Choisir un outil acceptable

Cette fiche s’adresse à qui participe au choix : dirigeant de petite structure, responsable de service, président d’association. Si tu n’es pas dans ce cas, lis-la quand même, parce qu’elle te dit quelles questions poser.

« Conforme RGPD » ne veut rien dire

Tu verras ce bandeau sur beaucoup de pages commerciales. Il n’a aucune valeur en soi.

La conformité n’est pas une propriété d’un logiciel. Elle qualifie un traitement : des données précises, une finalité précise, une organisation précise, un contrat précis. Le même outil peut être utilisé de façon conforme et de façon non conforme.

Un fournisseur peut fournir les moyens d’un usage conforme. Il ne peut pas garantir ta conformité, parce qu’elle dépend de ce que tu en fais.

Les sept questions

À poser au fournisseur, par écrit, et à conserver.

Où sont hébergées les données ? Si c’est hors Union européenne, sur quel cadre juridique repose le transfert ?

Combien de temps sont-elles conservées ? Et que se passe-t-il exactement quand on supprime une conversation ?

Sont-elles utilisées pour entraîner des modèles ? L’engagement est-il contractuel, ou seulement un réglage que l’utilisateur peut modifier ?

Qui peut y accéder ? Dans quels cas des humains consultent-ils les contenus ?

Y a-t-il un contrat de sous-traitance ? C’est le document qui encadre le traitement pour le compte de ton organisation. Sans lui, tu n’as pas de cadre.

Quelles sous-traitances en cascade ? Le fournisseur s’appuie-t-il sur d’autres prestataires, et lesquels ?

Comment sont notifiées les violations de données ? Dans quel délai, par quel canal, avec quelles informations ?

Le test le plus simple

Envoie ces sept questions par courriel.

Un fournisseur sérieux a des réponses écrites et te renvoie sa documentation en quelques jours. Un fournisseur qui répond de façon évasive, ou qui te renvoie vers une page marketing, vient de te donner la réponse la plus utile.

Ce qu’un label ne prouve pas

Certifications, labels, mentions diverses : ils indiquent qu’un référentiel a été suivi sur un périmètre donné, à une date donnée.

Trois limites. Le périmètre certifié n’est pas forcément celui que tu utilises. La certification a une date, et l’outil évolue. Et un label de sécurité ne dit rien sur la protection des données personnelles, ce sont deux sujets distincts.

Un label est un élément de dossier. Ce n’est pas une réponse aux sept questions.

Les trois régimes, et leur coût réel

Le compte personnel gratuit. Coût affiché nul, cadre juridique inexistant pour un usage professionnel. À réserver au strictement personnel.

L’offre professionnelle. Un coût par utilisateur, un contrat, des engagements sur la conservation et l’entraînement, une administration centralisée. C’est le régime qui convient à la grande majorité des organisations.

L’installation sur ses propres serveurs. Les données ne sortent pas. Le coût est réel : infrastructure, compétences, maintenance, et souvent des résultats moins bons qu’avec les modèles les plus récents. Justifié pour des données très sensibles, disproportionné sinon.

L’erreur qui coûte le plus cher

Ne pas choisir.

Quand une organisation n’autorise rien et ne dit rien, ses salariés n’arrêtent pas d’utiliser ces outils. Ils utilisent leurs comptes personnels, sans cadre, sans contrat, et sans que personne ne le sache.

Le résultat est exactement l’inverse de l’intention. C’est ce qu’on appelle parfois l’informatique de l’ombre, et en matière d’IA elle est massive.

Autoriser un outil encadré protège mieux que n’autoriser aucun outil. C’est contre-intuitif, et c’est constamment vérifié.

Le minimum pour une petite structure

Tu n’as ni service juridique, ni délégué à la protection des données. Voici le minimum praticable.

Choisis un outil, en offre professionnelle. Un seul, pour pouvoir le suivre.

Demande le contrat de sous-traitance et range-le avec tes documents importants.

Écris une règle interne d’une page. C’est la fiche suivante.

Note ce choix quelque part, avec la date et les raisons. Si on te pose la question plus tard, tu auras une trace.

Et prévois de reposer les sept questions dans un an, parce que les offres changent.

Quinze minutes de pratique

Si tu participes au choix : envoie les sept questions au fournisseur que tu envisages, par écrit. Range les réponses.

Si tu ne participes pas au choix : demande à ton organisation quel outil est autorisé et si un contrat existe. Par écrit également.

Dans les deux cas, note la date. L’absence de réponse au bout de deux semaines est une information, et elle mérite d’être remontée.

Vérifie ta compréhension

Question : un fournisseur affiche « conforme RGPD, hébergement européen » sur sa page d’accueil. Est-ce suffisant pour l’adopter ?

Réponse : non. « Conforme RGPD » ne qualifie pas un logiciel mais un traitement, qui dépend de ce que tu en fais. L’hébergement européen est un bon point, il ne dit rien sur la conservation, l’entraînement, les accès humains ni les sous-traitances en cascade. Il faut le contrat de sous-traitance et des réponses écrites aux sept questions.

Fiche suivante : écrire la règle interne.