En pratique, pour répondre aux requêtes (ou prompts), ChatGPT utilise des données obtenues par extraction des sites internet (Web scraping), à partir de bases de données constituées, des informations sur les réseaux sociaux, des sources en open data ou encore des données directement renseignées par tous les utilisateurs1. Si chatGPT n’est pas la seule plateforme d’IA génératives – il existe également LightOn, Google Bard, Notion AI, ChatSonic – c’est la plateforme qui concentre aujourd’hui le plus d’inquiétudes tout en offrant de nombreuses opportunités dans le cadre professionnel : écrire un post sur les réseaux, rédiger une fiche de poste pour un recrutement RH, générer du code informatique, traduire un texte en anglais, générer un PowerPoint, répondre à un appel d’offres, rédiger un cahier des charges…
Dans le cadre des marchés publics, et avant d’utiliser une telle plateforme pour rédiger un cahier des charges, répondre à un marché public ou produire un livrable, il convient d’identifier les principaux risques puis lister quelques bonnes pratiques à adopter.
1. Les principaux risques d’utilisation d’une plateforme d’IA générative
- Les risques relatifs aux données à caractère personnel
La question de la protection des données à caractère personnel dans le cadre de l’utilisation d’une plateforme d’IA générative a conduit l’Autorité de protection des données personnelles à bloquer temporairement l’utilisation de ChatGPT en Italie en avril 2023. Depuis, d’autres pays étudient également cette possibilité (Canada, Allemagne…). En France, la Cnil a ouvert une procédure de contrôle suite aux dépôts de plaintes relatifs à l’utilisation de données personnelles. En parallèle, la Cnil a publié un plan d’action visant, notamment, à encadrer le développement d’IA respectueuses des données personnelles, d’auditer et contrôler les systèmes d’IA et de protéger les personnes.
En effet, même s’il n’existe aucune décision administrative ou judiciaire, il est probable que ChatGPT ne respecte pas le RGPD sur différents points (obligations du responsable de traitement, droit à la limitation du traitement, droit d’opposition…)2.
Ainsi, en l’absence d’information quant au traitement des données, il convient d’être vigilant s’agissant des données confidentielles saisies dans de telles plateformes.
- Les risques inhérents à la saisine de données confidentielles
Dans la mesure où les données renseignées permettent d’entrainer les plateformes d’IA (machine learning), elles peuvent également constituer tout ou partie des réponses aux autres utilisateurs. Dès lors, il convient de s’interroger sur le caractère confidentiel (ou non) des données avant de les saisir dans une plateforme d’IA. En effet, par exemple, des employés de Samsung ont saisi certaines données dans ChatGPT entrainant une divulgation de données confidentielles (notes internes, données liées aux performances des produits, code source…). Plus globalement, il ressort d’une étude initiée par la société de cybersécurité Cyberhaven que 11 % des données que les employés saisissent dans ChatGPT sont confidentielles. Ainsi, dans le cadre d’une requête saisie par un utilisateur A, ChatGPT peut proposer des réponses avec des données appartenant à un utilisateur B et/ou à un tiers.
- Les risques liés à la propriété des données
Lorsqu’un utilisateur réalise une requête sur une plateforme d’IA générative, cette dernière ne répond pas littéralement à la question posée mais sélectionne puis synthétise des données afin d’apporter des réponses. Aussi, ces réponses peuvent contenir tout ou partie de données (confidentielles ou non) appartenant à d’autres utilisateurs.
En outre, et même si OpenAI s’engage à respecter les droits d’auteur et procède à une amélioration continue de ChatGPT pour minimiser les atteintes à la propriété intellectuelle, les réponses générées peuvent être protégés par des droits d’auteur3.
Enfin, au regard du fonctionnement des plateformes d’IA et selon la manière dont la requête est rédigée par l’utilisateur, les réponses générées peuvent être contradictoires pour une même interrogation sans que les sources soient citées afin de « fact checker » les éléments. Au regard de ces risques, certaines bonnes pratiques sont à adopter dans le cadre d’une utilisation de ces plateformes, notamment, dans le cadre des marchés publics.
2. Les bonnes pratiques à adopter
Dans le cadre des marchés publics, il convient de distinguer l’utilisation par les acheteurs de celle des opérateurs économiques (candidats ou titulaires).
- Pour les acheteurs publics
Si une collectivité a interdit à ses agents l’utilisation de ChatGPT à titre conservatoire et en application du principe de précaution, elle a également interdit à ses prestataires (bureaux d’étude, AMO…) de recourir à une telle plateforme pour des questions de sécurité juridique .
