Liste de contrôle sécurité et confidentialité pour un agent IA

Séparation et propriété des données

• Si vos données sont séparées de celles des autres clients du fournisseur, et comment.
• Si les données servent à entraîner des modèles, ceux du fournisseur ou ceux d’un tiers.
• Où les données sont stockées et où se trouvent les sauvegardes. Les deux, pas un seul.
• Qui, chez le fournisseur, peut accéder à votre contenu, et dans quelles circonstances.
• Ce qu’il advient du contenu et des données à la fin du contrat, et dans quel format d’export.

Données personnelles dans la conversation

C’est le point le plus sous-estimé. Le risque ne tient pas seulement à ce qui est conservé, mais à ce que l’on invite la personne à saisir au départ.

• Si le système met en garde contre la saisie d’une pièce d’identité ou de données de paiement.
• Si les identifiants, comme un numéro de téléphone WhatsApp, sont masqués, et où exactement le masquage a lieu.
• Combien de temps les conversations sont conservées, et qui peut les consulter.
• Si l’on peut retrouver une conversation précise lorsqu’une demande relative à la vie privée arrive.
• Si une politique de conservation écrite existe, et pas seulement une assurance verbale.

Contrôle

• Journal d’audit 
  qui a modifié le contenu ou les droits d’accès, et quand.
• Droits d’accès par rôle, y compris la séparation entre services.
• Si des réponses fixes peuvent être prédéfinies pour les sujets sensibles.
• Si le système peut être arrêté immédiatement, et qui est habilité à le faire.

Preuves à exiger

Le principe 
demander ce qui est vérifiable, et non une déclaration. Notez la différence entre un ISMS construit selon une norme et un certificat valide 
un fournisseur qui brouille cette distinction doit être invité à l’expliquer.

• Le dossier de politiques et de procédures, pour examen.
• Les résultats de tests de sécurité externes, avec un lien permettant de les relancer.
• Une déclaration explicite 
  ISMS conforme à la norme, ou certificat valide. Ne pas accepter de formulation vague.
• Une description de la surveillance, de la sauvegarde et de la continuité, et de ce qui a réellement été testé plutôt que simplement prévu.