Contexte et déclencheur
Le ministère de l'Intérieur du Royaume-Uni aurait intégré des services d’OpenAI, notamment ChatGPT, dans ses processus internes de rédaction et d’analyse. Cette pratique a attiré l’attention de l’Information Commissioner’s Office (ICO), qui envisage d’ouvrir une enquête pour vérifier le respect du Règlement général sur la protection des données (RGPD) et des exigences de confidentialité gouvernementales.
Fonctionnement technique des outils OpenAI
Les modèles d’OpenAI fonctionnent via une API cloud. Chaque requête transmet le texte fourni par l’utilisateur aux serveurs d’OpenAI, où il est traité par un réseau de neurones de grande taille. OpenAI conserve les entrées pendant une période limitée à des fins de diagnostic et d’amélioration du service, sauf indication contraire de l’utilisateur. Aucun mécanisme de chiffrement de bout en bout n’est appliqué aux données en transit au-delà du protocole TLS standard.
Risques de conformité et de sécurité
Lorsque des fonctionnaires saisissent des informations sensibles – par exemple des données personnelles de demandeurs d’asile ou des détails d’enquêtes – ces données sont potentiellement stockées sur des serveurs situés hors du territoire britannique. Cette externalisation crée plusieurs vecteurs de risque : perte de contrôle direct sur la rétention des données, exposition à des juridictions tierces, et possibilité d’utilisation des entrées pour entraîner les modèles futurs, ce qui pourrait entraîner une rétro‑inférence de données. Le RGPD impose que le responsable du traitement assure la licéité, la transparence et la minimisation des données, conditions difficiles à garantir dans ce scénario.
Analyse de l’enquête potentielle
L’ICO examine notamment si le Home Office a réalisé une évaluation d’impact relative à la protection des données (DPIA) avant de déployer les outils OpenAI, comme l’exige l’article 35 du RGPD. L’absence de DPIA documentée, ou une DPIA jugée insuffisante, constitue un motif d’amende. De plus, l’ICO vérifiera la conformité des clauses contractuelles avec OpenAI, notamment les engagements de non‑utilisation des données à des fins de formation et les garanties de suppression après 30 jours, telles que décrites dans la politique de confidentialité d’OpenAI.
Implications pour les administrations publiques
Cette affaire souligne la nécessité pour les entités publiques de formaliser leurs processus d’adoption d’IA générative. Les bonnes pratiques incluent : le chiffrement des données avant envoi, la mise en place de filtres de contenu pour empêcher la transmission d’informations personnelles, et la sélection de fournisseurs offrant des options de déploiement on‑premise ou dans des clouds souverains. Sans ces mesures, le risque de sanctions financières et de perte de confiance publique reste élevé.
