Externaliser le développement d'IA sans laisser sortir vos données : comment une équipe externe travaille dans vos systèmes

Un prestataire externe peut construire et exploiter un système d'IA sur des documents qui ne doivent pas quitter votre entreprise. Les documents restent sur vos serveurs, et les ingénieurs du prestataire y accèdent par des comptes que vous créez et pouvez désactiver, depuis des machines que vous contrôlez. Ils développent à partir de documents d'exemple que votre équipe a approuvés et ne travaillent sur des documents réels que sur vos serveurs. Pour trouver un prestataire capable de travailler ainsi, demandez-lui comment ses ingénieurs ont accédé aux documents d'un ancien client et ce qu'il a supprimé à la fin.

Un prestataire externe peut-il construire notre système d'IA si nos données ne doivent pas sortir ?

Oui. L'endroit où tourne le modèle de langage est une décision distincte, traitée dans l'article sur le périmètre fermé, dont le lien figure plus haut. Cet article porte sur les personnes qui construisent le système et sur ce qu'elles peuvent voir et copier. Un modèle installé sur vos propres serveurs ne protège pas grand-chose si un ingénieur enregistre un dossier de documents réels sur un ordinateur portable pour tester un prompt (les instructions que suit le modèle).

La simple lecture de nos documents par un ingénieur équivaut-elle à une sortie de données ?

Au regard du droit européen de la protection des données, même la simple lecture de données à caractère personnel constitue un traitement. L'article 4, point 2), du RGPD définit le traitement comme toute opération appliquée à des données à caractère personnel, et sa liste comprend la « consultation », c'est-à-dire le fait de regarder les données. Un prestataire dont les ingénieurs ont besoin de cet accès pour faire leur travail est en général votre sous-traitant, terme par lequel le RGPD désigne une entreprise qui traite des données à caractère personnel pour votre compte. L'article 28 exige un contrat ou un autre acte juridique contraignant avec un sous-traitant.

Si le prestataire est établi hors de l'Espace économique européen, son accès à distance constitue un transfert des données à l'étranger, même si les données ne font qu'apparaître sur un écran. Le Comité européen de la protection des données, qui réunit les autorités de protection des données de l'UE, l'indique dans ses lignes directrices 05/2021.

Un transfert doit reposer sur un fondement juridique prévu au chapitre V du RGPD. L'un d'eux est la décision d'adéquation, par laquelle la Commission européenne constate que le pays du prestataire protège suffisamment les données à caractère personnel. Un autre est le recours aux clauses contractuelles types (CCT), des clauses prêtes à l'emploi que la Commission a adoptées le 4 juin 2021. Avant de s'appuyer sur elles, les parties évaluent la législation du pays du prestataire, comme le décrivent les recommandations 01/2020 du Comité.

Aux États-Unis, la Safeguards Rule de la Federal Trade Commission (FTC) s'applique aux institutions financières placées sous la surveillance de la FTC, comme les prêteurs hypothécaires et les prêteurs sur salaire. Elles doivent prendre des mesures raisonnables pour choisir des prestataires de services capables de protéger les informations de leurs clients, inscrire ces protections dans le contrat et contrôler ces prestataires périodiquement. Elles doivent aussi imposer l'authentification multifacteur à « toute personne accédant à tout système d'information », sauf si leur responsable de la sécurité approuve par écrit des contrôles raisonnablement équivalents ou plus sûrs. Demandez à votre conseil juridique lesquelles de ces règles s'appliquent à vous avant d'ouvrir le moindre accès à quelqu'un d'extérieur.

Comment donner accès à des ingénieurs externes sans que les données sortent ?

Donnez-leur accès comme à vos propres collaborateurs, mais avec des limites plus strictes :

• Un compte nominatif par personne, créé dans vos propres systèmes, avec authentification multifacteur. Avec un identifiant partagé, les logs ne permettent pas de savoir quelle personne a ouvert quel document
• Un lieu de travail unique : un bureau virtuel, c'est-à-dire un ordinateur situé sur vos serveurs, dont l'ingénieur ne voit que l'écran. Un ordinateur portable géré par votre entreprise convient aussi s'il n'ouvre les documents qu'à travers ce bureau. Bloquez la copie de fichiers et de texte vers d'autres appareils
• Des droits attribués par rôle, l'accès aux documents réels passant par une approbation distincte assortie d'une date de fin
• Un accès à Internet depuis les postes de travail limité à ce qu'exige le travail, pour qu'aucun document ne puisse être collé dans un site web public ou un outil de chat en ligne
• Des logs de connexion et d'accès aux fichiers conservés par votre équipe sécurité, là où le prestataire ne peut pas les modifier

Avant l'arrivée du premier ingénieur, demandez à quelqu'un de votre côté d'essayer de sortir un document du poste de travail par tous les moyens qui lui viennent à l'esprit. Fermez chaque voie qui fonctionne, et refaites le test après chaque modification de la configuration.

