Sécurité, RGPD & Confidentialité
Les questions de sécurité et de conformité sont systématiques en entretien grand compte. Savoir rassurer un DSI ou un DPO est un énorme avantage.
🎯 Objectifs
Comprendre les risques de confidentialité avec les LLM
Maîtriser les règles RGPD applicables aux projets IA
Savoir choisir Cloud vs OnPrem selon la sensibilité des données
Connaître les bonnes pratiques pour un usage sécurisé des LLM
1. Les 4 risques majeurs avec les LLM
🔒 Risque 1 : Fuite de données sensibles
Si vous envoyez des données personnelles ou confidentielles dans un prompt vers une API externe (OpenAI, Anthropic), ces données transitent par des serveurs potentiellement hors Europe. Cas réel : des employés de Samsung ont collé du code confidentiel dans ChatGPT en 2023 → fuite de secrets industriels.
✅ Mitigation : Anonymiser les données avant envoi, utiliser un LLM hébergé en Europe (Mistral, Aleph Alpha) ou en OnPrem (Llama, Mistral).
🚫 Risque 2 : Non-respect du RGPD
Le RGPD interdit le traitement de données personnelles sans base légale. Les LLM peuvent ré-identifier des personnes à partir de données anonymisées. Obligation d’anonymisation préalable. Le PO doit travailler avec le DPO dès le début du projet.
✅ Mitigation : Pseudonymisation, minimisation des données, pas de données personnelles dans les prompts, registre des traitements.
⚠️ Risque 3 : Hallucinations à risque
Un LLM qui invente une réponse peut avoir des conséquences graves : conseil juridique erroné, diagnostic médical faux, refus de crédit injustifié. En grand compte, l’hallucination est un risque réputationnel et financier.
✅ Mitigation : RAG (sourcer les réponses), supervision humaine, détection de confiance, prompt contraignant (« Si vous ne savez pas, dites que vous ne savez pas »).
🎧 Risque 4 : Non-conformité sectorielle
Banques : réglementation bancaire (BCE, ACPR). Assurances : code des assurances. Santé : HDS (hébergement de données de santé). Chaque secteur a des contraintes supplémentaires au-delà du RGPD.
✅ Mitigation : Cartographier les contraintes réglementaires du secteur dès l’avant-vente. Impliquer le service juridique dans la définition du périmètre.
2. RGPD & IA : ce que le PO doit savoir
| Principe RGPD | Application aux projets IA | Action PO |
|---|---|---|
| Minimisation | Ne traiter que les données strictement nécessaires | Définir le périmètre minimal avec le métier |
| Licité | Base légale du traitement (consentement, intérêt légitime) | Valider la base légale avec le DPO avant le début |
| Transparence | Informer les utilisateurs qu’ils interagissent avec une IA | Prévoir la mentions légales et l’affichage |
| Droit d’accès | Un utilisateur peut demander ses données (même générées par IA) | Prévoir un process de réponse aux demandes |
| Droit à l’oubli | Les données personnelles doivent pouvoir être supprimées | S’assurer que l’architecture le permet (pas de données dans les poids du modèle) |
3. Cloud souverain & hébergement
En France, les grands comptes ont des exigences spécifiques. Voici les options disponibles.
Cloud US (AWS, Azure, GCP)
Données potentiellement soumises au Cloud Act US. Risque pour les données bancaires et de santé. Utilisation possible pour des données non sensibles.
Cloud Européen
OVHcloud, Scaleway, Outscale, Bleu (Microsoft/Orange/Capgemini). Données hébergées en Europe. Choix privilégié pour les données sensibles.
OnPrem (sur site)
Modèles open-source (Llama, Mistral, Gemma) hébergés sur les serveurs de l’entreprise. Seule option pour les données classifiées ou haut risque AI Act.
🌏 4. Exemple concret : Chatbot conformité (banque)
Contexte
Une banque veut un chatbot pour aider les conseillers à vérifier la conformité des dossiers de prêt. Les données contiennent des informations personnelles (nom, revenus, numéro de sécurité sociale).
Décision
OnPrem obligatoire. Données personnelles + réglementation bancaire + risque AI Act élevé. Modèle choisi : Mistral Large hébergé sur site. Aucune donnée ne sort du SI de la banque.
Mesures de sécurité mises en place
- • Anonymisation automatique des données avant passage dans le LLM
- • Logs d’audit complets (qui a demandé quoi, à quel moment)
- • Supervision humaine obligatoire pour toutes les réponses à risque
- • Chiffrement des données au repos et en transit
- • Test de non-ré-identification des données anonymisées
Résultat
Conformité totale RGPD + ACPR. Déploiement en 10 mois. Aucun incident de sécurité signalé depuis la mise en production.
✍️ Exercice
Analyse de risque
Vous lancez un assistant RH interne pour aider à rédiger des fiches de poste et pré-sélectionner des CV. Quels sont les risques RGPD ? Quelle infrastructure choisissez-vous ? Quelles mesures de sécurité mettez-vous en place ?