IA et RGPD : ce qu’une commune doit pouvoir répondre
Cinq questions précises à poser avant toute utilisation d’IA générative en collectivité. Réponses praticables, pas promesses.
Le RGPD ne vous interdit pas l’IA. Il vous demande de savoir où va la donnée, qui y accède, combien de temps elle est conservée. Voici cinq questions à poser avant toute expérimentation.
Question 1 — Où sont hébergées mes données ?
La réponse doit être un pays, voire une région. « Dans le cloud » ne suffit pas. À défaut d’une réponse stable, restez sur des outils hébergés en France ou en Union européenne.
Question 2 — Sont-elles utilisées pour entraîner le modèle ?
C’est le réglage par défaut de beaucoup d’offres. Cherchez le bouton qui désactive l’entraînement. À défaut d’un tel réglage, n’envoyez aucune donnée réelle : uniquement des cas anonymisés ou fictifs.
Question 3 — Quel est le sous-traitant ultérieur ?
L’IA générative fait souvent appel à plusieurs sous-traitants (modèle, hébergeur, fournisseur d’API). Le responsable de traitement reste votre collectivité : vous devez pouvoir nommer la chaîne.
Question 4 — Quelle est la durée de conservation des prompts ?
Par défaut, certains fournisseurs conservent vos prompts 30 jours pour des raisons de sécurité. Le délai doit être écrit et opposable.
Question 5 — Comment exercer les droits des personnes ?
Une IA qui produit un texte contenant des données personnelles doit permettre la rectification ou l’effacement. Demandez la procédure avant de l’activer.
Si l’une de ces cinq questions n’a pas de réponse claire, attendez. Vous n’êtes pas en retard : vous attendez d’avoir un cadre.