Une connexion à une messagerie peut sembler anodine. Pour un DPO, elle soulève pourtant une question concrète : quand l’usage s’arrête, qu’est-ce qui s’arrête réellement ?
OpenAI documente deux connexions distinctes, iCloud Mail et iCloud Calendar. Leur déploiement est annoncé mondialement pour tous les plans ChatGPT, sur le web, les applications de bureau et iOS, sous réserve des contrôles de l’espace de travail. Cela ne signifie pas que chaque utilisateur y a déjà accès. Les deux connexions comprennent une recherche de contacts en lecture seule ; les applications autonomes Contacts et Rappels ne font pas partie de ce lancement. Documentation OpenAI.
Deux connexions, deux décisions
Mail et Calendar doivent être connectés séparément. Autoriser l’un n’autorise pas l’autre. La connexion utilise un mot de passe Apple spécifique à une application, pas le mot de passe principal du compte. Ce secret ne doit jamais être collé dans une conversation. Guide OpenAI.
Notre recommandation : partir du besoin. Si l’usage concerne seulement l’agenda, pourquoi donner aussi accès à la messagerie ? Avant toute connexion, identifier le compte, les catégories de données accessibles et les personnes concernées. Une adresse personnelle utilisée pour travailler mérite une vigilance particulière.
Un rendez-vous ou un objet de message peut révéler une candidature, un litige ou un sujet de santé. L’analyse ne peut donc pas se limiter aux pièces jointes.
Lire n’est pas agir
Les permissions déterminent quand ChatGPT demande un accord avant une lecture ou une action. Elles ne créent pas de droits supplémentaires chez le fournisseur et ne remplacent pas les restrictions de l’organisation. Gestion des permissions OpenAI.
Pour un premier essai, privilégier un périmètre réduit et des données non sensibles. Confronter les synthèses aux informations d’origine. Lorsqu’une action externe est proposée et effectivement prise en charge, vérifier le compte, le destinataire et le contenu avant validation. La documentation examinée ne permet pas d’attribuer à ces connexions toutes les fonctions d’une messagerie ou d’un agenda classique.
Trois opérations différentes pour arrêter l’usage
Déconnecter dans ChatGPT arrête les accès futurs par cette connexion. Cela ne supprime pas automatiquement les conversations, les fichiers ou les informations mémorisées. Pour iCloud, cela ne révoque pas non plus le mot de passe spécifique chez Apple. Guide OpenAI.
Révoquer chez Apple neutralise ce mot de passe. Apple permet une révocation individuelle ; changer ou réinitialiser le mot de passe principal révoque tous les mots de passe spécifiques. Leur utilisation exige une authentification à deux facteurs. Documentation Apple.
Traiter les copies conservées reste une étape distincte. Archiver un chat ne l’efface pas. Supprimer un chat ne supprime pas nécessairement un fichier conservé séparément dans l’espace de fichiers. Les règles de suppression comportent aussi des délais et des exceptions. Conservation des chats et fichiers.
Une procédure utile aux organisations
Intégrer ces connexions aux procédures d’arrivée, de changement de fonction et de départ des collaborateurs. Conserver une trace du compte connecté, de l’usage autorisé, des données concernées, du responsable, des permissions et de la procédure de retrait.
Examiner également le cadre contractuel, la conservation et l’utilisation des données. Pour les comptes grand public, OpenAI indique que les données issues des applications peuvent servir à améliorer les modèles lorsque le réglage correspondant est activé. Ce n’est pas le régime par défaut annoncé pour Business, Enterprise et Edu. Documentation OpenAI.
La CNIL recommande d’encadrer les usages et les catégories de données fournies aux systèmes d’IA générative. Une connexion réussie ne dispense pas de cette analyse. Questions-réponses CNIL, 18 juillet 2024.
Avant d’autoriser une connexion, trois questions : que peut-elle consulter, qui contrôle son usage et comment retirer les accès sans oublier les données déjà conservées ?
