« Donner une grande importance à l’interaction de l’IA avec les outils existants »

Romain Catala, membre de la commission Managers juridiques de l’AFJE, est le directeur juridique et conformité et DPO de DataDome. L’IA est au coeur des produits de l’entreprise et irrigue donc les réflexions et actions de sa direction juridique vis-à-vis des clients internes et externes et dans sa propre évolution. L’interaction est son maître mot : avec les autres fonctions et entre les outils.

Interview par Florence Leandri

Comment définiriez-vous l’approche de DataDome à l’égard de l’IA ?

Romain Catala (RC) : L’IA est à l’origine de DataDome, créée en 2015. Notre entreprise est spécialisée dans la prévention et l’arrêt de la fraude en ligne, l’idée étant de contrer l’IA par l’IA ; depuis la fin du XXe siècle les cybercriminels savent utiliser l’IA et la typologie des attaques a évolué avec elle. L’IA permet désormais de multiplier les attaques de type credential stuffing soit la récupération d’informations telles que les identifiants et les mots de passes associés à des comptes afin de pirater d’autres comptes, applications ou sites. Récemment une de nos entreprises clientes a eu à subir 42 millions de tentatives d’attaque en cinq jours. Ce type d’attaques massives ne peut pas être contré par des ressources uniquement humaines, il faut mettre de l’IA en face pour le contrer. L’IA, arme d’attaque, est aussi un bouclier et cela en fait un creuset très intéressant de la cybersécurité.

Comment votre direction juridique appréhende-t-elle l’IA ?

RC : Données personnelles, problématiques de sécurité, lois applicables ou encore autorités compétentes : dans le domaine de l’IA, la dimension juridique est très forte. Le concept de legal by design est très important chez DataDome, ce qui induit une grande proximité entre la direction juridique et les équipes produits. Ce rapport particulier de la direction juridique avec l’IA se traduit aussi dans la relation client : nos clients et nos prospects nous sollicitent dans un rôle de conseil, en complément des commerciaux car ils ont intégré que la partie légale et conformité contribue à la valeur de nos produits. D’autant que DataDome est une entreprise internationale : nos clients ont aussi pour enjeu de s’assurer que le produit ne rajoute de risque normatif selon le pays ou la zone géographique où il sera utilisé. 

Quels projets s’appuyant sur l’IA ont été actés, développés ou sont à l’étude au sein de votre direction juridique ?

RC : Nous avons implémenté un CLM qui nous a permis dès le second trimestre 2023 d’apporter une plus-value dans les relations clients externes et clients internes. Délivrer de la réactivité, presque de la prédiction sur les négociations et expliquer notre rentabilité : un CLM permet tout cela. Face à la flambée des normes réglementaires en matière de protection des données, de RSE, et même d’IA, nous pilotons l’implémentation d’un outil de conformité qui nous sera particulièrement utile à l’international. Nous prévoyons également d’implémenter un outil de consolidation des réponses aux questionnaires clients, notamment en matière de conformité. Ces questionnaires peuvent contenir entre 300 et 400 questions, et nécessitent des réponses justifiées par l'apport de documents.

Quels apports et leçons tirez-vous de ces conduites de projets ?

RC : Sur ces deux projets où nous attendons de l’IA qu’elle nous fasse gagner du temps et absorbe des tâches à faibles valeurs ajoutés, nous avons donné une grande importance à l’interaction avec nos outils existants, en intégrant cette exigence dans les cahiers des charges, dans le benchmark, dans les négociations et aussi dans les formations dispensées aux utilisateurs. Lorsque l’IA est en jeu l’étape du cahier des charges revêt une importance capitale pour poser le besoin et en cerner la complexité. Cela impose de s’appuyer sur les autres fonctions, notamment le business Ops, les équipes commerciales et sécurité afin de définir ce que serait un outil pertinent pour eux et leurs besoins à six mois. Et c’est à cette condition seulement que les gains de temps et de ressources humaines attendus se concrétisent.

Quels paramètres vous semblent essentiels dans la conduite des projets IA ?

RC : D’abord s’assurer de la précision et de la fiabilité de l’IA utilisée afin d’éviter les biais et hallucinations. Cela passe par un examen des seuils d’acceptabilité, l’inclusion de mesures correctives et une dimension formative. Avec pour objectif une IA évolutive en elle-même et  au regard des besoins. Le deuxième paramètre est la compréhension de l’IA utilisée. Quelles sont ses sources ? Son fonctionnement ? Les conditions de prises de décisions ? Ceci afin de les justifier légalement et d’anticiper les risques d’erreurs, de litiges. Troisième paramètre : anticiper la stratégie de sortie de l’outil, un essentiel au regard du foisonnement des outils et du potentiel de cette technologie : quelle est la portabilité de la donnée traitée et processée ? Comment se définit la capacité de récupération, de transfert des données ? Quelle est la sécurisation de la donnée à la fin du contrat ?

Quels risques avez-vous identifiés et comment les avez-vous surmontés ?

RC : Le premier risque, souvent attribué à l’IA, à savoir la prévenance des biais et hallucinations est en fait très humain car il est lié à l’excès de confiance en la technologie. L’IA nécessite une intervention et un contrôle humains d’autant qu’elle supplée parfois une ressource humaine. Ce risque-là est très prégnant au sein de la jeune génération qui voit souvent l’IA comme une baguette magique. Les managers doivent amener leurs collaborateurs à avoir une vision et un usage critique de l’IA. L’autre risque est légal et éthique : la commercialisation d’un outil IA ne veut pas dire qu’il est et demeurera sans faille juridique et il convient de s’assurer de manière régulière et progressive de sa conformité légale et plus largement vérifier l’état de l’art en la matière de ses fournisseurs si possible tous les six mois, sans oublier de s’assurer de leur capacité à, voire de leur volonté de, s’adapter.

Que peut attendre une direction juridique de l’IA d'ici à cinq ans ?

RC : Dans les trois ans à venir, l’IA va apporter beaucoup dans l’automatisation des tâches routinières telles que la classification, les statistiques… D'ici à cinq ans, l'IA va bouleverser la prédiction des litiges juridiques et l’analyse du risque financier lié à un contentieux et ainsi permettre une gestion proactive des risques.

Un conseil à partager ?

RC : Il faut investir dans l’IA. Tant dans les outils que dans les formations, pas seulement celles à visée technique mais aussi celles qui participent à constituer un état d’esprit porteur, à dispenser du recul, à diffuser les process…c’est ainsi que l’on peut dépasser les craintes quant à la nocivité de l’IA, ses risques. Car l’IA est là et il faut se projeter pour pouvoir vivre avec cette technologie.