Ce que chaque IA lit, où partent les données, avec la source.
Pour le DPO et le juridique : Ojja relève, fonction par fonction, les données que chaque IA touche, où l'éditeur les traite, s'il entraîne ses modèles dessus, et les cadres que le catalogue public y rattache. Les points à examiner avec votre conseil sont nommés ; l'appréciation reste la vôtre.
Les questions d'un DPO
- Quelles fonctions d'IA touchent des données de salariés, de candidats ou de clients ?
- Lesquelles envoient des données hors de l'Union européenne, et lesquelles entraînent leurs modèles dessus ?
- Quelle IA agit sans validation humaine ?
- Un éditeur a changé ses conditions : qu'est-ce qui a changé, et pour quels outils ?
- Un client, un candidat ou un contrôle nous interroge : sur quelles pièces répondre ?
Ojja ne répond pas à votre place. Il vous donne les faits pour répondre.
Ce que vous voyez dans Ojja Watch
- La vue DPO. Le cadastre trié par alerte, avec trois couches : les données et les accès, la souveraineté, les cadres rattachés.
- Les données et les accès. Pour chaque fonction, les catégories de données qu'elle touche (salariés, candidats, clients, documents, réunions) et le périmètre lu.
- La souveraineté. Le lieu de traitement, l'entraînement sur vos données (oui, non, ou non documenté par l'éditeur), la date à laquelle l'accord de traitement de l'éditeur a été lu, la date de ses dernières conditions modifiées. Une alerte quand un éditeur change ses conditions.
- Les cadres rattachés. Les cadres que le catalogue public rattache à chaque fonction (protection des données, règlement sur l'intelligence artificielle, cybersécurité, information et consultation des représentants du personnel), chacun avec le point à examiner avec votre conseil. Quand vous l'avez examiné, la ligne le dit, avec la date et la pièce.
- Trois faits sur la même ligne. Données de salariés ou de candidats, traitées hors de l'Union européenne, accord de traitement non lu : la ligne qu'aucun autre écran ne vous montre.
- Le droit dans votre fil. Quand un texte paraît, le nombre de fonctions de votre cadastre que le catalogue y rattache, et les points à examiner avec votre conseil.
- Quand l'éditeur ne dit rien. La fiche l'écrit : « Non documenté par l'éditeur », avec la date de la vérification.
- Vos conseils, invités. Votre avocat ou votre DPO externe lisent sur votre invitation, avec une date d'expiration.
Sur l'exemple Arvenne
Le troisième compte du relevé d'Arvenne relève deux IA : le générateur d'images, qui entraîne sur les contenus, et l'outil de transcription de réunions, qui traite hors de l'UE. La fiche des résumés de réunion, fiche d'exemple aux valeurs fictives, dit ce qu'elle lit : la transcription des réunions ; où partent les données : l'Union européenne ; si elle entraîne sur vos données : non ; si elle est activée par défaut : oui. Cadre rattaché : la protection des données.
Arvenne, entreprise fictive · données d'exemple
Ce que vous en sortez
- Le dossier pour un contrôle de la CNIL, volet IA, et son volet recrutement.
- Le questionnaire IA d'un client, chaque réponse avec sa source et sa date.
- La réponse à un candidat : l'état de vos outils RH au jour de sa candidature.
- Le Constat signé : il relève et date des faits, signés.
Ce qu'Ojja ne fait jamais
- Ojja ne dit pas si un usage est permis : il donne les faits, et les points à examiner avec votre conseil.
- Ojja ne conclut jamais : ni niveau de risque, ni rôle, ni appréciation sur le respect d'un texte.
- Ojja lit des registres et des configurations, jamais vos contenus.
- Ojja ne donne aucun chiffre par personne.
Ojja ne délivre pas de consultation juridique : il relève et documente ; l'application du droit à votre situation relève de votre conseil.