Risque, données et choix de solution

La vie privée concerne les données personnelles ; la confidentialité concerne les informations commerciales ; le droit d'auteur concerne le matériel protégé ; les hallucinations concernent du contenu inventé ou mal attribué. Un cas d'utilisation peut toucher les quatre.

Pour chaque risque, définissez un scénario, une probabilité, un impact, des mesures de prévention, une détection, un responsable et un rétablissement. La pseudonymisation réduit parfois le risque, mais ne rend pas automatiquement les données anonymes.

Avant un véritable pilote, ajoutez une vérification juridique préalable : quelle application, quelle organisation et quel rôle, quelles personnes, quelles données et quelles conséquences ? Vérifiez dans le règlement sur l’IA les usages interdits, l’éventuelle classification à haut risque et la transparence. Un nom de produit ou un faible score de risque interne ne répond pas à ces questions. Le fournisseur met le système sur le marché ou en service sous son propre nom ; un déployeur l’utilise à titre professionnel sous son autorité. Faites examiner toute classification incertaine avant l’essai pratique concerné.

Dans le pilote textuel ordinaire de Noor, le client reste en dehors du chat avec l’IA : un membre du personnel contrôle et envoie lui-même la réponse. Un bot qui parle directement aux clients est une autre application. L’article 50 peut alors exiger une information sur l’interaction avec l’IA. En cas de publication, les hypertrucages et certains textes générés par l’IA sur des sujets d’intérêt public sont notamment concernés ; un contrôle humain du fond et une responsabilité éditoriale peuvent permettre une exception pour ces textes. Une mention générale ne couvre pas automatiquement toutes les situations ni toutes les obligations des fournisseurs.

Situation au 8 septembre 2026 : l’Omnibus sur l’IA a modifié le calendrier. L’article 50 s’applique en principe depuis le 2 août 2026 ; certains systèmes existants bénéficient d’une transition jusqu’au 2 décembre 2026 pour l’obligation du fournisseur prévue à l’article 50(2). Les principales règles relatives aux systèmes à haut risque de l’annexe III s’appliqueront le 2 décembre 2027, et celles relatives à l’IA à haut risque intégrée aux produits réglementés de l’annexe I le 2 août 2028. Consultez le calendrier officiel avant une véritable décision de démarrage ; les règles existantes de protection des données et de droit du travail restent pertinentes entre-temps.

• Données personnelles
• Secret commercial
• Droit d'utilisation
• Erreur factuelle
• Rétablissement

Évaluez séparément deux aspects : quel est le degré de confidentialité de l’information et contient-elle des données personnelles ? Un document public peut aussi contenir des données personnelles. Précisez, pour chaque champ, son utilité, les règles contractuelles ou sectorielles pertinentes et les environnements, accès et durées de conservation autorisés.

Utilisez des informations entièrement fictives dans ces exercices. Les données synthétiques sont créées artificiellement, mais peuvent encore présenter des risques si elles conservent des détails permettant de reconnaître de vrais dossiers. Le seul qualificatif « synthétique » ou le remplacement d’un nom ne rend pas l’information anonyme. Classez les types de données nécessaires avant de transmettre leur contenu à un service.

Le RGPD, appelé GDPR en anglais, s’applique aux données à caractère personnel. Consignez la finalité, la base juridique, les rôles, les données minimales et l’information des personnes concernées. Avant l’utilisation, évaluez si une analyse d’impact relative à la protection des données est nécessaire : AIPD ou DPIA. Elle est obligatoire lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés. Consultez les critères et la liste obligatoire de l’APD belge ; une nouvelle technologie ne rend pas à elle seule chaque exercice soumis à une AIPD. Documentez la conclusion et associez le DPO ou un spécialiste compétent. Si un risque résiduel élevé subsiste après les mesures, une consultation préalable de l’autorité de contrôle compétente est nécessaire.

• Classification
• Limitation des finalités
• Champs minimaux
• Conservation
• Accès

Définissez les modalités, les outils, le contexte, la précision et la forme de sortie. Testez l'écriture, l'analyse, le code, la recherche et l'image avec différents ensembles de données représentatifs où leurs exigences diffèrent.

Les noms des modèles changent. Conservez les exigences, le jeu de tests et le score minimal comme base stable, et effectuez un nouveau test lors d’une modification du modèle ou du prompt.

• Adéquation à la tâche
• Modalité
• Outils
• Seuil de qualité
• Nouveau test

La latence influence l’utilisation ; le contexte détermine l’information disponible ; les requêtes et les tokens influencent le temps et les coûts. Un contexte plus large peut également introduire des informations non pertinentes et des contradictions.

Mesurez le temps de bout en bout, le travail de correction et le coût des erreurs. Des réponses plus courtes, moins de requêtes ou un modèle plus léger ne sont des options valides que si le jeu d’évaluation confirme la qualité.

Pour une mesure p95, environ 95 % des durées mesurées sont inférieures ou égales à la valeur indiquée. Précisez aussi la méthode de calcul : les logiciels peuvent interpoler les percentiles différemment. Pour un petit jeu d’exercice, vous pouvez trier les durées et arrondir à l’entier supérieur la position donnée par 0,95 × le nombre de mesures. Pour 20 durées, il s’agit de la 19e. Vingt mesures ne constituent pas encore une garantie de performance stable.

• Qualité minimale
• Temps de bout en bout
• Contexte
• Volume
• Coûts d'erreur

Le chat convient à un échange délimité ; Work à des livrables plus importants pouvant être examinés ; les plugins à des données ou actions connectées ; une API à l’intégration dans votre propre produit, au passage à l’échelle ou à une journalisation structurée.

La disponibilité et les autorisations varient. Documentez l’identité, les droits sur les sources, le moment de l’approbation et le stockage pour chaque voie.

• Expérience
• Sources
• Actions
• Échelle
• Journalisation
• Autorisations

Décrivez le contexte, les exigences, les solutions examinées, le choix, les conséquences et les responsables. Une équipe ultérieure ne traitera ainsi pas ce choix comme une loi de la nature.

Ajoutez des déclencheurs de révision tels que la croissance du volume, de nouvelles données sensibles, une modification du modèle, un incident ou un fournisseur. Liez la décision aux tests et au registre des risques.

• Contexte
• Alternatives
• Décision
• Conséquences
• Preuve
• Déclencheur