L’outil de suivi des employés de Meta vient de se heurter au problème que les salariés redoutaient.
L’entreprise suspend MCI, un programme interne qui enregistre l’activité informatique des employés pour entraîner des systèmes d’IA, après qu’un problème de sécurité a exposé une partie des données collectées, ont rapporté Reuters et WIRED. L’incident soulève une question plus vaste pour les entreprises qui se précipitent pour entraîner des systèmes d’IA destinés au monde du travail : quelle quantité d’activité des employés peuvent-elles collecter avant que la surveillance elle-même ne devienne un risque de sécurité ?
Cette suspension intervient après des mois d’inquiétudes en interne concernant la surveillance des frappes au clavier et de l’écran, qui peut capturer des informations sensibles simplement parce qu’elles transitent par un appareil de l’entreprise.
Les enregistrements comprenaient des prompts, des transcriptions et des évaluations
Des documents internes examinés par Reuters énuméraient plusieurs catégories de données concernées, notamment « l’intégralité des prompts et transcriptions, les conversations privées, les données relatives aux personnes et aux performances, ainsi que les évaluations de sensibilité DSS (1-4). »
Cette liste laisse entendre que les enregistrements allaient bien au-delà des simples journaux d’activité, même si les documents ne détaillaient pas chaque catégorie.
La porte-parole de l’entreprise Tracy Clayton a déclaré que Meta n’avait « aucune indication à ce stade » que des employés aient accédé aux données de manière inappropriée, ajoutant que le programme était suspendu pendant la poursuite de l’enquête.
Aucun calendrier n’a été communiqué quant au retour éventuel de MCI.
La première correction de Meta n’a pas tenu
Chez Meta, le problème est rapidement passé d’une alerte de sécurité interne à une levée de boucliers parmi les employés. Un ingénieur de Meta a déclaré que des bases de données contenant des informations recueillies par MCI étaient accessibles à toute personne au sein de l’entreprise, a rapporté WIRED.
Des commentaires critiques ont rapidement afflué sur les forums internes. Un ancien employé ayant participé à une précédente contestation de MCI a qualifié cette défaillance de « fiasco », affirmant que les salariés avaient averti la direction des risques pesant sur les données des employés et des clients.
Stephane Kasriel, vice president chez Meta chargé de superviser la recherche en IA, a ensuite déclaré que le problème avait été découvert le 18 juin et résolu en quatre heures. La première correction n’a pas tenu et l’accès aux données a dû être davantage verrouillé.
« Nous ne réactiverons MCI que lorsque nous serons convaincus de l’efficacité de nos contrôles de protection des données », a déclaré Kasriel.
Une surveillance étendue a créé une cible plus vaste
Le risque posé par MCI tenait d’abord à son périmètre. Des articles publiés précédemment ont établi que l’outil pouvait extraire des données de plus de 200 applications et sites web, et capter les e-mails ou messages directs envoyés à des employés basés aux États-Unis, y compris des messages de collègues situés hors des États-Unis.
Le programme s’inscrit également dans un bouleversement plus vaste de l’IA chez Meta, où le CEO Mark Zuckerberg tente de repenser l’entreprise autour d’agents capables de prendre en charge davantage de tâches professionnelles.
Les employés avaient déjà fait part de leurs inquiétudes quant à ce que pourrait engloutir une collecte à grande échelle sur les appareils professionnels. « J’ai consulté des informations fiscales et médicales via mon ordinateur professionnel, comme plusieurs milliers d’employés », a écrit l’un d’eux dans un commentaire interne cité par Reuters.
Même si rien ne confirme que ces informations figuraient dans les données exposées, cet avertissement a montré à quelle vitesse une activité professionnelle ordinaire peut entrer en contact avec des informations personnelles.
Les défenseurs de la vie privée avaient également averti que la capture des communications d’employés européens, même indirectement, pouvait soulever des problèmes au regard du RGPD. Dès lors que le comportement au travail est collecté pour entraîner une IA, chaque application, chaque message et chaque écran devient une composante du risque de sécurité.
La feuille de route de DeepMind intitulée AI Control Roadmap fournit aux entreprises un cadre plus clair pour évaluer la sécurité des agents avant leur déploiement.