ChatMinerva, c'est l'assistant IA développé par l'université La Sapienza de Rome avec sa spin-off Babelscape, présenté comme une IA souveraine italienne. Le 18 septembre, la plateforme a annoncé qu'un intrus avait eu accès à ses bases de données. L'incident, découvert lors de contrôles internes, a été signalé au Garante, l'autorité italienne de protection des données. Ce qui a été touché Des données de compte d'abord : noms, e-mails, dates de naissance, genre, photos de profil, biographies. Des mots de passe hachés, sans précision publique sur l'algorithme utilisé. Et les conversations privées des utilisateurs avec le modèle. Le nombre de personnes concernées n'a pas été communiqué. L'historique de conversations, une donnée sous-estimée Les données d'identité, tout le monde sait les qualifier. Les conversations, c'est autre chose. Un utilisateur y colle un brouillon de contrat, un extrait de dossier RH, une question sur un client ou un collègue. Le contenu d'un historique peut être bien plus sensible que le compte qui le porte, et contenir des données sur des tiers qui n'ont jamais utilisé l'outil. Pour la protection des données personnelles, ça change l'analyse de risque. Une violation qui touche des prompts ne s'évalue pas comme une simple fuite d'adresses e-mail. Notification, rôles, conservation : les questions ouvertes Le délai de notification de 72 heures court à partir de la prise de connaissance de la violation. Ici, la date d'intrusion n'est pas connue publiquement. La répartition des rôles entre l'université et la spin-off, qui est responsable de traitement et de quoi, n'a pas non plus été précisée. Et une question vaut pour tous les outils de ce type : combien de temps les conversations sont-elles conservées ? Le label souverain n'y répond pas. Il parle de localisation, pas de sécurité. Encadrer les assistants IA avant l'incident Pour une organisation qui déploie un assistant IA, ou qui laisse ses équipes en utiliser un, la DPIA devient vite pertinente : données potentiellement sensibles, usage innovant, volumes importants. Elle oblige à trancher sur la durée de conservation des échanges, sur les catégories de données interdites dans les prompts, et sur les garanties contractuelles de l'éditeur, y compris la réutilisation des conversations.
