Conformité · Guide

Que devient votre texte quand une IA le traite

La crainte est précise, et elle est légitime : que vos comptes rendus servent à entraîner un modèle, et qu'un fragment ressorte un jour dans le document d'une consœur. Ce qui écarte ce risque n'est ni la marque du modèle, ni sa nationalité. C'est le service par lequel il est appelé, et l'engagement contractuel qui va avec. Un éditeur qui ne peut pas vous dire lequel il utilise ne peut rien vous garantir.

Pourquoi la marque du modèle ne répond pas à la question

Un même modèle peut être utilisé de plusieurs manières. Il peut être appelé via l'offre grand public de son concepteur, via une offre professionnelle du même concepteur, ou via un fournisseur d'infrastructure qui le met à disposition sur ses propres serveurs. Ces trois chemins mènent au même modèle et n'offrent pas les mêmes garanties.

C'est pourquoi la question « quel modèle utilisez-vous » ne suffit pas. La bonne question est : par quel service passez-vous pour l'appeler.

Les trois points qui doivent être écrits

Qui reçoit le texte. Le concepteur du modèle reçoit-il vos données, ou seulement le fournisseur d'infrastructure qui l'héberge ? Ce n'est pas la même chose, et cela se lit dans les conditions du service utilisé.

Combien de temps le texte est conservé. Certains services conservent les requêtes plusieurs semaines pour la détection d'abus, d'autres ne conservent rien. Une politique de confidentialité sérieuse le dit.

Si le texte sert à entraîner un modèle. C'est le point qui vous inquiète, et c'est celui qui doit être formulé de la façon la plus explicite. Une phrase comme « vos données ne sont pas utilisées pour entraîner nos modèles » n'a de valeur que si elle figure dans les conditions du service, pas seulement sur la page marketing de l'éditeur.

Le cas particulier des outils grand public

Beaucoup de praticiennes utilisent directement un assistant grand public pour dégrossir un compte rendu. C'est compréhensible, et c'est le cas le plus risqué, pour deux raisons.

D'abord parce que les conditions de ces services prévoient souvent une réutilisation des conversations, sauf réglage contraire que peu de gens activent. Ensuite parce qu'il n'y a alors aucun contrat de sous-traitance : vous êtes responsable de traitement, et vous transmettez des données de santé à un tiers sans encadrement.

Ce n'est pas un jugement sur l'outil, qui peut être excellent. C'est une question de cadre.

Comment poser la question à un éditeur

Une formulation qui fonctionne bien, parce qu'elle ne laisse pas de place à une réponse vague :

« Par quel service appelez-vous le modèle, dans quel pays le traitement a-t-il lieu, et où puis-je lire l'engagement de non-entraînement sur mes données ? »

Un éditeur qui a fait le travail répond en trois lignes et donne un lien. Un éditeur qui répond « c'est une IA européenne sécurisée » n'a pas répondu, et la formule mérite d'être creusée : un modèle peut être conçu ailleurs et traité en Europe, ce qui est très différent d'un modèle européen.

Et Scielle ?

Scielle appelle le modèle via Amazon Bedrock, sur l'infrastructure d'AWS, avec un traitement qui reste dans l'Union européenne. Le concepteur du modèle ne reçoit pas vos données : c'est le fournisseur d'infrastructure qui l'exécute sur ses propres serveurs. Aucun entraînement n'est réalisé sur ce qui transite.

Nous parlons donc d'une IA traitée en Europe, et non d'une IA européenne : la nuance compte, et nous préférons la dire. Le détail est sur notre page sécurité, et les autres vérifications dans notre grille en neuf questions.