Quelles données personnelles naissent avec Copilot ?
Chaque utilisation crée des données qui n'existaient pas auparavant :
- Prompts et réponses, souvent avec des noms, des dossiers et des détails internes.
- Historiques de chat avec l'assistant.
- Enregistrements, transcriptions et résumés de réunions.
- Brouillons et documents créés par Copilot.
- Références aux contenus sur lesquels Copilot s'appuie dans ses réponses.
Que peut voir Copilot ?
Copilot accède aux contenus pour lesquels la personne concernée dispose d'autorisations. C'est normal – mais cela rend visible ce qui était caché auparavant : des documents partagés « avec toute l'organisation » ou « avec toute personne disposant du lien », d'anciens espaces de stockage contenant des données du personnel ou de santé, des exports oubliés. Ce que personne ne trouvait autrefois, Copilot le trouve en quelques secondes.
Avant le déploiement, il vaut donc la peine d'analyser les espaces de stockage à la recherche de données personnelles et de corriger les contenus partagés trop largement.
Qu'exige le droit de la protection des données ?
Le PFPDT a rappelé en 2023 que la loi sur la protection des données en vigueur est directement applicable aux applications d'IA. Les principes connus s'appliquent : limitation de la finalité, proportionnalité et transparence. Il en découle des tâches concrètes :
- Inscrire Copilot comme traitement dans le registre.
- Prendre en compte les prompts et les transcriptions lors des demandes d'accès.
- Fixer et appliquer des durées de conservation pour les données d'IA.
- En cas de risque élevé, effectuer une analyse d'impact relative à la protection des données (art. 22 LPD, art. 35 RGPD).
- Régler contractuellement la sous-traitance par le fournisseur (art. 9 LPD, art. 28 RGPD).
Combien de temps les prompts et les transcriptions peuvent-ils être conservés ?
Il n'existe pas de délai légal unique. C'est la finalité qui compte : une transcription de réunion qui sert seulement d'aide-mémoire est supprimée plus tôt qu'une transcription qui fait office de procès-verbal. Microsoft 365 propose pour cela des paramètres de conservation. L'essentiel est de fixer le délai, de l'appliquer – et de vérifier régulièrement qu'il est respecté.
Déployer Copilot : cinq étapes
- 1Analyser les espaces de stockage dans SharePoint, OneDrive et les boîtes aux lettres à la recherche de données personnelles.
- 2Corriger les contenus partagés trop largement.
- 3Répertorier et classer Copilot comme système d'IA.
- 4Fixer des délais pour les prompts et les transcriptions.
- 5Vérifier régulièrement que les délais et les engagements sont respectés.