Le mot le plus dangereux en matière de confidentialité avec l’IA

Le mot le plus dangereux en matière de confidentialité avec l’IA n’est pas « training » (entraînement). C’est « eventually » (éventuellement).

Éventuellement supprimé. Éventuellement retiré des sauvegardes. Éventuellement purgé des journaux. Éventuellement inaccessible. Éventuellement anonymisé. Éventuellement traité. Éventuellement revu. « Eventually » est un hamac pour des promesses inconfortables.

Le problème avec « eventually », c’est que ça sonne responsable tout en refusant d’être responsable. Cela permet à un produit d’impliquer une suppression sans donner de fenêtre de temps à l’utilisateur. Cela permet aux opérations d’éviter de s’engager sur un processus. Cela permet au support de répondre à des questions difficiles avec le brouillard le plus doux possible.

Les workflows d’images avec l’IA ont besoin d’un langage plus précis, car le contenu peut être sensible. Un prompt peut contenir une intention privée. Un téléversement peut contenir un visage. Une sortie peut révéler une campagne, un client, un membre de la famille ou une expérience personnelle. Les utilisateurs doivent savoir si « temporaire » signifie des secondes, des heures, des jours, ou l’ère géologique qui suit la mort thermique de l’approvisionnement.

La solution n’est pas toujours une suppression instantanée. Une suppression instantanée peut être impraticable pour certains systèmes. Les jobs échouent. Les files d’attente réessaient. Les systèmes de lutte contre les abus ont besoin de fenêtres courtes. Les sauvegardes ont des cycles. Les journaux de sécurité ont des exigences de conservation. Une confidentialité honnête ne fait pas semblant que ces contraintes disparaissent.

Mais une confidentialité honnête met des chiffres dessus. Les téléversements temporaires sont supprimés après une fenêtre précise. Les URL signées expirent après une durée précise. Les corps de prompts ne sont pas stockés, ou ils sont stockés pour un objectif et une durée précis. Les sauvegardes conservent des copies chiffrées pendant une période indiquée. Les exceptions sont nommées.

Cela aide aussi l’ingénierie. Une fenêtre de conservation concrète devient une exigence testable. « Supprimer les sorties générées après 24 heures, sauf si l’utilisateur les enregistre » peut être implémenté, surveillé et audité. « Delete eventually » (supprimer éventuellement) est un haussement d’épaules avec une feuille de route.

Les équipes produit évitent parfois les détails parce qu’elles craignent d’avoir tort. C’est compréhensible. Des promesses spécifiques créent des obligations. C’est précisément le but. Une promesse de confidentialité sans obligation n’est pas une promesse. C’est une ambiance.

Si votre produit d’images avec l’IA utilise le mot « eventually », remplacez-le par un nombre ou par un refus. Dites aux utilisateurs quand les données sont supprimées, ou admettez que vous ne pouvez pas encore promettre une suppression. La deuxième option est douloureuse. La première est préférable. Le brouillard est pire que les deux.

Pour aller plus loin : Pourquoi un téléversement temporaire nécessite une politique de conservation, La promesse de confidentialité que les utilisateurs comprennent réellement, et Génération d’images avec l’IA sans conservation.