Tu suis la course aux modèles IA ?
Chaque sortie (GPT, Claude, Gemini, Mistral…) décryptée le soir même, en 5 min. Gratuit.
Inclus dès l'inscription : notre sélection des meilleurs guides & comparatifs IA.
Choisis ton rythme
Gratuit · Pas de spam · Désabonnement en 1 clic
L'entraînement des modèles d'intelligence artificielle (IA) avec des données internes est devenu un enjeu crucial pour les entreprises modernes. Cependant, l'incident récent impliquant Mercor met en lumière les risques liés à l'exposition de données sensibles. Cet événement souligne la vulnérabilité de la chaîne RH et data face à l'automatisation croissante de l'IA.
Pour les entreprises engagées dans des projets d'IA, l'affaire Mercor démontre qu'une seule faille peut compromettre des informations critiques issues d'outils internes, y compris des données personnelles. Selon les éléments révélés après le piratage, des échanges sur Slack, des interactions avec des systèmes d'IA et des données à caractère personnel ont été exposés. L'externalisation fréquente de l'entraînement des modèles d'IA devient ainsi un risque majeur pour la sécurité des données et la gouvernance des ressources humaines.
L'entraînement de l'IA : un risque pour les RH
Derrière chaque modèle d'IA performant se trouve une équipe de travailleurs humains chargée d'annoter, de corriger et d'affiner les systèmes. Mercor, en recrutant des profils qualifiés souvent sous-employés, s'est positionnée sur ce marché. Ces travailleurs, souvent indépendants, manipulent des données internes sensibles sans toujours connaître les entreprises pour lesquelles ils travaillent.
Selon un document de New York Magazine, cela crée une zone grise en matière de sécurité et de confidentialité. Pour les directions RH et les équipes IT, l'entraînement de l'IA devient une extension directe de la gestion des talents et des données sensibles.
Mercor a reconnu avoir été victime d'une faille liée à LiteLLM, un projet open source utilisé dans son infrastructure. Selon TechCrunch, les données compromises incluaient des échanges internes et des interactions entre humains et systèmes d'IA. Mercor a payé une rançon au groupe ShinyHunters suite à cette compromission. Cette situation met en lumière la vulnérabilité de toute la chaîne d'approvisionnement de l'IA.
Des données RH en première ligne
Les données manipulées dans ce contexte sont particulièrement sensibles. Des plaintes relayées par Business Insider évoquent l'exposition possible d'informations telles que des adresses personnelles, des identifiants et des numéros de sécurité sociale. Ces données touchent directement aux responsabilités RH et juridiques des entreprises, et leur fuite peut avoir des conséquences graves, comme la perte de confiance des employés ou des risques réglementaires.
Le modèle économique de Mercor repose sur une grande externalisation, avec des travailleurs indépendants souvent précaires. Plusieurs plaintes mentionnent des conditions de travail instables, des ruptures de contrat brutales et des rémunérations fluctuantes. Ce fonctionnement est au cœur du développement actuel de l'IA, mais il introduit un risque d'une main-d'œuvre peu engagée et peu formée aux enjeux de sécurité.
La réaction de Meta, qui a suspendu sa collaboration avec Mercor selon Wired, montre que le sujet est pris au sérieux. Cependant, cette décision semble motivée par la volonté de protéger ses secrets industriels et ses méthodes d'entraînement.
Repenser la gouvernance des données
L'affaire Mercor impose une prise de conscience quant à l'entraînement des modèles d'IA. Ce processus ne peut plus être considéré comme une simple tâche technique externalisable. Il doit être intégré dans une stratégie globale de gouvernance des données.
Cela implique plusieurs évolutions : une cartographie précise des flux de données utilisés pour entraîner les modèles, un contrôle renforcé des prestataires incluant leurs pratiques RH et leurs conditions de travail, et une réflexion sur la minimisation des données partagées et sur les environnements sécurisés d'entraînement. Car le véritable enjeu est là : l'IA devient un levier stratégique, donc les données qui l'alimentent deviennent un actif critique et une vulnérabilité potentielle. En exposant les failles d'un acteur comme Mercor, cet incident rappelle que dans l'IA, la sécurité ne dépend pas seulement des algorithmes, mais de toute la chaîne humaine qui les façonne.