pas orale. Et vérifiez qu'elle couvre tous les sous-traitants : un prestataire peut avoir un accord avec un fournisseur de modèle, mais pas avec l'outil d'observabilité qu'il ajoute par-dessus.
3. Quelles données sont réellement nécessaires ?
La meilleure sécurité reste la minimisation. Un bon prestataire vous dira : « pour cette fonction, nous n'avons pas besoin du nom, de l'adresse ni du numéro de compte — seulement du contenu et de la catégorie ».
Si la réponse est « on prend tout le fichier, on verra ensuite », c'est un signal. Le RGPD impose la minimisation, et un projet IA bien conçu peut souvent fonctionner sur des données pseudonymisées ou tronquées. Demandez la liste précise des champs utilisés, et pourquoi chacun est là.
4. Qui peut accéder aux données, et avec quels droits ?
Un projet IA implique souvent plusieurs intervenants : développeurs, intégrateurs, administrateurs. Posez la question des accès nominatifs.
Une réponse solide décrit des rôles séparés, des accès limités à ce qui est nécessaire, et une journalisation des connexions. Un accès administrateur partagé, ou un accès permanent pour « la maintenance », n'est pas acceptable pour des données sensibles.
5. Comment les données sont-elles protégées en transit et au repos ?
Chiffrement en transit (TLS) et au repos (base de données, stockage objet). C'est un minimum, mais vérifiez qu'il s'applique à tout le parcours : les journaux, les sauvegardes, les exports temporaires.
Beaucoup de fuites viennent moins du modèle que des fichiers intermédiaires laissés sur un serveur ou dans un espace de travail partagé. Demandez la durée de conservation des données et des journaux, et leur suppression effective à la fin du projet.
6. Que se passe-t-il en cas d'incident ?
Un prestataire doit pouvoir décrire son processus : qui prévient qui, sous quel délai, avec quel niveau de détail. Le RGPD impose une notification sous 72 heures pour les violations de données personnelles — votre prestataire doit s'inscrire dans ce délai, pas le découvrir le jour J.
Demandez aussi : avez-vous déjà testé ce processus ? Une réponse honnête peut être « non, mais voici notre procédure écrite ». C'est mieux qu'une promesse vague.
7. Quels sont les engagements contractuels ?
Les bonnes intentions ne suffisent pas. Le contrat doit couvrir : la confidentialité, la non-utilisation des données pour l'entraînement, la localisation, les sous-traitants autorisés, la durée de conservation, la suppression en fin de contrat, et la répartition des responsabilités en cas d'incident.
Pour un projet IA, ajoutez un point souvent oublié : que se passe-t-il si le fournisseur du modèle change ses conditions ? Prévoyez une clause de réversibilité et une possibilité de changer de modèle sans tout reconstruire.
8. Pouvez-vous me montrer, pas seulement me dire ?
La dernière question est la plus utile : demandez une démonstration de la traçabilité. Où sont les journaux ? Comment vérifie-t-on qu'une requête n'a pas été conservée ? Peut-on exporter ou supprimer les données d'un utilisateur précis ?
Un prestataire qui a construit son système avec ces questions en tête répondra en quelques minutes. Celui qui découvre le sujet au moment de la question vous fera gagner du temps : vous saurez à quoi vous avez affaire.
Une checklist, pas une formalité
Ces huit questions forment une base de travail. Pour les équipes qui veulent aller plus loin, transformez-les en grille : une ligne par question, une colonne « réponse », une colonne « preuve fournie ». Une réponse sans preuve documentaire reste une promesse.
La sécurité des données dans un projet IA n'est pas un frein à l'innovation. C'est ce qui permet de déployer un assistant ou une automatisation sans exposer l'entreprise. Un projet qui ne peut pas répondre à ces questions n'est pas encore prêt à recevoir vos données.
Parlons de votre projet
Si vous préparez un projet IA et que ces questions vous semblent utiles mais difficiles à poser à un prestataire, c'est souvent le bon moment pour en discuter. Je travaille avec des entreprises et des équipes qui veulent avancer sans sacrifier la clarté sur leurs données. Vous pouvez me décrire votre contexte par email à contact@hamzabelgacem.com — même si le projet n'est pas encore défini, la conversation aide souvent à y voir plus clair.