Envoyer les données personnelles de vos utilisateurs à un modèle à l'étranger est un transfert au sens de la loi 18-07. Voyez ce que la loi demande, ce qui compte comme donnée personnelle, et comment la masquer avant qu'une requête parte.
Votre application prend le message d'un utilisateur et l'envoie à un modèle. Le modèle répond, l'utilisateur est content. Et le message vient de quitter le pays.
Si ce message contient des données personnelles, la loi 18-07 a son mot à dire. Cet article vous montre lequel, et comment construire en en tenant compte.
La loi 18-07 du 10 juin 2018 protège les personnes quand leurs données personnelles sont traitées. Les collecter, les stocker et les envoyer, tout cela compte comme un traitement.
Une donnée personnelle est toute information qui identifie une personne, directement ou non : un nom, un numéro de téléphone, un détail médical. Son rôle dans la loi est de marquer ce qui est protégé.
Envoyer ces données vers un serveur dans un autre pays est un transfert à l'étranger. La loi ne le permet que sous conditions, parmi lesquelles l'autorisation de l'autorité nationale de protection des données à caractère personnel, l'ANPDP.
La loi ne regarde pas la taille de votre entreprise. Un freelance avec une application et une agence avec cinquante clients répondent aux mêmes règles.
La plupart des applications ne veulent pas envoyer de données personnelles. Elles arrivent dans ce que tapent les utilisateurs.
Mon application envoie seulement la question de l'utilisateur. Est-ce vraiment une donnée personnelle ?
Souvent, oui. Une question contient un nom, un numéro, une adresse ou un symptôme plus souvent que vous ne le pensez. Le modèle reçoit le message entier, il reçoit donc tout cela aussi.
[Message de l'utilisateur] ──> [Votre application] ──> [OpenDunes, en Algérie] ──(données personnelles masquées)──> [Le fournisseur du modèle]N'envoyez jamais un numéro d'identité nationale, un numéro de téléphone ou un détail de santé à un modèle, sauf si la réponse en a vraiment besoin.
OpenDunes reçoit votre requête en Algérie, avant qu'aucun modèle ne la voie. Dans vos réglages de confidentialité, vous choisissez ce qui se passe quand un message contient des données personnelles.
Vous avez trois modes : Warn enregistre la détection et envoie quand même, Redact remplace les données personnelles avant l'envoi, Block refuse la requête.
Voyons tout de suite ce que change Redact.
Votre utilisateur écrit son nom, son numéro de téléphone, puis « mon colis n'est pas arrivé ». Avec Redact activé, le modèle reçoit la phrase avec le nom et le numéro remplacés, et il peut toujours répondre sur le colis.
Les mêmes réglages vous laissent refuser les fournisseurs qui entraînent leurs modèles sur vos requêtes, et limiter l'acheminement aux fournisseurs qui ne gardent pas les données des requêtes.
Envoyer les messages bruts des utilisateurs à un modèle à l'étranger en espérant qu'ils ne contiennent rien de personnel.
Activez Redact dans vos réglages de confidentialité, désactivez l'entraînement sur vos données, et ne gardez que les champs dont la réponse a besoin.
Votre code ne change pour rien de tout cela. Vous le dirigez une fois vers OpenDunes :
from openai import OpenAI
client = OpenAI(
base_url="https://opendunes.com/v1",
api_key="your-opendunes-key",
)Certaines professions portent un devoir plus strict que la loi elle-même, comme l'explique les professions au devoir plus strict encore.
Contexte : votre application a un formulaire de contact à cinq champs : nom, téléphone, ville, numéro de commande et message.
Consigne : marquez les champs qui sont des données personnelles, puis choisissez Warn, Redact ou Block pour les messages que votre application envoie à un modèle.
Le nom et le téléphone sont des données personnelles. La ville et le numéro de commande peuvent identifier une personne une fois combinés au reste : traitez-les avec soin. Redact convient au message libre : il garde la question et retire les données personnelles. Block convient à une application qui ne doit jamais envoyer de données personnelles.
Oui. La loi ne dépend pas de la taille de l'entreprise : quiconque traite les données personnelles de personnes en Algérie y répond.
Le modèle doit lire le texte pour répondre, il le reçoit donc en clair. Le masquage retire les données personnelles du texte lui-même, ce que le chiffrement ne fait pas.
Non. Il explique comment la loi rencontre une application d'IA. Pour une décision sur vos propres données, consultez un avocat qui pratique le droit algérien de la protection des données.
Vous savez maintenant où se cachent les données personnelles et comment les masquer. Dans l'article suivant, on regarde les médecins et les avocats, dont le devoir de secret va plus loin. À tout de suite !