Sécurité et secret professionnel dès la conception

Pour produire ses réponses, Amara utilise des modèles d’OpenAI et d’Anthropic au moyen de leurs services professionnels : ils ne reçoivent que les informations nécessaires à chaque tâche et ne les utilisent pas pour entraîner leurs modèles.

• Un compte personnel par avocat : par e-mail et mot de passe ou avec un compte Google, sans comptes partagés.
• Des permissions par cabinet, par équipe et par utilisateur, appliquées au niveau du serveur et pas seulement à l’écran.
• Des cabinets isolés les uns des autres. Au sein d’un réseau, chaque cabinet ne partage que ce qu’il décide.
• Le chiffrement en transit (HTTPS obligatoire) et le chiffrement de la base de données.
• Un contrôle de sécurité automatique avant la mise en ligne de chaque nouvelle version de l’application.
• Une infrastructure protégée par le réseau Cloudflare contre les attaques par déni de service.
• L’anonymisation des documents avant leur ajout à la bibliothèque.

Au Maroc, le traitement des données à caractère personnel est régi par la loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, sous le contrôle de la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP). Le transfert de données vers l’étranger est soumis aux dispositions de cette loi ; nous fournissons aux cabinets les informations dont ils ont besoin pour leurs démarches en la matière.

Le secret professionnel de l’avocat est notre point de départ : Amara prépare et propose, l’avocat relit et décide, et aucune donnée du cabinet n’est utilisée pour entraîner les modèles. Le cabinet est responsable du traitement et Amara agit en tant que sous-traitant. La certification ISO/IEC 27001 est en cours et nous ne la présentons pas comme obtenue.

Oui. La base de données et les fichiers du cabinet sont hébergés dans l’Union européenne, chez Amazon Web Services à Paris, et le traitement fait intervenir les autres lieux indiqués plus haut. Ce transfert vers l’étranger relève de la loi 09-08 : le cabinet, responsable du traitement, accomplit ses démarches, et nous lui fournissons les informations nécessaires.

Concrètement, ces informations comprennent la liste des lieux d’hébergement et des prestataires figurant dans le tableau ci-dessus, ainsi que l’accord de sous-traitance des données qui encadre la relation entre le cabinet et Amara. Les démarches applicables à chaque cabinet sont décrites par la CNDP sur son site officiel (cndp.ma).

Non. Les informations du cabinet ne sont jamais utilisées pour entraîner les modèles. C’est une clause explicite de l’accord de sous-traitance des données, et l’option est également désactivée dans les réglages des fournisseurs. Les modèles d’OpenAI et d’Anthropic ne reçoivent que les informations nécessaires à chaque tâche, au moyen de leurs services professionnels.

Pour la bibliothèque de connaissances, vous choisissez comment traiter les données personnelles avant d’ajouter ou de partager un document :

• La pseudonymisation (codage) : les noms et les données identifiantes sont remplacés par des codes, et seule la personne qui détient la clé peut réidentifier les personnes. Les données restent des données personnelles soumises à la loi.
• L’anonymisation : les données identifiantes sont supprimées de façon définitive, et personne ne peut plus réidentifier les personnes.

Avant d’utiliser un outil d’IA avec les dossiers de vos clients, que ce soit Amara ou un autre, vérifiez au minimum les points suivants :

1. La conformité à la loi 09-08 : consultez le site de la CNDP pour connaître les démarches qui s’appliquent à votre cabinet, notamment pour le transfert de données à l’étranger.
2. Le contrat : demandez l’accord de sous-traitance des données et conservez-le avec vos documents de conformité.
3. Le lieu d’hébergement : sachez où sont stockées les données et quels prestataires interviennent.
4. L’entraînement : vérifiez par écrit que les données du cabinet ne servent pas à entraîner les modèles.
5. Les comptes : un compte personnel pour chaque avocat et chaque collaborateur, sans comptes partagés.
6. Les permissions : définissez qui consulte chaque dossier, par équipe et par utilisateur.
7. La bibliothèque : pseudonymisez ou anonymisez les documents avant de les ajouter ou de les partager au sein d’un réseau.
8. La relecture : relisez chaque résultat et ouvrez chaque source citée avant de l’utiliser ; la décision et la signature vous appartiennent.

Si vous découvrez une vulnérabilité, écrivez à seguridad@amaralegal.ai en indiquant sa description, les étapes pour la reproduire et l’adresse concernée ; nous vous répondrons par écrit.