À chaque requête, les laboratoires d’IA ingèrent chaque jour davantage de données de votre entreprise. Votre seule protection ? Une promesse formulée en termes vagues de ne pas s’en servir pour l’entraînement.
Une récente analyse de Lawfare(nouvelle fenêtre) soutient que lorsqu’une entreprise confie ses données à quelques puissants laboratoires d’IA, elle leur apprend comment la rendre superflue. Les auteurs appellent ce phénomène le « remplacement par acquisition de connaissances » (RKA).
Si nul ne peut savoir ce que les laboratoires d’IA font aujourd’hui de vos données d’entreprise, trois forces convergentes sont à l’œuvre : un pouvoir largement illimité de fixer les conditions, un système juridique qui peine encore à définir ce que signifie même « entraînement », et à la fois la capacité et l’incitation à concurrencer leurs propres clients.
Votre entreprise nourrit peut-être la bête qui pourrait finir par la dévorer toute entière.
Les laboratoires d’IA entraînent-ils leurs modèles sur les données d’entreprise ?
Les plus grands laboratoires d’IA ont déployé des efforts concertés pour garantir aux utilisateurs professionnels que leurs données sont privées par défaut :
- OpenAI affirme qu’elle n’entraîne pas ses modèles sur les entrées ou les sorties de ChatGPT pour les utilisateurs professionnels.
- Anthropic affirme que les données d’entreprise sont exclues par défaut de l’entraînement du modèle Claude.
- Microsoft affirme que les requêtes, les réponses et les données ne servent pas à entraîner Copilot.
- Google affirme que Gemini n’entraîne pas son modèle sur les données d’entreprise sans autorisation ou instruction préalable.
- X affirme que les interactions sur les abonnements professionnels Grok n’améliorent pas son modèle, mais utilisera apparemment les données de ses propres employés de SpaceX à des fins d’entraînement.
En pratique, leurs promesses de protéger le respect de la vie privée de leurs utilisateurs sont volontairement vagues, et plus fragiles qu’elles n’en ont l’air :
- Les termes clés sont définis de façon vague. Lawfare souligne que le contrat d’entreprise d’OpenAI définit le contenu client comme l’entrée et la sortie, puis définit celles-ci à l’aide des mots « entrée » et « sortie ». Les conditions d’Anthropic excluent l’entraînement de modèles sur le contenu client sans définir ce que signifie l’entraînement.
- Certaines données peuvent échapper à la promesse. Les schémas, les métadonnées et les résumés qu’une IA génère mais ne vous montre jamais peuvent ne pas être considérés du tout comme des entrées ou des sorties.
- L’« entraînement » est plus restrictif qu’il n’y paraît. L’utilisation de vos données pour créer des tests de référence, ajuster des requêtes système ou entraîner des outils de sécurité distincts peut ne pas être prise en compte.
- Les conditions peuvent changer. Les fournisseurs se réservent généralement le droit de les modifier, et chaque nouvelle version de modèle est l’occasion de les réinitialiser.
- Vous ne pouvez pas vérifier. Seul le laboratoire sait ce qui entre dans son entraînement. Une fuite de données vous serait presque impossible à repérer. Andy Yen, fondateur et PDG de Proton, a averti qu’une fois que vous partagez des informations avec une IA, vous ne pouvez pas vraiment les récupérer. Il soutient que, bientôt, l’IA « pourrait vous connaître mieux que vous-même ».(nouvelle fenêtre) Pour une entreprise, les enjeux sont plus élevés.
Ce que votre entreprise risque de perdre
Ce qu’une IA apprend sur votre entreprise est précisément ce qui la rend compétitive. Les géants de la tech le savent.
Dans une affaire qui s’est déroulée de 2019 à 2022, la Commission européenne a enquêté sur Amazon pour avoir utilisé des données non publiques de vendeurs tiers afin d’alimenter sa propre activité de vente au détail, se servant en pratique des données des vendeurs pour leur faire concurrence. Amazon s’est engagé à y mettre fin, et cette interdiction a ensuite été inscrite dans le règlement sur les marchés numériques.
Dans certains secteurs, l’enjeu ne se limite pas à un avantage concurrentiel. La conformité est également en jeu. Les entreprises de la médecine et de la finance ont l’obligation légale de protéger les informations sensibles en vertu de règles telles que HIPAA et le GDPR. Ces règles sont claires quant à la sécurisation des données personnelles, mais le secteur de l’IA est si récent qu’une zone grise se développe.
Et comme l’IA est désormais intégrée aux outils de prise de notes de réunion, à la messagerie et aux flux de travail quotidiens, elle touche bien plus de facettes de votre entreprise qu’à l’époque où elle vivait dans une fenêtre de discussion.
