Fuite de données via une IA : que faire dans les 72 heures ?

Le RGPD appelle « violation de données » tout incident de sécurité qui entraîne, notamment, la divulgation non autorisée de données personnelles. Envoyer des données clients à un outil qui n'est pas prévu pour cela peut en relever.

Tout dépend de l'outil et du compte utilisé :

Dans le doute, la CNIL recommande de notifier : elle vous dira ensuite si les personnes doivent être informées.

1. Remerciez la personne qui a signalé l'incident. Si signaler expose à une sanction, le prochain incident ne vous sera pas signalé.
2. Notez l'heure à laquelle vous l'avez appris : c'est le point de départ des 72 heures.
3. Rassemblez les faits : quel outil, quel compte, quelles données, combien de personnes concernées, à quelle date. Faites des captures d'écran avant toute suppression.
4. Limitez les dégâts : supprimez la conversation, désactivez l'historique et l'utilisation pour l'entraînement dans les réglages, et demandez la suppression des données au fournisseur via son formulaire de confidentialité.
5. Si des mots de passe ou des accès ont été collés, changez-les immédiatement.

Posez-vous trois questions, avec votre délégué à la protection des données si vous en avez un :

• Quelles données ? Des noms et e-mails n'ont pas le même poids que des données de santé, bancaires ou des informations sur des enfants.
• Combien de personnes ? Trois contacts ou tout votre fichier clients.
• Quelles conséquences possibles ? Démarchage, fraude, atteinte à la réputation, discrimination.

Puis décidez :

• Risque nul ou très faible : pas de notification, mais inscription au registre interne, avec votre raisonnement.
• Risque pour les personnes : notification à la CNIL  via son téléservice, dans les 72 heures si possible. Si vous n'avez pas toutes les informations, faites une notification initiale puis complétez-la.
• Risque élevé : notification à la CNIL et information directe des personnes concernées, en termes clairs : ce qui s'est passé, les conséquences possibles, ce que vous avez fait, qui contacter.

Si vous traitez ces données pour le compte d'un client (vous êtes alors son sous-traitant), prévenez ce client sans tarder : c'est lui qui notifie la CNIL. Relisez aussi votre contrat avec lui, qui fixe souvent un délai plus court.

• Complétez le registre interne : nature de l'incident, données et personnes concernées, conséquences, mesures prises.
• Prévenez votre assureur si vous avez une assurance cyber : beaucoup de contrats l'exigent rapidement.
• Corrigez la cause : outil professionnel manquant, règle floue, formation absente.
• Rappelez la règle à l'équipe, sans désigner de coupable.

• Ne pas notifier une violation qui aurait dû l'être expose à une amende de la CNIL pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial (article 83 du RGPD ). En pratique, la CNIL tient compte de la taille de l'entreprise et de sa bonne foi.
• Communiquer des données personnelles à une personne non autorisée, même par négligence, est aussi une infraction pénale (article 226-22 du Code pénal). Notre article Le dirigeant est-il personnellement responsable ? détaille ce point.
• Le risque le plus courant reste la perte de confiance des clients. Une notification rapide et une information claire la limitent.

Une entreprise qui a une charte, des outils validés et une procédure d'incident montre qu'elle avait pris des mesures. C'est ce qui pèse le plus en sa faveur.