Télémaintenance par IA : consentement, durée, STOP et traçabilité

Confier une tâche à une IA sur un ordinateur, c’est une forme de télémaintenance : un intervenant agit à distance sur un poste qui contient vos données. Le guide de la sécurité des données personnelles de la CNIL (mise à jour 2026) donne des règles simples pour encadrer ces interventions. Voici comment les appliquer quand l’intervenant est une IA.

Ce que recommande la CNIL

• Fiche 15, maintenance : ouvrir l’accès de télémaintenance pour une durée adaptée à l’intervention et définie à l’avance, puis le refermer ; ne jamais laisser un accès complet ou permanent ; consigner les interventions dans une main courante ; écarter les outils qui ne chiffrent pas les communications.
• Fiche 6, postes de travail : un outil d’administration à distance recueille l’accord de l’utilisateur avant d’intervenir, et l’utilisateur peut voir quand la prise en main est en cours et quand elle se termine.
• Fiche 16, traçabilité : journaliser les interventions techniques et conserver ces traces sur une période glissante de six mois à un an.

Cas pratique : un cabinet de trois personnes

La gérante veut que son assistant IA range les factures fournisseurs du mois dans les bons dossiers du poste de l’accueil et prépare un tableau récapitulatif. Ce poste contient aussi des dossiers clients. Plutôt que d’ouvrir un accès « pour la semaine », elle prépare l’intervention comme elle le ferait pour un prestataire.

Avant : définir le périmètre et l’heure de fin

• Écrire la tâche en une phrase, avec le dossier concerné : « uniquement Factures/2026-11 ».
• Vérifier qu’une sauvegarde récente existe, ou faire travailler l’IA sur une copie du dossier.
• Fixer une fin : « l’intervention se termine à 11 h, ou dès que le tableau est prêt ».

Pendant : un accord donné sur le poste lui-même

Avec SteerLatch, la première demande de l’IA ouvre une fenêtre de consentement sur l’ordinateur concerné, pas seulement dans un navigateur : la personne devant le poste voit qu’une IA veut agir et choisit ce qu’elle autorise (fichiers, terminal, écran, souris et clavier). Décochez ce dont la tâche n’a pas besoin : pour ranger des fichiers, l’écran et le clavier sont inutiles. Votre espace SteerLatch affiche l’activité de l’IA en direct, action par action.

Après : refermer l’accès

C’est l’étape la plus souvent oubliée. Dans SteerLatch, le consentement reste valable sans limite de durée jusqu’à ce que vous le retiriez : la durée fixée à l’avance, c’est vous qui la faites respecter. À l’heure prévue, retirez l’autorisation de l’ordinateur (sur Mac, depuis l’icône SteerLatch de la barre des menus) ou révoquez l’IA ou l’ordinateur depuis votre espace. STOP, lui, sert à arrêter en urgence : il bloque les nouvelles actions et interrompt celles en cours, mais ne retire pas le consentement.

Tracer : une main courante simple

SteerLatch conserve un journal d’activité (type d’action, ordinateur, heure, résultat) pendant 90 jours, sans le contenu des fichiers ni le texte des commandes. Il aide à vérifier ce qui s’est passé, mais ce n’est pas une main courante complète, et sa durée est plus courte que les six mois à un an évoqués par la CNIL. Notez donc vous-même, pour chaque intervention : la date, la tâche demandée, l’IA utilisée, le poste, qui a donné l’accord, l’heure de fin et le résultat. Une ligne dans un tableur suffit.

Checklist

1. Tâche écrite, dossier précis, heure de fin fixée.
2. Sauvegarde récente ou copie de travail.
3. Accord donné sur le poste, en décochant ce qui n’est pas nécessaire.
4. Activité suivie en direct pendant l’intervention.
5. Autorisation retirée ou révoquée à l’heure prévue.
6. Ligne ajoutée à la main courante.
7. Résultat vérifié par une personne avant d’être utilisé.

Les limites à connaître

• STOP et la révocation empêchent la suite ; ils ne défont pas une action déjà accomplie, et une opération déjà engagée peut aller à son terme.
• Le terminal exécute des commandes avec les droits du compte de l’ordinateur : ce n’est pas un bac à sable.
• Ce que l’IA lit (extraits de fichiers, captures) part chez son fournisseur, selon ses propres règles. SteerLatch n’en garde aucune copie.
• Ces étapes sont de bonnes pratiques de sécurité ; elles ne valent ni certification ni conformité RGPD de votre traitement.

À lire aussi : STOP, consentement et révocation, sauvegarder avant de laisser une IA agir et l’aide SteerLatch.