Un modèle moins coûteux peut rendre accessibles des automatisations jusque-là réservées à quelques dossiers. Pour une entreprise, une association ou une collectivité, le projet peut alors changer de dimension. Pour le DPO, le passage à grande échelle appelle une question supplémentaire : combien de documents, de personnes et d’actions seront concernés avant qu’une erreur soit détectée ?
Ce qu’OpenAI vient d’annoncer
OpenAI a présenté GPT-6.1 Terra le 26 octobre 2026. L’éditeur met en avant l’analyse visuelle et l’utilisation de l’ordinateur, notamment pour lire des factures et saisir leurs informations dans un logiciel comptable. Il annonce des tarifs API standard inférieurs de 50 % à ceux de GPT-5.6 Terra et GPT-6.1 Sol. Le modèle est disponible dans ChatGPT Work et Codex pour les offres Plus, Pro, Enterprise et Edu, ainsi que dans l’API. Cette comparaison tarifaire porte sur l’usage du modèle ; elle ne mesure pas le coût complet d’un projet, avec intégration et vérification. Annonce officielle.
La fiche de sécurité, datée du 26 octobre, précise que les évaluations ont été réalisées dans un environnement de recherche ou via l’API. Les résultats peuvent différer en production selon les consignes, les outils disponibles et les paramètres. Les performances publiées doivent donc être rapprochées du processus réellement envisagé. Fiche de sécurité.
Le volume change les conséquences d’une erreur
Prenons un exemple fictif : une organisation souhaite préparer les écritures correspondant à ses factures fournisseurs. Un document mal lu peut rattacher une information à la mauvaise personne ou provoquer un doublon. Si la même difficulté se reproduit sur un format fréquent, elle peut affecter tout un lot avant le premier contrôle.
Notre recommandation consiste à distinguer trois opérations : extraire les informations, préparer une modification et l’appliquer dans le logiciel métier. Un premier pilote peut s’arrêter à la préparation, avec comparaison aux pièces d’origine. L’organisation mesure ainsi les erreurs avant de leur donner des effets opérationnels.
La capacité de traiter davantage de documents doit rester liée au besoin défini. Les principes de finalité, de minimisation et d’exactitude continuent à s’appliquer aux données personnelles, même lorsque le traitement devient plus rapide et moins cher. Article 5 du RGPD.
Examiner la confidentialité de la chaîne complète
Le nom du modèle renseigne peu, à lui seul, sur le parcours des données. Il faut examiner l’offre utilisée, l’application qui l’intègre, les documents transmis, les destinataires des résultats et les durées de conservation.
Pour l’API, OpenAI indique que les données ne servent pas à entraîner ses modèles, sauf participation explicite au partage. Sa documentation prévoit cependant des journaux de prévention des abus pouvant contenir des consignes et des réponses, conservés par défaut jusqu’à 30 jours, avec des exceptions de prolongation. Certaines fonctionnalités conservent également des données nécessaires à leur fonctionnement. Les contrôles de conservation renforcés dépendent de conditions d’éligibilité et de configuration. Ces règles API doivent être distinguées de celles des comptes ChatGPT et des applications tierces. Documentation sur les données, consultée le 27 octobre.
Concrètement, le dossier de déploiement devrait identifier chaque copie utile : document source, extraction, fichier intermédiaire, journal et résultat final. Pour chacune, une destination, des accès et une durée sont à prévoir. Cette cartographie aide à éviter qu’une automatisation multiplie discrètement les lieux de stockage.
Concevoir un contrôle adapté aux lots
Nous proposons quatre mesures à organiser dans le processus ou l’application. Elles ne sont pas présentées ici comme des fonctions fournies d’office par Terra.
- Commencer avec un périmètre limité. Utiliser des documents fictifs pour préparer les essais, puis un pilote autorisé et maîtrisé. Inclure des cas difficiles : homonymes, pièces incomplètes, doublons et mises en page inhabituelles.
- Définir les motifs d’arrêt. Une incohérence d’identité, un destinataire inattendu ou une erreur répétée doit déclencher une suspension et une revue selon des critères fixés à l’avance.
- Conserver des preuves proportionnées. Relier chaque résultat à sa source et à la configuration utilisée, sans recopier systématiquement toutes les données dans les journaux.
- Prévoir la correction. Identifier les dossiers affectés, rétablir les informations exactes et vérifier les systèmes dans lesquels les résultats ont déjà été repris.
La vérification doit porter sur les conséquences possibles, pas seulement sur une moyenne de réponses correctes. Un résultat global satisfaisant peut masquer une difficulté récurrente pour une catégorie de documents. Les contrôles doivent aussi être rejoués lorsqu’un modèle, une consigne ou un connecteur change.
Donner aux personnes les moyens d’intervenir
Le responsable métier doit disposer du temps, des sources et du pouvoir nécessaires pour interrompre le traitement ou rejeter un résultat. Le volume confié à l’agent doit rester compatible avec cette capacité réelle de supervision.
Si le processus conduit à une décision exclusivement automatisée produisant un effet juridique ou affectant significativement une personne, les conditions spécifiques de l’article 22 doivent être examinées. Article 22 du RGPD.
Les lignes directrices européennes précisent qu’une intervention humaine doit être significative : appliquer systématiquement les propositions sans influence réelle sur le résultat laisse la décision dans le champ de l’automatisation. Lignes directrices sur le profilage et les décisions automatisées.
La CNIL recommande de partir d’usages définis, d’associer métiers, informatique et DPO, et de former les utilisateurs aux limites de l’IA générative. Recommandations du 18 juillet 2024.
L’arrivée de Terra peut faciliter de nouveaux projets. Leur réussite se mesurera aussi au nombre d’erreurs repérées avant propagation, au temps nécessaire pour les corriger et à la maîtrise des données traitées. Le bon rythme d’automatisation est celui que l’organisation sait contrôler.
