Traduction automatique par IA et contrats confidentiels

Un outil de traduction par IA en ligne reçoit le texte que l'utilisateur colle dans sa fenêtre. Un modèle de langage le traite, et le texte sort du poste du salarié dès l'envoi.

Le point à vérifier est le sort du texte après la traduction. L'OWASP demande aux éditeurs de maintenir des politiques claires sur la conservation, l'utilisation et la suppression des données, et de permettre aux utilisateurs de refuser que leurs données servent à l'entraînement¹. L'OWASP ajoute que des restrictions placées dans les consignes internes d'un modèle ne sont pas toujours respectées et peuvent être contournées par injection de prompt ou d'autres méthodes¹. Une promesse de l'éditeur ne remplace donc pas un contrat d'entreprise.

La CNIL rappelle que les droits d'accès, de rectification, d'opposition et d'effacement existent, mais qu'ils peuvent être difficiles à exercer à l'égard d'un modèle d'IA, qu'il s'agisse d'identifier les personnes dans le modèle ou de le modifier².

Avant de traduire, le salarié vérifie si l'entreprise fournit un outil validé. Si oui, il l'utilise, et lui seul, pour tout document professionnel.

Sans outil validé, un document confidentiel ne se colle pas dans un service gratuit. Le salarié demande l'avis du responsable de la sécurité ou du juriste, ou fait traduire le document par un prestataire lié à l'entreprise par un contrat.

Pour un passage non sensible, une préparation limite l'exposition. L'OWASP cite la tokenisation et le masquage (redaction) parmi les techniques qui servent à nettoyer les informations sensibles avant traitement¹. À la main, cela revient à remplacer les noms, les montants et les références par des repères neutres, par exemple « [Société A] » et « [Montant] », puis à les remettre dans la traduction. Cette méthode ne convient pas à un texte dont la structure même est confidentielle.

Après la traduction, le salarié relit le résultat. Le NIST décrit le risque de contenu erroné énoncé avec assurance³ : sur un contrat, un juriste ou une personne qui lit la langue d'origine vérifie les termes juridiques, les durées et les montants.

Si un texte confidentiel a déjà été collé dans un service non validé, le salarié le signale tout de suite, sans attendre de savoir si un dommage a eu lieu.

• Les versions gratuites : leurs conditions d'utilisation décident de ce que devient le texte. L'OWASP recommande que les applications offrent un moyen de refuser la réutilisation des données¹, mais rien ne garantit qu'un service gratuit le propose.
• Les extensions de navigateur : les sources citées ici ne détaillent pas leur fonctionnement. Le salarié ne peut donc pas supposer qu'elles traitent le texte avec plus de précautions qu'un site en ligne, et les valide comme un autre outil.
• La traduction fluide mais fausse : un texte bien écrit n'est pas un texte exact³.
• L'anonymisation incomplète : retirer un nom ne suffit pas si le contexte permet de reconnaître les parties. La CNIL note que certains modèles sont anonymes et d'autres non, ce qui montre que l'anonymat n'est pas acquis par défaut².
• La confiance dans les consignes affichées : une règle du type « ce service ne conserve rien » n'a de valeur que si elle figure dans un engagement écrit de l'éditeur envers l'entreprise.
• L'oubli de l'obligation de confidentialité : un contrat peut interdire de communiquer son contenu à un tiers. Les sources citées ici ne détaillent pas ces clauses, qui se lisent dans le contrat lui-même.

L'OWASP recommande de fournir des consignes pour éviter de saisir des informations sensibles et de proposer une formation aux bonnes pratiques d'interaction sûre avec les LLM¹. Pour un salarié, cela se traduit par une règle d'équipe claire : quel outil, pour quels documents, avec quelle relecture.