Ce que les laboratoires d’IA ont à y gagner
Les laboratoires d’IA ont un intérêt financier et concurrentiel à ingérer autant de données que possible.
Le marché de l’IA devrait continuer de croître de manière spectaculaire, Gartner estimant que l’IA touchera l’ensemble des métiers de l’informatique d’ici 2030. Le cabinet prévoit également que les dépenses en IA atteindront 2 500 milliards de dollars en 2026, soit une hausse de 44 % par rapport à l’année précédente. Compte tenu de la difficulté à continuer de développer des modèles d’IA plus intelligents sans matériel d’entraînement conséquent, les entreprises d’IA sont de plus en plus susceptibles de chercher comment tirer profit de leurs clients professionnels.
Une demande explosive force les laboratoires d’IA à redoubler de créativité dans la façon de développer leurs modèles. Et les données d’entreprise ont de toute évidence de la valeur pour ces laboratoires : Google a remporté en août une enchère de 10 millions de dollars pour acheter les données de la compagnie aérienne en faillite Spirit Airlines. Selon l’Association of Flight Attendants, ce lot de données comprend des données sensibles sur les employés. Ces données pourraient être ingérées et utilisées pour entraîner les modèles d’IA de Google sans le consentement de ces employés.
OpenAI affirme qu’elle n’entraîne pas ses modèles sur les entrées ou les sorties de ses produits pour les utilisateurs professionnels. Mais compte tenu de l’énorme valeur de ces données pour les entreprises, il nous faut désormais examiner la position juridique du secteur de l’IA en matière de traitement des données.
On ne peut pas compter sur une réglementation qui pourrait ne jamais voir le jour
La réglementation peut-elle protéger les données de votre entreprise des plus grands laboratoires d’IA ? Pour le comprendre, il faut examiner les réalités financières et politiques du secteur.
Les États-Unis dominent l’IA. Selon le rapport Artificial Index de Stanford, 59 modèles notables sont développés aux États-Unis, le plus grand nombre au monde. Cette domination mérite d’être soulignée ; en mars, la Maison-Blanche a publié un cadre politique national pour réglementer l’IA. Il appelle à remplacer les lois au niveau des États par un cadre fédéral de politique de l’IA afin de « protéger les droits et l’innovation des Américains et d’éviter un patchwork fragmenté de réglementations étatiques qui nuirait à la compétitivité nationale [des États-Unis] ». Le cadre précise que les lois étatiques réglementant l’IA ne doivent pas être autorisées à « agir contrairement à la stratégie nationale des États-Unis visant à atteindre une domination mondiale de l’IA »
Le gouvernement américain est-il plus susceptible de donner la priorité aux droits en matière de respect de la vie privée des entreprises individuelles, éventuellement situées hors des États-Unis ? Ou aux droits d’expansion de son empire national de l’IA ? Les entreprises européennes ne peuvent tout simplement pas garantir que les outils d’IA américains feront passer leur souveraineté des données en premier. Avec les plus grands laboratoires d’IA opérant aux États-Unis, un point de basculement se profile à l’horizon.
Un meilleur choix pour l’IA en entreprise
Plutôt que d’espérer une réglementation ou de tenter de suivre les politiques de confidentialité, les entreprises disposent d’une option plus simple et plus efficace : choisir un outil d’IA conçu pour le respect de la vie privée. L’innovation a sa place sans qu’il soit besoin d’exploiter qui que ce soit. L’outil d’IA que vous choisissez doit rester ce qu’il est : un outil d’IA pour vous assister, et non un concurrent que vous entraînez à prendre votre place. Il doit chercher à remplir sa fonction, en évoluant avec le temps, sans dérober de secrets commerciaux.
Proton a conçu Lumo pour répondre à ce besoin. Sans incitation à collecter ou à exploiter les données des utilisateurs, l’IA peut être un outil transformateur pour les entreprises. Lumo ne conserve aucun journal des conversations professionnelles, protégeant ainsi vos données des tiers et de la surveillance gouvernementale. Avec un modèle économique sans publicité et aucun financement de la part des géants de la tech ni de capital-risque, la seule motivation de Lumo est d’offrir le meilleur support professionnel possible. En tant qu’entreprise, Proton est gouvernée par la Proton Foundation, ce qui signifie que nous agissons dans l’intérêt des personnes, et non de la domination industrielle.
Basée en Suisse, Proton est également soumise à des lois strictes sur le respect de la vie privée ainsi qu’au GDPR. Son code et son modèle sont tous deux open source, de sorte que toute entreprise peut vérifier nos affirmations. Lumo est conçu pour faire exactement ce que l’IA devrait faire : apporter une aide sans exploitation. Choisir une alternative européenne aux outils d’IA des géants de la tech est le meilleur moyen pour une entreprise de se protéger des laboratoires d’IA non réglementés et douteux.
