Les entreprises se tournent de plus en plus vers les outils d’intelligence artificielle (« IA ») pour tous les aspects de leurs activités, mais quelles sont les implications de cette transition en cas de partage d’information confidentielle avec d’autres organisations? Par exemple, les partenaires d’une coentreprise peuvent être liés par des clauses exigeant la confidentialité des détails de leur projet, mais quelles considérations supplémentaires se posent lorsque l’un d’entre eux ou les deux utilisent des outils d’IA dans le cadre de ce projet? Bien que l’IA offre des avantages indéniables, elle comporte des risques accrus lorsque l’on combine des renseignements commerciaux sensibles à de nouvelles technologies, inconnues ou en développement. Les parties qui envisagent de partager de tels renseignements dans le cadre d’un accord de non-divulgation auraient tout intérêt à prévoir des clauses portant sur le possible recours à l’IA.
Le présent article aborde une sélection de questions liées à l’IA dont les entreprises devraient tenir compte lorsqu’elles négocient des dispositions relatives à la confidentialité dans un accord de non-divulgation ou tout autre accord portant sur la confidentialité.
Le recours aux outils d’IA
D’abord, les parties devraient considérer dans quelle mesure le recours à l’IA sera autorisé dans le cadre du contrat. Les différents outils d’IA traitent différemment l’information que l’on y entre et peuvent ou non l’utiliser pour entraîner leurs modèles. Toutefois, certains de ces outils permettent aux utilisateurs de refuser une telle utilisation et certaines versions pour entreprises offrent une sécurité accrue.
À la lumière de ce qui précède, d’un côté, certaines parties peuvent vouloir interdire tout recours aux outils d’IA lorsque cela implique la divulgation d’information confidentielle. Cette solution peut s’avérer intéressante lorsque l’on souhaite des dispositions relatives à la confidentialité claires et sans ambiguïté ou lorsque l’information est si sensible ou précieuse que les risques liés à leur divulgation l’emportent sur les avantages d’utiliser l’IA. Autrement, les parties peuvent également envisager d’interdire l’utilisation d’outils d’IA, à moins d’ententes au cas par cas. Les parties pourraient alors préciser que la partie divulgatrice peut, à son entière discrétion, refuser de donner son consentement.
Les parties pourraient également exiger une vérification préalable de tout outil d’IA proposé dans le cadre du processus de consentement et inclure les modalités précisant les outils, versions et paramètres autorisés.
Si les parties conviennent d’utiliser des outils d’IA avec leur information confidentielle, la mise en place de normes de protection et de sécurité des données devrait être étudiée avec soin. À titre d’exemple, les parties devraient envisager d’inclure les exigences et mesures suivantes pour le traitement de l’information confidentielle :
- exiger que les données soient cryptées et isolées des utilisateurs tiers;
- veiller à ce que les données soient soumises à des mesures appropriées en matière de protection des renseignements personnels;
- veiller à ce que les données ne soient pas utilisées pour entraîner des modèles d’IA;
- veiller à ce que toutes les entrées et sorties d’un outil d’IA, y compris tout produit intermédiaire, soient traitées comme de l’information confidentielle;
- veiller à ce que des protocoles de conservation et de destruction appropriés soient mis en place;
- limiter l’accès à l’information confidentielle au personnel désigné; et
- exiger que la partie divulgatrice soit avisée de toute divulgation involontaire ou brèche.
Outre les dispositions qui traitent des points énoncés ci-dessus, les parties peuvent envisager d’autres mesures pour protéger leurs renseignements confidentiels, comme permettre à la partie divulgatrice de contrôler la manière dont les outils d’IA sont utilisés relativement à ses propres renseignements confidentiels. Les parties peuvent également prévoir des obligations d’indemnisation en cas de divulgation non-autorisée découlant du recours à l’IA par la partie destinataire.
Ultimement, il n’existe pas de règle par défaut en matière de traitement de l’information confidentielle dans un contexte d’affaires intégrant l’IA. Lorsque de l’information confidentielle est en jeu, il est donc essentiel que les parties s’assurent de bien comprendre le recours aux outils d’IA, d’en tenir compte dans le cadre des négociations, puis de le transposer dans le libellé de l’accord qui en découle.