Transfert de confidentialité
La confiance mérite d'être au centre du débat sur l'IA
La scène est devenue familière : un vidéaste, autoproclamé spécialiste de l’IA, micro-influenceur de l’écosystème IA, nous annonce sur un ton de confesseur la découverte d’une fonctionnalité soi-disant enfouie dans l’une des grandes IAG (intelligence artificielle générative) du moment. Révolution promise, gestes assurés, vocabulaire calibré pour impressionner sans contraindre. Ce jour-là, la promesse tient en quelques mots : automatiser la création de présentations PowerPoint grâce à un agent IA branché sur sa messagerie.
Le dispositif qu’il décrit — avec une désinvolture assez stupéfiante — consiste à accorder à l’IAG un accès complet à sa boîte mail, puis à connecter le tout à Gamma, un outil de génération de slides. L’agent ainsi constitué est censé sonderl’intégralité de la messagerie pour y détecter les demandes de présentations émanant du manager. Simple. Efficace. Et apparemment sans le moindre égard pour ce que cela implique.
Accès total (sans avoir mesuré le risques) = risque total
Premier problème, et il est massif : une boîte mail professionnelle est un concentré de ce qu'une organisation a souvent de plus sensible. Décisions stratégiques non publiées, litiges en cours, données personnelles de salariés, engagements contractuels sous NDA — tout cela cohabite, souvent sans marquage explicite, dans le même espace que les demandes de réunion et les invitations à déjeuner. Offrir un accès en lecture intégrale à une IAG tierce, c'est ouvrir en grand les portes d'un coffre-fort dont on n'a pas établi l'inventaire. Et contrairement à ce que suggère la légèreté de ce type de tutoriel, aucun agent IA ne lit sélectivement : il ingère tout, classe ce qu'il peut, et laisse le reste quelque part dans une infrastructure que l'utilisateur ne contrôle pas.
A quelle conditions ?
Les données ingérées par ces agents ne restent pas là où on les imagine. Selon les conditions d'utilisation des plateformes concernées — généralement acceptées d'un clic distrait, entre deux fenêtres ouvertes — elles peuvent alimenter des processus d'entraînement, transiter par des serveurs hors juridiction territoriale, ou être exposées à des tiers dans des configurations que l'utilisateur ne soupçonne pas. Les lois et cadres comme le RGPD ne sont pas des boucliers automatiques : c'est un cadre juridique qui suppose que quelqu'un, quelque part, ait pris la peine de lire les contrats avant de cliquer sur Autoriser. Ce que personne ne fait en fin de compte. Ce que l'influenceur, en tout cas, ne fait pas dans la vidéo.
Une décision collective prise de manière isolée
Voici peut-être le point le plus insidieux. Dans un contexte professionnel, l'employé qui configure cet agent ne joue pas seulement avec ses propres données — il n'en a d'ailleurs que très peu dans sa messagerie. Il expose celles de ses collègues, de ses clients, de ses partenaires, de sa direction. Des personnes qui n'ont rien signé, rien autorisé, et qui ne savent pas que leurs échanges viennent d'être confiés à une infrastructure tierce. Ce que l'influenceur présente comme un hack de productivité individuel est en réalité une décision de sécurité collective, prise unilatéralement, entre deux coupes au montage. Dans la plupart des organisations dotées d'une politique de sécurité sérieuse, ce geste suffirait à constituer une faute professionnelle. Le tutoriel, lui, le présente comme une bonne pratique à partager. Dont acte.
