La donnée personnelle la plus risquée n’est pas toujours celle que l’on saisit volontairement

Le signal derrière le sujet

Un assistant retient préférences, habitudes, interlocuteurs et contraintes au fil des semaines alors que l’utilisateur n’a jamais rempli de profil. Pris isolément, le cas semble facile. Mis dans un processus réel, il pose une autre question : les mémoires, historiques, métadonnées et inférences peuvent créer un profil plus riche que les données explicitement fournies.

Ce sujet ne sort pas d’une intuition isolée. La CNIL souligne que les agents capables d’accéder à plusieurs sources, de conserver une mémoire et d’agir au nom de l’utilisateur augmentent les flux de données, la complexité des responsabilités et les risques de perte de maîtrise sur les données personnelles. La bonne lecture consiste donc à garder les faits d’un côté et la décision de l’autre.

Ce qui se passe vraiment dans le travail

Avec l’IA, la donnée circule plus facilement entre une consigne, un document, une mémoire, un connecteur et un historique. La facilité d’accès rend la discipline sur le périmètre encore plus importante, pas moins. Le RGPD ne se résume pas à masquer un nom : il demande une finalité, une base légale lorsqu’il y a des données personnelles, des mesures de sécurité, une durée de conservation et des droits réellement exerçables. La question opérationnelle est plus simple à formuler : Les mémoires, historiques, métadonnées et inférences peuvent créer un profil plus riche que les données explicitement fournies. On peut alors gagner quelques minutes à l’écran et les reperdre dans l’étape suivante.

Un assistant retient préférences, habitudes, interlocuteurs et contraintes au fil des semaines alors que l’utilisateur n’a jamais rempli de profil.

Le piège qui fausse la lecture

Le point faible d’un raisonnement rapide apparaît ici. Un même mécanisme peut être très utile dans un cas et franchement mauvais dans un autre. Un assistant retient préférences, habitudes, interlocuteurs et contraintes au fil des semaines alors que l’utilisateur n’a jamais rempli de profil. Le contexte métier reste donc plus important que la beauté de la démonstration.

Une manière plus utile de mesurer

Pour sortir du débat, je testerais d’abord ceci : cartographier données saisies, observées, dérivées et conservées. Compare plusieurs semaines, pas une seule démonstration. La stabilité compte autant que le meilleur résultat obtenu une fois. Compare le résultat accepté, pas seulement la première sortie. Les reprises racontent souvent l’histoire que la démo ne montre pas.

Lister les données réellement nécessaires à la tâche et supprimer le reste du périmètre. On pourrait l’ignorer. Ce serait souvent la meilleure manière de recréer la charge un peu plus loin dans le processus.

Distinguer données saisies, données observées, données dérivées et données conservées. L’intérêt est surtout de créer un critère observable. Si personne ne peut dire si ce point est respecté, la règle restera décorative.

Choisir une durée de conservation et une règle d’accès avant que l’historique ne devienne une habitude. Le but n’est pas d’ajouter une couche de procédure. C’est de rendre visible la décision qui existait déjà, souvent de manière implicite.

Prévoir comment une personne peut exercer ses droits lorsqu’elle est concernée par le traitement. Il faut alors sortir de la démonstration et suivre ce qui arrive réellement au dossier après la première réponse.

Ce que je garderais comme règle

Le fait qu’un traitement soit techniquement possible ne suffit pas à le rendre licite. Dès que des données personnelles sont concernées, la finalité, la base juridique, la minimisation, l’information, les droits, la conservation et la sécurité doivent être examinés dans le contexte réel.

Ce qui fera tenir l’usage dans six mois est probablement plus simple que la technologie : cartographier données saisies, observées, dérivées et conservées. C’est moins spectaculaire qu’une démo, mais beaucoup plus utile pour faire tenir l’usage dans le temps.