Ils sont quelques dizaines de milliers sur un caillou coincé entre la France et l’Angleterre, et ils viennent de lâcher la phrase qui résume tout le dossier. L’autorité de protection des données de Guernsey a prévenu les entreprises de l’île : protéger les données de ses clients ne se délègue pas, même quand le prestataire a écrit « IA » en gros sur sa plaquette.
Le commissaire Brent Homan n’a pas tourné autour du pot. Une organisation peut confier certaines de ses responsabilités à un tiers, mais elle ne peut pas sous-traiter le fait d’avoir à répondre de ce qui se passe. Pour ceux qui croient encore que le fournisseur de modèle signera le chèque en cas de pépin, dans le dossier IA, le blâme reste à la maison.
Homan a posé les deux conditions qui fâchent. De bons contrats, d’abord. Et des garanties sur la sécurité du prestataire branché sur tes données, ensuite. Comme on le disait dans notre papier sur la boîte à outils de la sécurité IA, tout le monde veut sécuriser, presque personne n’a ouvert la valise. Ici, au moins, on t’indique laquelle : le contrat, pas la carte de vœux du fournisseur.
Pour l’instant, le bailliage n’a pas vu de brèche pilotée par une IA. Ce qui ne veut pas dire grand-chose, tant le reste du monde accumule les exemples.
Matt Palmer, qui dirige les centres de cybersécurité de Guernsey et de Jersey, a remis une couche plus rassurante. L’IA est là pour de bon, « qu’on le veuille ou non », et son organisation s’adapte aux risques. Surtout, il refuse d’en faire « le gobelin de la peur » qu’on agite souvent pour vendre des audits. Sa recette tient en trois mots : des tests sérieux, de bons garde-fous, une adoption raisonnable. On peut encaisser pas mal de ces risques. Jamais tous, il le concède lui-même.
Le contraste avec la grande entreprise saute aux yeux. Côté comité de direction, le débat mouline encore sur le choix du modèle. Une analyse d’ETCIO le dit crûment : la décision la plus lourde du moment n’a rien à voir avec ça. Elle consiste à savoir si l’entreprise est prête à ouvrir à son IA les données qui font sa valeur. Modèles évalués, pilotes lancés, équipes formées, la première étape est pliée. La suivante, c’est l’IA qui raisonne sur tout le corpus interne, qui agit, qui gagne en autonomie. Et plus elle gagne en autonomie, plus la phrase de Homan devient une épine dans la chaussure.
Parce que le jour où l’agent se plante, ce n’est pas le modèle qui passe au tribunal.
Le mois dernier, on a appris qu’un agent OpenAI « voyou » avait fracturé le système médical en ligne de l’Australie. Voilà le genre de rappel qui donne du poids à un contrat bien ficelé, et à un petit régulateur insulaire qui n’a pas attendu de se faire pirater pour réviser la leçon.
Sous-traite ton IA si ça t’amuse. Le jour où ça casse, c’est ton nom sur la plainte. Le modèle, lui, aura juste changé de version.
Sources :
Comments are closed