Licences de logiciels, outils numériques et règlement européen sur l'intelligence artificielle

04Les menaces sur les données saisies dans un outil d'IA

Quand on saisit du texte ou un fichier dans un outil d'IA générative grand public, on les confie à un tiers.

4.1 Bonnes pratiques

1. Utiliser des outils validés par l'organisation, dont on connaît les conditions de réutilisation des données.
2. Ne jamais saisir de données personnelles, de secret professionnel ou d'information confidentielle dans un outil non validé.
3. Anonymiser les données avant saisie quand l'usage est nécessaire.
4. Appliquer la charte d'usage de l'IA (cours 10).
5. Vérifier les résultats : l'utilisateur reste responsable de ce qu'il fait de la réponse.
6. Informer les personnes quand un agent conversationnel interagit avec elles.

Exemples corrigés

Cas 1 : licence perpétuelle ou abonnement pour 12 postes

Faits. Le cabinet Perrin (12 postes) doit s'équiper d'un logiciel de gestion de dossiers. Offre A, licence perpétuelle : 340 € par poste, plus une maintenance annuelle de 18 % du prix d'achat. Offre B, abonnement : 9,50 € par poste et par mois. Les montants sont hors taxes ; la maintenance de l'offre A est souscrite chaque année.

Question. Comparer les coûts cumulés sur cinq ans, puis déterminer à partir de quand l'offre A devient moins chère.

Calculs.

L'écart annuel entre B et A est de 1 368,00 − 734,40 = 633,60 € en faveur de A après l'achat ; il faut 4 080 / 633,60 = 6,44 ans pour amortir l'achat : A devient moins chère à la septième année (9 220,80 contre 9 576,00).

Droits. Avec l'abonnement, l'accès cesse à l'arrêt du paiement ; avec la licence perpétuelle, le cabinet peut continuer à utiliser la version acquise (sans mise à jour si la maintenance est arrêtée). Dans les deux cas, ni modification ni redistribution.

Conclusion argumentée. Sur cinq ans, l'abonnement est moins cher de 912 € (7 752 − 6 840). La licence perpétuelle ne devient avantageuse qu'au-delà de six ans et demi d'usage. Le choix dépend donc de la durée prévue d'utilisation et de la valeur donnée à la réversibilité : l'abonnement impose de pouvoir exporter les données.

Écrit au décideur (à l'associé gérant). « Sur cinq ans, l'abonnement coûte 6 840 € contre 7 752 € pour la licence perpétuelle, soit 912 € de moins. L'achat ne deviendrait rentable qu'à partir de la septième année. Je recommande l'abonnement, à condition que le contrat nous permette d'exporter nos dossiers dans un format standard si nous arrêtons de payer. »

Cas 2 : situer quatre outils dans les niveaux du règlement sur l'IA

Faits. Nous sommes le 1er octobre 2026. La société Colin utilise : (a) un agent conversationnel sur son site internet pour répondre aux questions des clients ; (b) un outil qui trie automatiquement les candidatures reçues ; (c) un outil qui évalue la solvabilité de particuliers pour accorder un paiement échelonné ; (d) un filtre anti-courrier indésirable de sa messagerie.

Question. Classer chaque outil, dire quelle obligation s'applique à la date du jour et ce qu'il faut faire.

Réponse.

Conclusion argumentée. À la date du jour, seul l'agent conversationnel (a) fait l'objet d'une obligation déjà applicable (information des clients). Les deux outils à haut risque (b et c) ne sont pas encore soumis aux exigences du règlement sur l'IA, mais la réglementation sur les données personnelles s'y applique, et leur échéance est le 2 décembre 2027.

Écrit au décideur (à la direction). « Un seul de nos quatre outils d'IA est déjà concerné : l'agent conversationnel du site, qui doit indiquer qu'il s'agit d'une IA depuis le 2 août 2026. Le tri des candidatures et l'évaluation de solvabilité sont des systèmes à haut risque dont les obligations spécifiques ne s'appliqueront qu'à partir du 2 décembre 2027. Je recommande d'ajouter le message d'information sans attendre et de prévoir dès maintenant une validation humaine des décisions issues de ces deux outils. »

Cas 3 : un collaborateur colle un fichier dans un outil d'IA grand public

Faits. Pour gagner du temps, une collaboratrice du cabinet Perrin colle dans un outil d'IA générative grand public, accessible gratuitement en ligne, un tableau de 85 lignes comportant le nom, l'adresse, la rémunération et la situation familiale de salariés d'un client, afin d'obtenir une synthèse.

Question. Quelles sont les menaces et que doit faire le cabinet ?

Analyse.

Mesures. Traiter l'incident comme une possible violation de données à évaluer (cours 08) ; informer le responsable concerné ; interdire l'usage d'outils non validés pour des données clients ; proposer un outil validé par le cabinet ; anonymiser les données avant tout usage ; former les collaborateurs.

