Conditions particulières et documents

1. Objet et durée

L’audit IA fantôme est une observation gratuite de l’usage des outils d’intelligence artificielle sur les postes de l’organisation cliente, suivie d’un rapport. Il est proposé une fois par organisation.

La période d’observation dure sept jours à compter de la première remontée d’un poste. Si aucun poste ne remonte de données dans les trente jours suivant le lancement, l’audit expire. À la fin de la période, la collecte s’arrête automatiquement : les postes installés restent en sommeil, le service leur répond sans rien enregistrer, et l’accès à Vigie IA est fermé tant qu’aucun abonnement n’est souscrit.

L’audit porte sur cinquante postes au plus. Il fonctionne en observation seule : aucun blocage, aucun message affiché aux utilisateurs.

2. Rôles

L’organisation cliente décide de mesurer l’usage de l’IA dans son entreprise : elle est responsable du traitement. Mon Registre met l’outil à disposition et traite les données pour son compte et sur ses instructions : il est sous-traitant au sens de l’article 28 du RGPD. La section 6 tient lieu de contrat de sous-traitance pour l’audit.

Lorsque l’audit est proposé par un prestataire partenaire, celui-ci accède au rapport de son client dans les conditions de son contrat de partenariat.

3. Données traitées

Collectées : nom de domaine des sites d’IA ouverts et, par jour, nombre de visites, d’envois et de collages ; type des informations repérées sur le poste dans ce qui est envoyé (par exemple « adresse de courriel », « IBAN », « santé »), compté sans le texte ; applications d’IA installées sur les postes Windows et compteurs d’usage ; identifiant technique du poste et, pour l’agent, son nom de machine ; versions de l’agent et du moteur.

Jamais collectées : le texte des requêtes, des réponses et des fichiers, qui ne quitte pas le poste ; l’historique de navigation hors des sites d’IA du référentiel ; le nom des utilisateurs, sauf activation expresse de l’identification nominative par le client, désactivée par défaut.

Rapport : agrégé par outil et par nombre de postes, sans nom de poste ni d’utilisateur.

4. Finalité et interdictions

Finalité unique : cartographier l’usage des outils d’IA dans l’organisation pour sa conformité au RGPD et au règlement (UE) 2024/1689 sur l’intelligence artificielle.

Le client s’interdit tout usage des résultats à des fins disciplinaires, d’évaluation individuelle ou de contrôle de l’activité d’un salarié.

5. Engagements préalables du client

Avant l’installation, le client confirme dans l’application, et cette confirmation est horodatée :

• avoir informé les salariés concernés (article L. 1222-4 du Code du travail ; articles 13 et 14 du RGPD). Un modèle de note figure ci-dessous ;
• avoir consulté le comité social et économique lorsqu’il existe (article L. 2312-38 du Code du travail), ou n’en avoir pas ;
• s’en tenir à la finalité de la section 4 ;
• accepter les présentes conditions.

Le client inscrit cette mesure à son registre des traitements ; une mention prête à l’emploi figure ci-dessous.

6. Sous-traitance (article 28 du RGPD)

• Instructions : Mon Registre ne traite les données que pour réaliser l’audit et produire le rapport, et ne les utilise pour aucune autre fin, y compris l’entraînement d’un modèle.
• Confidentialité : seules les personnes habilitées de Mon Registre y accèdent, pour le support.
• Sécurité : chiffrement des échanges, jetons d’accès propres à chaque organisation, journalisation, hébergement en France.
• Sous-traitants ultérieurs : ceux de la politique de confidentialité, pour l’hébergement de l’application et de la base de données.
• Droits des personnes : Mon Registre aide le client à y répondre ; toute demande reçue directement lui est transmise.
• Violation de données : notification au client dans les meilleurs délais, et au plus tard 48 heures après sa découverte.
• Fin du traitement : suppression des données d’observation trente jours après la fin de l’audit si aucun abonnement n’est souscrit, ou immédiatement à la demande du client depuis son espace. En cas de souscription, les données relèvent du contrat d’abonnement.
• Audit : Mon Registre met à disposition les informations nécessaires pour démontrer le respect de ces obligations.

7. Installation, désinstallation, conversion

L’installeur relie un poste à l’organisation au moyen d’un code valable trente jours. Le poste reçoit un jeton propre à l’organisation, qui ne change pas en cas de souscription : les postes installés reprennent alors au prochain contact, sans réinstallation.

Désinstallation : par les Applications Windows (« Vigie IA »), par retrait de la stratégie de déploiement, ou par retrait de l’extension dans le navigateur. Après la fin de l’audit, un poste non désinstallé reste en sommeil : le service ne conserve rien de ce qu’il transmet.

L’audit est gratuit et n’engage à aucune souscription. Lorsque l’audit a été proposé par un prestataire partenaire, la souscription se fait auprès de lui, à ses conditions tarifaires.

Modèle : note d’information aux salariés

Modèle : mention au registre des traitements

Modèle : mise en balance de l’intérêt légitime

• Intérêt poursuivi : savoir quelles données de l’entreprise peuvent sortir vers des outils d’IA tiers, tenir le registre exigé par le RGPD et le règlement IA.
• Nécessité : l’usage des outils d’IA n’est pas visible autrement ; le réseau ne le distingue pas d’une navigation ordinaire.
• Minimisation : aucun contenu, aucun historique hors IA, résultats agrégés, sept jours seulement.
• Attentes raisonnables : salariés informés avant l’installation, CSE consulté s’il existe.
• Garanties : interdiction d’usage disciplinaire, suppression automatique, droit d’opposition.
• Conclusion à compléter par l’entreprise : l’intérêt légitime l’emporte / ne l’emporte pas, parce que…

Analyse d’impact : la mesure concerne des salariés, ce qui figure parmi les critères de la CNIL. Sa minimisation (aucun contenu, durée courte, agrégation) plaide contre une analyse obligatoire ; l’entreprise consigne sa décision dans son registre.