Le champ juridique caché : préoccupations en matière de conformité avec les lunettes intelligentes AI, Partie 4 : sécurité des données, notification des violations et risques liés au traitement par des tiers
Comme discuté dans des articles précédents, les lunettes intelligentes dotées d’IA évoluent rapidement d’accessoires de niche à des outils puissants ayant un large attrait en milieu de travail, mais leurs capacités innovantes soulèvent également des préoccupations juridiques et de confidentialité tout aussi significatives.
Dans cette Partie 4, nous examinons la quantité potentiellement vaste de données personnelles et d’autres informations confidentielles qui peuvent être collectées, visuellement et auditivement, grâce à l’utilisation quotidienne de cette technologie. Les risques en matière de cybersécurité et de sécurité des données constituent une autre exposition majeure et souvent sous-estimée de cette technologie.
Le risque
Les lunettes intelligentes AI collectent, analysent et transmettent d’énormes volumes de données sensibles, souvent en continu, et transmettent généralement ces données à des serveurs basés sur le cloud opérés par des tiers. Cela crée une tempête parfaite de risques en matière de cybersécurité, d’exposition réglementaire et d’obligations de notification des violations en vertu des lois dans tous les États, ainsi que du CCPA, du RGPD et de nombreuses réglementations sectorielles spécifiques, telles que la HIPAA pour l’industrie de la santé.
Contrairement aux caméras ou appareils d’enregistrement traditionnels, les lunettes AI sont conçues pour collecter et traiter des données en temps réel. Même lorsque les utilisateurs pensent ne pas être en train d’enregistrer, les dispositifs peuvent toujours capturer des informations visuelles, audio et contextuelles pour analyse, transcription, traduction ou reconnaissance d’objets. Ces données sont fréquemment transmises à des fournisseurs d’IA tiers avec des contrôles de sécurité, des pratiques de conservation et des restrictions d’utilisation secondaire peu claires.
Cas d’utilisation à risque
- Les travailleurs hospitaliers utilisant des lunettes AI qui accèdent, capturent, visualisent et enregistrent des patients, des dossiers, des blessures, des membres de la famille en format électronique, déclenchant ainsi la règle de sécurité HIPAA et les obligations des lois étatiques.
- Les employés des services financiers portant des lunettes AI qui capturent des données financières sur les clients, des numéros de compte ou des informations sur les investissements.
- Toute utilisation en milieu de travail impliquant des informations personnellement identifiables (PII), telles que des numéros de sécurité sociale, des données de carte de crédit ou des informations médicales, ainsi que des affaires confidentielles de l’entreprise et/ou de ses clients.
- Les avocats et professionnels du droit utilisant des lunettes AI lors de communications privilégiées, risquant potentiellement de renoncer au secret professionnel.
- Les employés connectant des lunettes AI à des réseaux Wi-Fi non sécurisés ou publics, créant des risques d’attaques de type homme du milieu.
- Des lunettes AI perdues ou volées qui stockent des données audio, vidéo ou contextuelles non chiffrées.
Pourquoi cela importe
Les violations de données impliquant des données biométriques, des informations de santé ou des données financières entraînent des conséquences juridiques et financières importantes. Concernant les lunettes AI, en pratique, une entité est généralement moins susceptible de faire face à une violation de données à grande échelle affectant des centaines de milliers ou des millions de personnes. Cependant, une violation et l’exposition d’images sensibles de patients, de discussions ou d’autres données capturées avec des lunettes AI pourraient être tout aussi, sinon plus, dommageables pour la réputation d’un système de santé que l’attaque d’un acteur criminel. Au-delà des dommages à la réputation, les coûts de réponse aux incidents, les litiges et les pénalités réglementaires restent également un facteur de risque significatif.
L’utilisation non autorisée d’outils d’intelligence artificielle par des employés au travail pose également des risques en matière de sécurité des données, de violations et de tiers. De nombreux dispositifs se synchronisent automatiquement avec des comptes cloud grand public avec des pratiques de sécurité que les employeurs ne contrôlent ni n’audite. Lorsque des employés utilisent des lunettes AI personnelles pour le travail, des questions fondamentales restent souvent sans réponse : Où sont les données stockées ? Sont-elles chiffrées ? Qui y a accès ? Combien de temps sont-elles conservées ? Sont-elles utilisées pour entraîner des modèles d’IA ?
Enfin, l’utilisation de lunettes AI peut diminuer l’efficacité d’un outil puissant de sécurité des données : la minimisation des données. Les entreprises devront se demander si la collecte et l’enregistrement de données constantes et ambiantes sont conformes aux principes de minimisation des données, un principe qui est intégré dans les lois sur la confidentialité des données.
Considérations pratiques en matière de conformité
- Mettre en œuvre des politiques claires : Soyez délibéré quant à l’autorisation ou non de ces appareils au travail. Et, si tel est le cas, établissez des politiques limitant quand et où ils peuvent être utilisés, ainsi que les fonctionnalités d’enregistrement pouvant être activées et dans quelles circonstances.
- Effectuer une évaluation : Réalisez des évaluations de sécurité et de confidentialité des modèles spécifiques de lunettes AI avant leur déploiement.
- Comprendre les risques des fournisseurs de services tiers : Passez en revue la documentation de sécurité, y compris les pratiques de chiffrement, les contrôles d’accès et les engagements de réponse aux incidents.
- Comprendre les obligations envers les clients : Passez en revue les contrats de services concernant la collecte, le traitement et les obligations de sécurité pour le traitement des informations personnelles et des affaires confidentielles des clients.
- Mettre à jour les plans de réponse aux incidents : Intégrez les compromissions des dispositifs portables.
- Pour les entités couvertes par la HIPAA et les associés commerciaux : Confirmez que les lunettes AI respectent les exigences de la HIPAA.
- Évaluer la couverture d’assurance cybernétique : Évaluez si votre police couvre les violations impliquant des technologies portables et des risques liés à l’IA.
Conclusion
Les lunettes intelligentes AI peuvent sembler futuristes et pratiques, mais d’un point de vue de la sécurité des données et de la conformité, elles élargissent considérablement la surface d’attaque d’une organisation. Sans contrôles rigoureux, ces dispositifs peuvent introduire discrètement des risques de violations, des partages de données tiers et une exposition réglementaire qui l’emportent sur leurs avantages perçus.
La clé est d’aborder le déploiement des lunettes AI (et d’autres technologies similaires) avec une pleine conscience — en comprenant à la fois les capacités de la technologie et les cadres juridiques complexes qui régissent leur utilisation. Grâce à des politiques réfléchies, des contrôles techniques robustes, un suivi continu de la conformité et un respect des droits à la vie privée, les organisations peuvent tirer parti des avantages des lunettes AI tout en gérant les risques.