En effet, selon l’adjoint au maire, « nous ne pouvons garantir que des informations échangées avec la plateforme seront protégées contre les éventuelles violations de sécurité, de droits ou de confidentialité » tout en admettant que « les moyens de contrôle n’existent pas encore » et il existe un risque de déséquilibre juridique dans le cadre des marchés publics si ChatGPT réalise en quelques heures un travail facturé pour plusieurs jours / semaines par le prestataire.
En pratique, cette décision permet de mettre en exergue la question de l’encadrement de l’utilisation de telles plateformes dans le cadre de l’exécution des marchés publics.
Sans interdire purement et simplement le recours à de telles plateformes, il peut être pertinent d’inclure une clause d’exécution dans certains marchés publics (ex. prestations intellectuelles) visant à interdire aux titulaires de saisir des données confidentielles et/ou personnelles pour générer tout ou partie des travaux préparatoires et/ou du livrable final.
En outre, avec la démocratisation de ces plateformes, il peut être tentant pour les opérateurs économiques de les utiliser également dans le cadre de la préparation de leurs réponses.
- Pour les opérateurs économiques
Un candidat à un marché public peut utiliser une plateforme d’IA pour préparer sa réponse. En effet, les données du DCE sont publiques et accessibles à tous via le profil acheteur ; elles peuvent donc être saisies dans une plateforme d’IA y compris en cas d’indication contraire dans le DCE.
En tout état de cause, dans le cadre d’une telle utilisation, les candidats devront être vigilants en cas de rédaction, à partir d’une plateforme IA, d’un mémoire technique contentant des données confidentielles de l’entreprise.
En effet, au regard des risques précités, certaines entreprises ont déjà restreint ou interdit l’utilisation à tout ou partie de leurs salariés (ex. Samsung, Apple, Amazon). Toutefois, à ce jour, la très grande majorité des entreprises n’ont pas encore pris conscience des impacts du recours à de telles plateformes dans le cadre professionnel.
En attendant un encadrement règlementaire au niveau de l’Union européenne4 et/ou une évolution des politiques de confidentialité de ces plateformes, les entreprises et les acheteurs publics doivent être vigilants sur l’utilisation de telles plateformes par leurs salariés avec deux options : soit interdire leur utilisation soit sensibiliser les salariés et encadrer leur utilisation à certaines tâches et le déclarer.
Conclusion
La révolution de l’IA ne fait que commencer avec des impacts qui ne sont pas encore déterminables sur la productivité des entreprises et les conséquences sur l’emploi. En tout état de cause, l’IA va créer une nouvelle répartition des tâches entre l’Homme et la Machine.
En effet, quand bien même certaines plateformes d’IA semblent ne pas respecter le RGPD, le ministre français délégué au Numérique a déclaré qu’il n’était pas favorable à un blocage et l’UE vise un encadrement de l’usage et la commercialisation des IA à travers l’Artificial Intelligence Act.
Dans le cadre des marchés publics, si l’impact de l’IA peut paraitre lointain, certaines startups5 commercialisent déjà des solutions basées sur l’IA pour aider les entreprises à identifier et mieux répondre aux marchés publics. Coté acheteurs publics, certaines solutions automatisent les tâches relatives au sourcing6 quand d’autres proposent une aide dans la rédaction des DCE7.
D’une manière générale, il convient d’avoir conscience qu’à ce jour, nous n’avons encore rien vu du potentiel de l’IA tout en gardant en tête que « si c’est gratuit, c’est que vous êtes le produit » lorsque vous utilisez de telles plateformes !
Baptiste Vassor, juriste, expert achat public et administrateur de l’APASP
[* Cet article a été écrit par un humain]
1. Open AI a annoncé en mars 2023 ne plus utiliser les données des utilisateurs pour entrainer ChatPGT lorsqu’ils payent un abonnement.
2. Open AI précise que ChatPGT est conforme aux « California Privacy Rights ».
3. Article L. 122-4 du Code de la propriété intellectuelle : « toute représentation ou toute reproduction intégrale ou partielle faite sans le consentement de l’auteur ou de ses ayants droit ou ayants cause est illicite. Il en est de même pour la traduction, l’adaptation ou la transformation, l’arrangement ou la reproduction par un art ou un procédé quelconque ».
4. Artificial Intelligence Act : voici ce que prépare l’Union européenne pour encadrer l’IA
5. Ex. : eXplain
6.Ex. : SILEX
7. Ex. : MA-IA
