Fuite de données par saisie dans un assistant

Samsung Electronics, mars 2023 : moins de trois semaines après avoir autorisé ChatGPT, la division semi-conducteurs relève trois fuites, du code source collé pour en corriger les erreurs et l'enregistrement d'une réunion interne. Le 1er mai, le groupe bloque les outils génératifs sur les postes de l'entreprise. Un salarié qui colle un extrait de code source, un contrat ou un dossier client dans un assistant conversationnel grand public transmet ces données à un tiers. Les conditions d'utilisation de ces services autorisent parfois leur conservation et leur usage pour améliorer le service. L'incident se définit par ce qui lui manque : ni intrusion, ni vulnérabilité exploitée, ni acte malveillant. Aucun dispositif de sécurité périmétrique ne le voit passer, puisqu'il s'agit d'un trafic sortant vers un service légitime. En droit, c'est pourtant une violation de données au sens de la réglementation sur les données personnelles dès lors que les informations en relèvent, avec l'obligation de notification qui va avec. Dans les autres cas, c'est une divulgation de secret d'affaires. Le phénomène plus large, des équipes qui emploient d'elles-mêmes des services non approuvés, résiste à l'interdiction : elle repousse l'usage vers les terminaux personnels, où il devient invisible. Ce qui marche, c'est de fournir une solution acceptable et de journaliser les flux sortants.