Sur quoi les ingénieurs externes travaillent-ils avant de voir des documents réels ?

Une grande partie du travail ne demande pas de documents réels. L'essentiel du code, de la lecture des fichiers entrants jusqu'à l'écran où les relecteurs vérifient les réponses, peut être construit sur des échantillons approuvés. De bons échantillons : des documents publiés du même type, et des documents fictifs générés sur vos serveurs à partir de vos propres templates.

Les documents réels sont nécessaires pour deux tâches. La première est le jeu de recette : des documents réels annotés avec les bonnes réponses, sur lesquels le système est noté avant chaque mise en production. La seconde consiste à ajuster le système sur les cas que les échantillons ne couvrent pas. Les deux se font sur vos serveurs, par des personnes autorisées à voir des documents réels.

Retirer les noms ne rend pas toujours un document anonyme, car un numéro de compte, ou une date et un montant, peuvent encore désigner une personne précise. Le considérant 26 du RGPD précise que les données pseudonymisées, dans lesquelles les noms sont remplacés mais que des informations supplémentaires pourraient encore rattacher à une personne, sont des données à caractère personnel. Gardez donc ces échantillons sur vos serveurs jusqu'à ce que votre délégué à la protection des données confirme qu'ils sont anonymes.

Où se retrouvent les copies de nos documents au cours d'un projet ?

Un système en fonctionnement fait ses propres copies, dans les logs et dans l'index de recherche, et l'article sur les pilotes d'IA, dont le lien figure plus haut, les recense. Les copies faites par des personnes pendant la construction du système passent plus facilement inaperçues :

• Un échantillon enregistré sur le portable d'un ingénieur pour tester un prompt hors ligne
• Des captures d'écran et des extraits collés dans l'outil de suivi des tâches, la messagerie instantanée ou les e-mails du prestataire, qui restent dans ses systèmes et ses sauvegardes
• Du texte collé dans un assistant de code IA ou un outil de chat, qui peut l'envoyer au fournisseur de l'outil
• Une copie de test du système dans le propre compte cloud du prestataire, chargée avec vos données pour gagner du temps
• Un export réalisé pour une démo devant votre direction, puis transféré à d'autres

Traitez l'index de recherche comme les documents eux-mêmes. Il stocke chaque passage sous forme d'embedding, une liste de nombres qui en capture le sens, et beaucoup de configurations conservent le texte du passage juste à côté. Des travaux de recherche montrent qu'on peut reconstituer le texte à partir des seuls nombres.

À la conférence EMNLP de 2023, Morris et ses collègues ont reconstitué à l'identique 92 % des passages de 32 tokens (un token est un mot ou un morceau de mot). Ils partaient d'embeddings produits par un modèle ouvert et pouvaient interroger ce modèle de façon répétée. La reconstitution exacte était moins fréquente avec un modèle commercial et avec des passages plus longs. La même méthode a permis de retrouver 89 % des noms complets dans un ensemble de notes cliniques.

Mettez par écrit que vos documents et tout ce qui en est tiré, comme l'index de recherche ou le jeu de recette, restent sur vos systèmes.

Quels outils les ingénieurs externes peuvent-ils utiliser ?

Uniquement les outils d'une courte liste, convenue avec le prestataire, pour les machines qui peuvent accéder à vos documents. Pour établir cette liste, demandez quels assistants de code IA et quels outils en ligne ses ingénieurs utilisent au quotidien. Pour chacun, demandez s'il envoie à un fournisseur externe le code qu'il voit ou le texte qu'on y colle.

Si l'équipe veut un assistant de code IA, connectez-le à un modèle situé dans votre périmètre, c'est-à-dire dans le réseau et les systèmes que votre entreprise contrôle. Sinon, installez-le uniquement sur des machines qui ne voient jamais de documents. La liste est inscrite au contrat, et tout ajout d'outil nécessite votre accord.

Que doit prévoir le contrat avec le prestataire ?

Pour les données à caractère personnel relevant du droit de l'UE, l'article 28 du RGPD énumère ce que le contrat doit contenir. Entre autres, le prestataire n'agit que sur vos instructions documentées, et toute personne ayant accès aux données est tenue à la confidentialité. Il prend les mesures de sécurité qu'exige l'article 32, accepte vos audits et ne fait appel à aucun autre sous-traitant sans votre autorisation écrite préalable. Au terme de la prestation, il supprime les données ou vous les renvoie, selon votre choix, et supprime les copies existantes, à moins que le droit de l'UE ou celui d'un État membre n'en exige la conservation.