Conclusion argumentée. L'usage n'est pas acceptable : il expose des données personnelles et un secret professionnel à un tiers. La réponse est organisationnelle (charte, outil validé, sensibilisation) autant que technique.

Écrit au décideur (à l'associé gérant). « Une collaboratrice a saisi dans un outil d'IA public les noms, rémunérations et situations familiales de 85 salariés d'un client. Ces données sont désormais chez un tiers et peuvent être réutilisées ; elles sont aussi couvertes par notre secret professionnel. Je recommande d'évaluer l'incident avec le responsable des données personnelles, de prévenir le client si nécessaire, de mettre à disposition un outil validé et d'interdire par charte la saisie de données de clients dans les outils publics. »

Vocabulaire essentiel

Points clés à retenir

1. Une licence définit utiliser, copier, modifier, redistribuer.
2. Sept catégories courantes : propriétaire, libre à copyleft, libre permissive, open source, gratuiciel, partagiciel, abonnement.
3. Libre et gratuit sont deux notions différentes.
4. L'abonnement donne un droit d'usage tant qu'il est payé ; la licence perpétuelle conserve l'usage de la version acquise.
5. Un outil numérique collecte des données : où sont-elles, qui y accède, le fournisseur est-il sous-traitant ?
6. Règlement sur l'IA : quatre niveaux de risque (inacceptable, haut risque, transparence, minimal).
7. Au 1er octobre 2026 : transparence applicable depuis le 2 août 2026 ; haut risque reporté au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I) ; marquage des contenus exigé depuis le 2 août 2026, avec un délai jusqu'au 2 décembre 2026 pour les systèmes déjà sur le marché.
8. Les menaces sur les données saisies dans un outil d'IA : fuite, réutilisation, secret professionnel, données personnelles, erreur.
9. Bonnes pratiques : outil validé, ne pas saisir de données sensibles ou confidentielles, anonymiser, vérifier les résultats.

Pièges fréquents

1. Confondre libre et gratuit.
2. Croire qu'un gratuiciel permet de modifier le logiciel.
3. Oublier qu'une licence a des limites (postes, durée) : un dépassement est une infraction.
4. Dater les obligations haut risque au 2 août 2026 : elles sont reportées au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I).
5. Écrire que l'obligation de maîtrise de l'IA garantit un niveau de compétence : elle consiste à favoriser la maîtrise.
6. Croire que tout outil d'IA est à haut risque : la plupart des usages courants sont à risque minimal ou de transparence.
7. Saisir des données de clients dans un outil non validé.
8. Citer les amendes du règlement sur l'IA comme à apprendre : elles peuvent être évoquées.
9. Faire une analyse juridique d'un contrat de licence complexe : hors programme.

Q&R pour le tuteur IA

Q : Quelle différence entre un logiciel libre et un gratuiciel ? R : Le logiciel libre accorde les libertés d'utiliser, copier, modifier et redistribuer (avec des conditions selon la licence) ; il peut être vendu. Le gratuiciel est gratuit mais ne permet généralement ni de modifier ni de redistribuer le logiciel.

Q : Qu'est-ce que le copyleft ? R : Une licence libre qui impose que les versions modifiées et redistribuées restent sous la même licence libre. À l'inverse, une licence permissive autorise leur intégration dans un produit propriétaire.

Q : Quels sont les quatre niveaux de risque du règlement sur l'IA ? R : Risque inacceptable (pratiques interdites), haut risque (exigences strictes : recrutement, crédit, éducation), risque de transparence (informer les personnes, par exemple pour un agent conversationnel) et risque minimal.

Q : À quelle date s'appliquent les obligations pour les systèmes d'IA à haut risque ? R : Elles ont été reportées par le règlement (UE) 2026/1744 du 8 juillet 2026 : au 2 décembre 2027 pour les systèmes autonomes de l'annexe III (recrutement, crédit, éducation) et au 2 août 2028 pour les composants de sécurité de produits réglementés (annexe I).

Q : Quelles obligations de transparence s'appliquent depuis le 2 août 2026 ? R : Les obligations de l'article 50, par exemple informer les personnes qu'elles interagissent avec une IA. Le marquage des contenus générés (art. 50, § 2) s'applique aussi depuis le 2 août 2026, mais les fournisseurs dont le système était déjà sur le marché avant cette date ont jusqu'au 2 décembre 2026 pour s'y conformer.

Q : Quels risques courent les données saisies dans un outil d'IA ? R : Fuite vers un tiers, réutilisation pour l'entraînement du modèle, atteinte au secret professionnel, traitement non conforme de données personnelles, et risque d'erreur dans le résultat produit.

Q : Quelles bonnes pratiques adopter ? R : Utiliser des outils validés, ne pas saisir de données confidentielles ou personnelles dans un outil non validé, anonymiser, vérifier les résultats et respecter la charte d'usage.