Les trois premiers épisodes ont porté sur ce qui se passe chez vous : l'inventaire des usages, les rôles et la politique, les risques propres aux modèles de langage. Vous savez maintenant ce qui tourne dans vos murs et qui en répond.
Le problème de cet épisode est que la plus grande partie de votre exposition à l'IA n'est pas dans vos murs. Elle est chez vos fournisseurs, et ils ne vous ont pas demandé votre avis.
Ce qui a changé sans vous
Ouvrez la liste de vos fournisseurs SaaS. Votre outil de tickets, votre CRM, votre suite bureautique, votre solution de paie, votre plateforme de recrutement, votre logiciel comptable. En dix-huit mois, chacun d'eux a ajouté un assistant, un résumé automatique, une génération de texte, un tri intelligent. Aucune de ces fonctions n'a fait l'objet d'un nouveau contrat. La plupart ont été activées par une mise à jour, parfois par défaut, avec une ligne dans les notes de version.
Concrètement, cela signifie que vos données, celles de vos clients et de vos employés, transitent désormais par un modèle de langage que vous n'avez pas choisi, hébergé par un fournisseur de modèle que vous ne connaissez pas, dans une région que vous n'avez pas validée. Votre fournisseur est devenu un intermédiaire vers un quatrième, et votre questionnaire de sécurité, rempli l'an dernier, n'en dit pas un mot.
Les trois risques que cela crée
1. Le chemin des données s'est allongé
Le premier risque est le plus banal. Votre fournisseur envoie le contenu de vos tickets, de vos courriels, de vos documents à un modèle tiers pour produire un résumé. Trois questions se posent, et le questionnaire classique n'en pose aucune : le fournisseur de modèle conserve-t-il ces données, et combien de temps ? Sert-il à entraîner ou à améliorer le modèle pour d'autres clients ? Où le traitement a-t-il lieu ?
La dernière question n'est pas théorique au Québec. La Loi 25 exige une évaluation des facteurs relatifs à la vie privée avant toute communication de renseignements personnels hors du Québec. Un assistant activé par défaut dans votre outil de support, qui envoie chaque ticket à un modèle hébergé aux États-Unis, est une communication hors du Québec que personne n'a évaluée.
2. Le fournisseur a une surface d'attaque nouvelle, et c'est la vôtre
L'épisode 3 décrivait l'injection indirecte : un modèle qui lit du contenu venu de l'extérieur et y trouve des instructions. Chez votre fournisseur, ce contenu extérieur, ce sont vos données, et celles de ses autres clients. Un courriel piégé envoyé à l'un de ses clients peut influencer ce que son assistant produit pour vous, si l'isolation entre clients n'a pas été pensée pour ce cas.
Et la chaîne technique derrière ces fonctions est fragile. Le récap de la semaine dernière citait l'étude de Wiz : sur 3 074 passerelles IA LiteLLM exposées sur Internet, 9,6 % acceptaient encore la clé d'exemple de la documentation, et deux semaines plus tôt la CISA inscrivait cette même passerelle au catalogue des failles exploitées. Une passerelle de ce type détient les clés de tous les fournisseurs de modèles d'une organisation. Si votre fournisseur en exploite une, sa configuration est votre exposition.
3. Une décision prise sur vous par un système que vous ne voyez pas
Le troisième risque est celui qui concerne le plus directement la direction. De plus en plus de fournisseurs utilisent l'IA non pour vous assister, mais pour décider : un outil de recrutement qui présélectionne des candidatures, une plateforme de crédit qui note un dossier, un service anti-fraude qui bloque une transaction, un prestataire RH qui signale des anomalies.
Quand cette décision touche une personne, la Loi 25 impose depuis 2023 de l'informer qu'elle a été prise exclusivement par un traitement automatisé, de lui donner l'occasion de présenter ses observations, et de pouvoir expliquer les principaux facteurs de la décision. Si la décision est prise par un système de votre fournisseur, c'est tout de même vous qui devez pouvoir l'expliquer. Rares sont les contrats qui prévoient que le fournisseur vous en donne les moyens.
Les dix questions à ajouter à votre questionnaire
Elles se posent à tout fournisseur qui traite des renseignements personnels ou des données confidentielles pour votre compte, et à tout fournisseur dont un système prend ou prépare des décisions vous concernant. Pas à votre fournisseur de papeterie.