Les projets de ce type demandent quelques clauses en plus :

• Le nom et le rôle de chaque personne ayant accès, et le pays depuis lequel chacune travaille
• Une notification, dans un délai que vous fixez, chaque fois qu'une personne rejoint ou quitte le projet
• Aucun sous-traitant sans votre accord écrit, même pour des documents qui ne contiennent aucune donnée à caractère personnel
• Une attestation signée, en fin de projet, certifiant qu'il ne reste aucune copie, y compris sur les portables, les comptes et les sauvegardes

Cet article ne constitue pas un conseil juridique : c'est votre avocat qui rédige les clauses selon le droit qui vous est applicable.

Que se passe-t-il quand quelqu'un quitte le projet, ou quand le projet prend fin ?

L'accès doit prendre fin le jour même où s'arrête le travail. L'agence américaine de normalisation, le NIST, traite du personnel externe, y compris des sociétés qui développent des systèmes, dans le contrôle PS-7 de son catalogue de sécurité, la publication SP 800-53. Ce contrôle vous demande d'exiger du prestataire qu'il vous prévienne, dans un délai que vous fixez, quand une personne détenant vos identifiants ou des droits d'accès est réaffectée ou s'en va.

Le dernier jour, votre équipe désactive les comptes et les bureaux virtuels et récupère les éventuels portables gérés. Changez le jour même les mots de passe et les clés que connaissaient les ingénieurs externes, et obtenez du prestataire une confirmation écrite indiquant quelles copies il a supprimées et qu'il n'en reste aucune. Suivez les mêmes étapes quand un ingénieur quitte un projet qui se poursuit.

Comment vérifier un prestataire avant de lui ouvrir un accès ?

Demandez des réponses écrites à chaque prestataire de votre liste restreinte, et comparez-les côte à côte :

• Décrivez comment vos ingénieurs ont accédé aux documents d'un client lors d'un projet passé soumis à des règles similaires, sans nommer ce client
• Dites qui aurait accès à notre projet, où ces personnes travaillent, et s'il s'agit de salariés ou de sous-traitants
• Dites sur quoi vous travaillerez avant de voir des documents réels, et qui approuve les échantillons
• Montrez-nous une attestation de suppression que vous avez signée à la fin d'un projet passé, sans les informations relatives au client

Quels sont les signaux d'alerte dans le plan ou le contrat d'un prestataire ?

• Le prestataire demande un export de vos données vers son propre cloud « pour démarrer plus vite »
• Les ingénieurs partageraient un même identifiant, ou le prestataire est incapable de dire qui aura accès
• Le plan prévoit que les ingénieurs testent des prompts avec des documents réels sur les portables du prestataire
• Le contrat ne dit rien des sous-traitants, ni des copies en fin de projet

Où se situe amBrain ?

Le seul projet de modèle de langage qu'amBrain décrit publiquement est le suivant : « Nous avons mené une intégration de LLM jusqu'en production dans le périmètre FinTech d'un client : extraction et normalisation d'avis non structurés de courtiers et de places de marché — opérations sur titres, changements d'instruments et de marges — en enregistrements structurés consommés par le système de trading. »

Cet article n'est pas une étude de cas. Le client n'est pas nommé. L'article n'affirme pas que les ingénieurs d'amBrain ont travaillé dans les systèmes de ce client, ni que le projet a utilisé l'un des dispositifs décrits ci-dessus. Il ne donne ni prix ni délais.

amBrain développe des logiciels depuis 2019. Sur la propriété, la formule d'amBrain est : « Le client conserve la pleine propriété du produit et du code, à l'exception de nos composants réutilisables. » Demandez à amBrain la liste nominative de ces composants avant de signer, comme vous le feriez auprès de n'importe quelle autre société.

Avant de faire appel à une équipe externe pour un système d'IA qui traite des documents à accès restreint, posez les questions ci-dessus à chaque prestataire de votre liste.

Questions fréquentes

• Les ingénieurs externes peuvent-ils travailler depuis leurs propres locaux ? Oui, s'ils n'accèdent à vos systèmes que par le bureau virtuel ou le portable géré, et ne conservent rien sur leurs propres ordinateurs. Si le prestataire est établi hors de l'Espace économique européen, cet accès constitue un transfert au sens des règles de l'UE, comme expliqué plus haut
• Ce dispositif ajoute-t-il du travail avant le démarrage du projet ? Oui. Les comptes, les postes de travail et les approbations doivent être prêts avant l'arrivée du premier ingénieur : demandez donc tôt au prestataire ce dont il a besoin de la part de votre équipe informatique
• Un accord de confidentialité (NDA) suffit-il ? Non. Un NDA classique impose le secret, et beaucoup exigent aussi que les documents soient restitués ou détruits à la fin, même si certains autorisent le prestataire à en conserver des copies dans ses sauvegardes. Il ne met en place ni comptes nominatifs, ni postes de travail, ni règles pour les sous-traitants. Pour les données à caractère personnel relevant du droit de l'UE, l'article 28 exige en outre des clauses qu'un NDA ne contient généralement pas