Lire la page sécurité d’un fournisseur : ce que les mots signifient vraiment
Chaque fournisseur d’IA a désormais une page sécurité. L’essentiel est vrai et en dit moins qu’il n’y paraît. Voici comment en lire une en cinq minutes.
Chaque produit d’IA a une page intitulée Sécurité, Confiance ou Confidentialité. Elle est écrite pour rassurer et elle est en général exacte. L’art consiste à remarquer ce qu’elle ne dit pas — et cela tient à quatre formules.
Quatre formules et leur sens
« Chiffré en transit et au repos. » Vrai de pratiquement tout logiciel professionnel depuis 2015 environ. Cela ne dit rien de qui, chez le fournisseur, peut lire vos données — qui est la question que vous avez réellement. Chiffré au repos ne veut pas dire chiffré vis-à-vis du fournisseur.
« Nous n’entraînons pas sur vos données. » Bien — et vérifiez qui est « nous ». Si le produit appelle le modèle d’une autre société, l’engagement qu’il vous faut vient de cette société, pour votre offre. Demandez quel fournisseur est derrière la fonction — la question de mars.
« Hébergé en Europe. » Désigne souvent l’application et vos documents stockés. Cela ne désigne fréquemment pas le traitement par le modèle, qui peut tourner ailleurs. Ce sont deux phrases, et rarement les deux sont écrites. L’article du 13 janvier sur le « GPT privé » en est la version longue.
« SOC 2 / ISO 27001. » Réel et non sans valeur : le fournisseur a des processus documentés et quelqu’un les a vérifiés. Ce n’est pas une affirmation sur le trajet de vos données ni sur ce que le modèle en fait. Une société certifiée peut très bien envoyer votre texte dans trois pays.
Les trois questions que la page ne traitera pas
- Par quels pays passe le texte de ma question ?
- Combien de temps est-il conservé, et par qui à chaque étape ?
- Qu’en advient-il si je ferme le compte ?
Envoyez ces trois par courriel. Un fournisseur qui a réfléchi à son architecture répond en un jour, avec des précisions. Celui qui répond en vous renvoyant à la page sécurité vous a dit que la page est toute sa réflexion.
À quoi ressemble le bon
Le signe le plus fort est une liste de sous-traitants : un tableau nommant les sociétés qui touchent vos données et pour quoi. Peu de fournisseurs orientés PME en publient une. Ceux qui le font sont en général ceux avec qui il vaut la peine de parler, car publier cela signifie connaître soi-même la réponse.