Est-ce que ChatGPT divulgue des données ?

En novembre 2022, OpenAI a lancé ChatGPT, un outil d'intelligence artificielle générative (GenAI), qui a depuis pris le monde d'assaut. Deux mois seulement après son lancement, elle comptait plus de 100 millions d'utilisateurs, ce qui en fait "l'application grand public à la croissance la plus rapide de l'histoire". Et ChatGPT n'est pas le seul.

Si toute nouvelle technologie présente des risques, cela ne veut pas dire que les risques sont tous nouveaux. En fait, les entreprises peuvent constater qu'elles disposent déjà d'un grand nombre de personnes, de processus et de technologies pour atténuer les risques liés aux outils de la GenAI, mais qu'elles doivent les affiner pour inclure cette nouvelle catégorie de technologie.

Cela dit, les entreprises ne doivent pas penser qu'elles sont déjà protégées contre ces risques ; elles doivent au contraire s'efforcer de les atténuer.

Comment les outils de GenAI tels que ChatGPT peuvent-ils présenter des risques pour les informations sensibles ?

La plupart des outils GenAI sont conçus pour recevoir une "invite" de l'utilisateur, qui peut être un texte saisi/collé, un fichier texte, une image, un son en direct ou enregistré, une vidéo, ou une combinaison de ces éléments, puis pour effectuer une action en fonction de l'invite utilisée. ChatGPT, par exemple, peut résumer le contenu d'une invite ("résumez ces notes de réunion...") et déboguer le code source ("identifiez ce qui ne va pas avec ce code..."). 

Le risque est que ces messages peuvent être examinés par les développeurs de l'outil GenAI et peuvent être utilisés pour former une future version de l'outil. Dans le cas des outils publics, les messages-guides font partie intégrante du modèle linguistique lui-même, lui fournissant un contenu et des données dont il ne disposerait pas autrement. Toutefois, dans l'exemple ci-dessus, si les notes de réunion contenaient des informations sensibles ou si le code source était propriétaire, ces données confidentielles ont maintenant quitté le contrôle de l'équipe de sécurité et peuvent mettre en péril les obligations de conformité et les protections de la propriété intellectuelle.

Dans la situation la plus extrême, la contribution de quelqu'un peut devenir la production de quelqu'un d'autre.

Et ce n'est pas seulement théorique.

En janvier 2023, Amazon a publié une communication interne restreignant l'utilisation de ChatGPT après avoir découvert que les résultats de ChatGPT "imitaient les données internes d'Amazon". Et bien que les données initiales utilisées pour former ChatGPT aient cessé d'être collectées en 2021, ChatGPT n'a pas fini de se former. En fait, à l'avenir, lorsqu'un ingénieur demandera de l'aide pour optimiser son code source, celui-ci pourrait ressembler aux données propriétaires de la division des semi-conducteurs de Samsung. 

Alors qu'un rapport indique que deux tiers des emplois pourraient être au moins partiellement automatisés par les outils de GenAI, quelles autres informations sensibles pourraient finir par être utilisées comme données d'entraînement ?

Tout est dans l'équilibre

Une approche intentionnelle et équilibrée entre les personnes, les processus et la technologie est le seul moyen de réduire réellement le risque de fuite de données via un outil GenAI.

Rassemblez vos parties prenantes

Commencez par réunir vos principales parties prenantes : Ressources humaines, service juridique, informatique et sécurité pour définir les politiques et les procédures relatives à l'utilisation des outils GenAI en accord avec les orientations de la direction.

• Qui peut l'utiliser et quand ?
• Qu'est-ce qui peut être utilisé comme intrant ?
• Comment les résultats peuvent-ils être utilisés ?

Certaines entreprises, comme Amazon, choisissent d'autoriser l'utilisation de l'outil GenAI à condition que leurs employés fassent preuve de prudence ; d'autres, comme Samsung, ont décidé d'en interdire totalement l'utilisation.

Communiquer et éduquer

• Fournir des conseils explicites dans votre politique d'utilisation acceptable
• Exiger une formation proactive sur les risques associés à l'utilisation des outils de GenAI
• Faites savoir aux employés où ils peuvent obtenir de l'aide pour une utilisation correcte et comment signaler une utilisation inappropriée.

Arrêter, contenir et corriger

• Surveiller l'activité des employés sur les outils GenAI non fiables
• Bloquer les activités de collage dans les outils de GenAI non approuvés
• Générer des alertes pour les téléchargements de fichiers vers les outils de GenAI
• Réagir par une formation en temps réel pour les employés qui commettent une erreur

De nombreux risques liés aux outils de la GenAI ne sont pas nouveaux, et avec une approche intentionnelle et holistique, les organisations atténuent les risques liés aux outils de la GenAI sans perdre l'élan de la possibilité.

Vous voulez savoir comment votre entreprise peut se protéger sans prendre de retard ?

Si c'est le cas, vous êtes peut-être prêt à organiser une consultation gratuite avec nos conseillers en protection des données. Vous obtiendrez les outils et les conseils nécessaires pour créer un programme transparent, durable et mesurable de lutte contre les menaces d'origine interne... sans conditions.