Usage et données
- Quelles fonctions de votre service reposent sur un modèle d'IA, et lesquelles sont activées par défaut pour notre compte ?
- Nos données servent-elles à entraîner, ajuster ou améliorer un modèle, pour nous ou pour d'autres clients ? Pouvons-nous refuser sans perdre le service ?
- Quelles données sont envoyées au modèle, où sont-elles traitées, et combien de temps sont-elles conservées par le fournisseur du modèle ?
Chaîne d'approvisionnement
- Quels fournisseurs de modèles et quels sous-traitants IA interviennent, et figurent-ils dans votre liste de sous-traitants contractuelle ?
- Nous prévenez-vous quand le modèle sous-jacent est remplacé, réentraîné ou déplacé vers une autre région ?
Contrôles
- Comment les données de vos clients sont-elles isolées les unes des autres dans les fonctions d'IA ?
- Avez-vous testé vos fonctions d'IA contre l'injection de prompt, et journalisez-vous les entrées et sorties du modèle pour notre compte ?
- Vos passerelles et clés d'API vers les fournisseurs de modèles sont-elles inventoriées, protégées et renouvelées, et par qui ?
Gouvernance et décisions
- Qui, chez vous, répond de l'IA devant votre direction, et disposez-vous d'une politique d'usage et d'un registre des usages ?
- Si votre système prend ou prépare une décision concernant une personne, pouvez-vous nous fournir les principaux facteurs de cette décision, dans un délai qui nous permette de respecter nos obligations ?
Un fournisseur sérieux répond aux dix en une page. Un fournisseur qui ne peut pas répondre à la question 2 ou à la question 4 vous dit quelque chose d'important sur sa propre gouvernance.
Trois niveaux, pas une campagne générale
Ne renvoyez pas ces questions à tout votre registre. Classez d'abord.
Niveau 1. Le fournisseur traite des renseignements personnels ou des données confidentielles, ou son système prend des décisions sur des personnes. Les dix questions, avant le renouvellement, et une clause contractuelle.
Niveau 2. Le fournisseur utilise l'IA sur des données internes non sensibles. Les questions 1, 2, 4 et 9, par courriel, avec une réponse attendue sous trente jours.
Niveau 3. Tout le reste. Une ligne dans le registre : « utilise l'IA : inconnu », à revoir au prochain cycle.
Ce tri est le même que celui du module Risque tiers de la plateforme : le risque inhérent d'abord, la profondeur de l'évaluation ensuite. Et le questionnaire de sécurité fournisseur gratuit contient déjà les sections sur la localisation des données, la conservation et les sous-traitants sur lesquelles ces dix questions viennent se greffer.
Les clauses qui tiennent
Un questionnaire renseigne, un contrat oblige. Quatre clauses, à faire figurer dans les prochains renouvellements des fournisseurs de niveau 1.
- Pas d'entraînement sur nos données sans consentement écrit, et ce consentement n'est pas une condition d'accès au service.
- Liste des sous-traitants IA tenue à jour, avec un préavis avant tout ajout ou changement de fournisseur de modèle ou de région de traitement.
- Explicabilité des décisions : le fournisseur s'engage à fournir les facteurs principaux de toute décision automatisée concernant une personne, dans un délai compatible avec nos obligations légales.
- Notification d'incident sous 72 heures, incluant les incidents touchant le fournisseur de modèle ou la passerelle IA, pas seulement les systèmes du fournisseur lui-même.
Ce que vous devriez avoir vendredi
Votre registre de fournisseurs annoté d'un niveau 1, 2 ou 3 selon le critère ci-dessus. Les dix questions envoyées à vos trois fournisseurs de niveau 1 les plus exposés, avec une date de réponse. Et une note d'une page à votre responsable des achats ou du juridique, avec les quatre clauses, pour les prochains renouvellements.
Épisode 5, le 1er octobre, après le GoSec : l'IA offensive. Hypertrucages, fraude au président par voix clonée, hameçonnage rédigé sur mesure. Ce qui a réellement changé dans les attaques, et le contrôle unique qui résiste encore.
D'ici là, si vous passez au GoSec les 23 et 24 septembre à Montréal, venez avec la question sur un fournisseur à laquelle vous n'arrivez pas à répondre. On la travaillera ensemble au stand.