Garde — quand passer à l'IA que vous contrôlez

Working with Claude — CC BY 4.0

La majeure partie de ce cours vise à tirer le meilleur parti de Claude : faire en sorte qu’il vous montre le degré de fiabilité de chaque affirmation, tout en vous laissant le soin de juger. Cette leçon aborde l’autre face de la même médaille : où va ce travail une fois que vous l’avez saisi, et qui peut y accéder après que vous ayez fermé l’ onglet.

La « garde » est le terme simple pour désigner cela. Lorsque vous collez un document dans un outil d’IA en ligne, vous remettez une copie aux ordinateurs de quelqu’un d’autre. Il s’agit rarement d’une simple question de « bien » ou de « mal ». Ce qui importe, c’est de savoir si vous vous êtes posé les trois questions préalables avant de le faire — et si, pour un travail donné, les réponses indiquent « un outil public convient » ou « cela nécessite une IA que je contrôle ».

Les trois questions préalables

Posez-les avant de lancer le travail, pas après.

1. Où vont vos données ? Avec les applications et le site web standard Claude, vos conversations sont, à l’heure où nous écrivons ces lignes, traitées par défaut sur des serveurs situés aux États-Unis. Les formules commerciales et d’entreprise permettent de localiser le traitement et le stockage dans d’autres régions — l’ API directe offre des contrôles géographiques, et Claude via AWS Bedrock ou Google Vertex peut être configuré pour conserver les données dans l’UE, en Asie-Pacifique ou dans d’autres régions — mais il s’agit d’une configuration délibérée, et non du comportement par défaut, et les détails varient ; vérifiez donc la configuration actuelle de votre compte. L’intérêt de cette question : connaître la réponse avant que cela ne devienne crucial, et non lors d’un incident.

2. Quelle législation s’applique ? Quel que soit l’endroit où les données se trouvent physiquement, et quelle que soit l’entreprise qui les détient, la législation de cette juridiction peut s’y appliquer — ordonnances judiciaires, demandes d’accès légal, les propres conditions générales du fournisseur. Les données stockées à l’étranger restent soumises à la juridiction — simplement en vertu d’un ensemble de loisdifférent de celui auquel vous vous attendriez dans votre pays. Pour tout ce qui touche à la confidentialité des clients, aux informations de santé ou aux obligations en vertu de la législation néo-zélandaise, c’est une question à soulever auprès de votre propre conseiller, et non à deviner. (Cette leçon relève de l’information générale et ne constitue pas un conseil juridique — pour connaître vos obligations spécifiques, consultez un conseiller compétent.)

3. Qu’est-ce qui ne devrait jamais figurer — dans aucun outil public ? Une liste courte et ennuyeuse vaut mieux qu’une longue politique. Pour la plupart des gens, il s’agit : des informations personnelles ou médicales d’autrui qui vous ont été confiées ; des mots de passe, clés et identifiants financiers ; tout ce qui relève d’un accord de confidentialité ou de non-divulgation ; les documents non publiés et sensibles sur le plan commercial ; et — un sujet d’actualité ici — les informations soumises à des obligations en vertu des règles de souveraineté des données te Tiriti et Māori, qui méritent une attention particulière plutôt qu’un téléchargement par défaut. Notez votre liste par écrit. « Je m’en souviendrai » : c’est ainsi que la mauvaise information se retrouve collée à 17 h un vendredi.

Ce que les conditions actuelles disent réellement

Il vaut mieux s’en tenir à cela plutôt que de faire des vagues, car cela change la donné :

• Sur les formules grand public (gratuite et Pro), les conditions générales de Anthropic autorisent l’utilisation de vos conversations pour aider à entraînerde futurs modèles si vous l’autorisez — et cette autorisation s’accompagne d’une longue période de conservation des données utilisées. Si vous refusez, une période de conservation plus courte s’applique et vos conversations ne sont pas utilisées pour l’entraînement. Les conversations signalées pour un examen de sécurité constituent une exception : elles peuvent être examinées quelle que soit cette préférence. Les paramètres et les durées exactes varient, alors vérifiez les paramètres actuels de votre compte et les conditions d’utilisation en vigueur plutôt que de vous fier aux chiffres de ce paragraphe.
• Sur les offres commerciales et d’entreprise (Claude pour Work, l’API, Bedrock et autres), la configuration par défaut est différente : les données d’entrée et de sortie ne sont pas utilisées pour l’entraînement des modèles. Les clients éligibles peuvent également opter pour une conservation zéro des données, où le contenu n’est pas conservé après la réponse — sous réserve d’approbation, et avec certains enregistrements de sécurité toujours conservés.

