La question n'est pas seulement où sont stockées les conversations. Elle est de savoir par combien de mains passe chaque phrase entre l'utilisateur et la réponse.
Cartographier le trajet d'une phrase
Avant tout arbitrage, dessinez le parcours réel d'un message. L'exercice prend une heure et révèle presque toujours une étape oubliée.
Un message part du navigateur, arrive chez l'éditeur de la solution, déclenche une recherche dans un index documentaire, part chez le fournisseur du modèle avec les passages retrouvés, revient sous forme de réponse, puis se retrouve enregistré dans l'outil de conversation et parfois recopié dans l'outil de ticket.
Cinq systèmes, dont deux au moins appartiennent à des tiers. Chacun est un endroit où la donnée existe, où elle est conservée, et où elle peut être consultée. La cartographie doit nommer chacun, avec son pays et son responsable.
Point 1 : ce qui part chez le fournisseur du modèle
C'est le point le plus mal connu. Dans un montage documentaire, chaque question part accompagnée d'extraits de vos documents. Ces extraits peuvent contenir des éléments que vous n'aviez pas prévu d'envoyer à l'extérieur.
Deux vérifications s'imposent. Ce qui est effectivement transmis, en lisant une requête réelle plutôt qu'en faisant confiance à la description commerciale. Et le sort de ces données chez le fournisseur : durée de conservation, usage pour l'entraînement, et surtout si le refus de cet usage est activé par défaut ou seulement disponible.
Point 2 : ce que l'utilisateur donne sans qu'on le demande
Une conversation reçoit tout ce que l'utilisateur écrit. La lecture de conversations réelles montre systématiquement des éléments non sollicités : numéros de dossier, coordonnées, éléments de santé, situation familiale ou financière glissés dans une explication.
Cela change la nature du traitement. Un bot qui reçoit des données sensibles, même involontairement, ne relève pas du même régime qu'un bot qui affiche des horaires.
Deux réponses existent. La prévention, en indiquant clairement dans l'interface de ne pas communiquer certaines informations, qui limite sans supprimer. Et le nettoyage automatique avant stockage, qui masque les schémas reconnaissables comme les numéros de carte ou de sécurité sociale. Aucune n'est parfaite, les deux ensemble réduisent nettement l'exposition.
Point 3 : ce qui entre dans le corpus
Un montage documentaire ne connaît que ce qu'on lui a versé. Le contrôle se fait donc à l'entrée, pas à la sortie.
Un export de base d'aide contient parfois des fiches internes, des exemples de dossiers réels, des notes de service. Une fois indexés, ces contenus peuvent ressortir dans une réponse à n'importe quel utilisateur.
La règle est simple : rien n'entre dans le corpus qui ne pourrait être publié. Cette relecture prend du temps une fois, et évite un incident qui n'a pas de correctif rétroactif.
Point 4 : la durée de conservation, et sa réalité
Une durée annoncée mais non appliquée est plus risquée qu'une durée longue et assumée, parce qu'elle crée un écart entre ce que vous déclarez et ce que vous faites.
Vérifiez trois endroits : l'outil de conversation, l'outil de ticket où la conversation a pu être recopiée, et les sauvegardes. Le point de recopie est celui qu'on oublie systématiquement.
La Commission nationale de l'informatique et des libertés publie des fiches pratiques sur l'intelligence artificielle qui traitent notamment de la manière de tenir compte de la protection des données dans la conception du système et dans la collecte.
Point 5 : qui peut lire les conversations
Les conversations d'un service client constituent une matière sensible : elles contiennent des réclamations, des situations personnelles, parfois des propos sur des salariés.
Trois questions à trancher. Qui, dans l'entreprise, peut lire l'historique complet ? L'éditeur de la solution y a-t-il accès, et dans quelles conditions ? Un accès est-il enregistré quelque part ?
La réponse par défaut de beaucoup de plateformes est un accès large pour tous les utilisateurs administrateurs, sans journal. C'est un réglage, et il se change.
Une note de deux pages qui sert trois fois
Formalisez le résultat de cette cartographie dans un document court : ce qui est envoyé, à qui, où c'est stocké, combien de temps, qui peut y accéder.
Il sert à répondre à une demande d'accès d'une personne, à alimenter le registre des traitements, et à répondre en quelques minutes à un client ou un auditeur qui pose la question.
Son absence est le meilleur indicateur qu'un projet n'a pas traité le sujet, quelles que soient les garanties affichées par le fournisseur.
Le registre des accès, souvent absent
Trois questions permettent de vérifier en dix minutes si le sujet a été traité.
Existe-t-il une trace de qui a consulté quelle conversation ? La plupart des plateformes ne journalisent pas les lectures par défaut, seulement les modifications.
Combien de comptes disposent d'un accès administrateur, et cette liste est-elle à jour ? Les comptes de prestataires ayant participé au paramétrage restent souvent actifs bien après la fin de la mission.
L'éditeur peut-il accéder à vos conversations pour du support, et cet accès est-il soumis à votre autorisation ou permanent ? La réponse figure au contrat, rarement en évidence.
Ce qui doit figurer au contrat
Quatre engagements méritent d'être écrits noir sur blanc, et ils sont négociables plus souvent qu'on ne le croit.
La liste des sous-traitants ultérieurs, avec leur pays. Elle doit inclure le fournisseur du modèle de langue, qui est souvent absent de la liste initiale.
L'absence d'usage des données pour l'entraînement, activée par défaut et non sur demande.
Le délai de suppression après la fin du contrat, et la forme de la preuve.
La notification en cas d'incident, avec un délai chiffré compatible avec vos propres obligations.
Une revue annuelle plutôt qu'un audit
La cartographie du trajet des données vieillit vite : un nouveau canal, un changement de modèle, une connexion supplémentaire. Une revue annuelle d'une demi-journée suffit à la maintenir, là où un audit complet tous les trois ans arrive toujours trop tard.
Trois questions à chaque revue. Qu'est-ce qui a changé dans le trajet depuis la dernière fois ? Les durées de conservation annoncées sont-elles appliquées, vérifiées sur un cas réel ? La liste des accès correspond-elle aux personnes réellement en poste ?
Commentaires
No comments yet