Dans cet article
- ce que le RGPD appelle « données sensibles »
- ce qui rend une donnée confidentielle pour l’entreprise
- les précautions à prendre avant de confier l’une ou l’autre à une IA
Deux notions différentes
On emploie souvent les deux mots l’un pour l’autre. Ils recouvrent pourtant des réalités distinctes, avec des règles différentes.
- Les données sensibles sont une catégorie juridique précise du RGPD, qui concerne des personnes.
- Les données confidentielles sont celles que votre entreprise a intérêt à garder pour elle, qu’elles concernent des personnes ou non.
Les données sensibles au sens du RGPD
Le RGPD (article 9) désigne comme « catégories particulières » les données qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que les données génétiques, biométriques servant à identifier une personne, les données de santé et celles concernant la vie ou l’orientation sexuelle.
Leur traitement est en principe interdit, sauf exceptions prévues par le texte (consentement explicite, obligations du droit du travail, soins de santé, par exemple). Les données relatives aux condamnations et infractions obéissent aussi à un régime strict.
Où les trouve-t-on dans une PME ?
Plus souvent qu’on ne le pense : un arrêt maladie dans le dossier d’un salarié, un certificat médical joint à un mail, un dossier patient dans un cabinet de santé, une mention d’appartenance syndicale dans un compte rendu. Ces informations demandent la plus grande prudence.
Les données confidentielles de l’entreprise
Ici, il ne s’agit plus de protéger des personnes mais votre activité : vos prix de revient, vos marges, vos contrats, vos fichiers de prospection, vos négociations, vos chiffres. En droit français, certaines de ces informations peuvent relever du secret des affaires, à condition que l’entreprise prenne des mesures raisonnables pour les protéger. Nous en parlons dans secret des affaires et fuites de données.
Les précautions avant de les confier à une IA
- Se poser la question de la nécessité : l’IA a-t-elle besoin de cette information pour accomplir la tâche ?
- Savoir où va la donnée : un outil grand public et une installation professionnelle n’offrent pas les mêmes garanties. Voir outils grand public ou installation professionnelle.
- Limiter les accès : ne donner à l’IA que les dossiers dont elle a besoin.
- Garder la main : une personne valide avant toute action importante.
L’approche d’OpterIA
Pour les données les plus sensibles, nous pouvons développer Bobby en local, directement sur vos machines : vos données ne sortent pas de chez vous. Pour les autres, l’hébergement par défaut est un serveur privé, et vous pouvez choisir un autre hébergement. Le détail est dans serveur privé, hébergement au choix ou installation locale.