La leçon à en tirer n’est pas « mauvais pour les particuliers, bon pour les entreprises ». C’est plutôt que le niveau auquel vous appartenez détermine les règles, et que la plupart des gens n’ont jamais vérifié à quel niveau ils se trouvent.

Quand une entreprise doit-elle passer à une IA qu’elle contrôle ?

Vous n’avez pas besoin d’abandonner les outils publics pour tout. Vous avez besoin d’un seuil. Optez pour une IA que vous contrôlez lorsque :

• vous traitez régulièrement les informations confidentielles ou personnelles d’autruidans le cadre de votre activité principale — une clinique, un cabinet d’avocats, un expert-comptable, une organisation iwi détenant des données communautaires ;
• un organisme de régulation, un bailleur de fonds ou un contrat vous oblige à préciser où les données sont traitées et en vertu de quelle législation, et « un serveur américain, probablement » ne suffira pas ;
• les données sont suffisamment précieuses pour qu’une copie stockée sur le système d’un tiers constitue un risque commercial réel, et non pas théorique ; ou
• vous souhaitez simplement que la réponse à la question « qui peut y accéder ? » soit «vous », et personne d’autre.

Si aucune de ces options ne convient, un outil public associé à une liste d’exclusion écrite constitue une solution raisonnable. Adaptez la méthode de conservation aux enjeux.

Le pont — et son coût

Une « IA que vous contrôlez » signifie principalement exécuter un modèle open-weight sur une infrastructure dont vous décidez de l’emplacement et de l’accès — votre propre matériel, ou un hébergement au sein d’une juridiction et d’une organisation en lesquelles vous avez confiance. Des options communautaires et auto-hébergées existent, et cette formation s’adresse aux personnes qui font exactement cela.

Le compromis est bien réel. Les modèles ouverts que vous pouvez auto-héberger sont, à l’heure actuelle, généralement moins performants que le modèle phare que vous avez appris à piloter — moins performants pour les raisonnements longs et subtils, et plus exigeants à faire fonctionner et à maintenir à jour. Vous sacrifiez une partie des capacités et assumez une charge de maintenance, en échange du contrôle total. Pour une grande partie du travail quotidien, ce compromis en vaut la peine ; pour les tâches de raisonnement les plus complexes, vous pouvez toujours vous tourner vers le modèle phare, en appliquant une liste d’exclusion stricte. Savoir quel travail relève de quelle catégorie, voilà le savoir-faire. Il n’y a pas de vente incitative ici — juste la recommandation d’adapter l’outil à l’enjeu, et de garder le choix pour vous.

C’est ça, la garde : non pas un produit que l’on achète, mais l’habitude de se demander où va le travail avant de l’envoyer, et de laisser le pouvoir de décision à la personne à qui appartient ce travail. Et cela va bien au-delà des données. Laissez la machine se charger des calculs et de la synthèse ; réservez-vous les décisions concernant ce qui vaut la peine d’être fait et où tout cela aboutit. Cette dernière autorité est celle qu’il faut préserver par-dessus tout — c’est la raison pour laquelle le reste a de l’importance.

Pour en savoir plus

• Te Mana Raraunga — le réseau de souveraineté des données Māori.
• Anthropic confidentialité et aspects juridiques — traitement des données, conservation et frontière entre usage consommateur et usage commercial.

Fiche imprimable : la liste de contrôle « Keep-out » contient la question de la garde que vous pouvez vous poser avant chaque collage.

Dédié à ma grande sœur Judy, qui m’a donné l’idée d’écrire un cours pour aider les gens à apprendre à utiliser l’IA de manière réfléchie.