Mes données sont-elles en sécurité avec un agent IA ?

Un agent IA manipule les données auxquelles il a accès : e-mails, agenda, tableur, fiches clients. Leur sécurité dépend de quatre éléments : les droits accordés à l’agent, les conditions du fournisseur du modèle d’intelligence artificielle, l’hébergement des données et les règles de fonctionnement définies avant la mise en service. Aucun de ces éléments n’est réglé par défaut ; chacun se vérifie.

Le trajet des données dans un agent IA

Pour traiter une demande, un agent IA suit généralement ce trajet :

1. Il lit une information dans un outil connecté (un e-mail, par exemple).
2. Il envoie tout ou partie de cette information au modèle d’IA, souvent hébergé par un fournisseur externe.
3. Il reçoit une réponse ou une décision.
4. Il agit dans un outil (classement, réponse, création d’événement) et peut garder une trace dans un journal.

Chaque étape correspond à un endroit où les données transitent ou sont stockées.

Les points de contrôle de la sécurité

Point de contrôle	Question à poser
Droits d’accès	L’agent a-t-il seulement les accès nécessaires (lecture d’une boîte précise, et non de toute la messagerie) ?
Fournisseur du modèle	Les données envoyées sont-elles conservées, et servent-elles à entraîner le modèle selon l’offre choisie ?
Localisation	Où les données sont-elles traitées et hébergées ?
Journal	Les traces d’activité contiennent-elles des données personnelles, et combien de temps sont-elles gardées ?
Identifiants	Les clés d’accès sont-elles stockées de façon sécurisée et révocables ?
Comptes	Les comptes sont-ils au nom de l’entreprise, avec la possibilité de couper l’accès ?

Réduire la quantité de données exposées

Plusieurs mesures limitent l’exposition :

• ne transmettre au modèle que les informations utiles à la tâche ;
• exclure certains types de messages (dossiers médicaux, données bancaires, ressources humaines) ;
• prévoir une validation humaine pour les actions sensibles ;
• documenter les accès accordés pour pouvoir les retirer.

Le cadre RGPD

Dès qu’un agent IA traite des données personnelles, le RGPD s’applique : finalité définie, données limitées au nécessaire, information des personnes, encadrement des sous-traitants, durée de conservation. La CNIL publie des recommandations sur l’IA et les données personnelles. Pour une analyse adaptée à une situation précise, l’avis d’un professionnel reste la référence.

Avec Guillot Studio

Dans l’offre agent IA, à partir de 1 400 € puis 250 € par mois, les connexions (e-mail, agenda, tableur, site) sont listées dans le devis, les comptes restent au nom du client et un test a lieu avant la mise en service.

En résumé

La sécurité des données avec un agent IA se construit : accès limités, fournisseur choisi en connaissance de cause, données réduites au nécessaire, comptes au nom de l’entreprise et respect du RGPD.