La protection des données de Concordia exige avant tout de bons outils
Les incidents de cybersécurité survenus dans des universités et des collèges canadiens, notamment l’atteinte à la sécurité des données de Canvas, en 2026, nous rappellent que les renseignements personnels peuvent être exposés du jour au lendemain lorsque les mesures de protection adéquates font défaut. À l’Université Concordia, la protection de ces renseignements commence par une habitude toute simple : l’utilisation des bons outils.
Les choix que l’on fait au quotidien peuvent entraîner des risques réels
La protection de nos données et de nos renseignements personnels est à la fois une obligation légale et une responsabilité partagée. Elle ne se limite pas à l’authentification multifacteur, aux mots de passe, aux pare-feu ou autres systèmes de sécurité. Elle concerne également les interactions quotidiennes à risque et les erreurs humaines, qui sont à l’origine de plus de 60 % des violations de la confidentialité des données. L’envoi au mauvais destinataire d’un courriel contenant des renseignements personnels est un bon exemple d’incident de confidentialité, et l’utilisation d’un outil d’intelligence artificielle (IA) de l’ombre entraîne un risque similaire.
Les termes « informatique de l’ombre » et « IA de l’ombre » englobent les outils que les employés utilisent de leur propre chef, sans l’autorisation d’IITS et sans appliquer les mesures de protection de la vie privée exigées par l’Université. Un exemple d’utilisation de l’IA de l’ombre serait le recours à un outil d’IA gratuit pour la transcription du compte rendu d’une réunion au cours de laquelle ont été échangés des renseignements sur les membres de l’effectif étudiant.
L’importance d’utiliser des outils approuvés
En tant qu’organisme public, nous sommes tenus de conclure des ententes contractuelles chaque fois que nos outils utilisent, stockent, transmettent ou traitent de quelque manière que ce soit les renseignements personnels des membres de notre communauté, en particulier lorsque les données recueillies sont stockées dans l’infrastructure infonuagique d’un tiers. La conclusion d’ententes contractuelles appropriées permet de garantir que, en cas de violation de la sécurité des données touchant ce tiers, celui-ci soit légalement tenu de nous en informer et de nous associer au processus de signalement.
Les outils qui ont été approuvés ont également fait l’objet d’une évaluation des facteurs relatifs à la vie privée, d’évaluations des risques de sécurité ainsi que d’autres vérifications visant à garantir que ces outils et leurs protocoles de sécurité respectent nos normes juridiques et institutionnelles. Lorsque les membres du personnel contournent ce processus et utilisent des plateformes qui n’ont pas fait l’objet d’un examen officiel par les services informatiques et juridiques, les données stockées deviennent vulnérables aux failles propres à ces plateformes. L’Université et son personnel sont par conséquent exposés à des risques juridiques et d’atteinte à la réputation ainsi qu’à des conséquences pouvant engager leur responsabilité, en plus d’être passibles d’amendes.
Avant d’utiliser un nouvel outil
Alors que les outils technologiques fournis par IITS ou acquis au moyen d’un bon de commande sont pris en compte dans les évaluations des facteurs relatifs à la vie privée, ce n’est souvent pas le cas des logiciels gratuits, et c’est pourquoi nous comptons sur la sensibilisation et la vigilance des membres du personnel. La meilleure façon de nous protéger et de protéger l’Université consiste à prendre les mesures suivantes :
Commencez par vérifier le catalogue des services informatiques ainsi que la liste des outils d’IA générative à Concordia. Si l’outil est déjà approuvé, vous pouvez l’utiliser. Microsoft Copilot est un exemple d’outil d’IA générative approuvé.
S’il ne figure pas dans la liste, demandez-vous quelles données vous traiterez avec cet outil :
- Traiterez-vous des renseignements personnels ou des données universitaires confidentielles? Soumettez une demande d’évaluation des facteurs relatifs à la vie privée avant d’utiliser l’outil. Cette évaluation consiste à examiner la manière dont l’outil recueille, stocke et communique les renseignements personnels. Elle s’accompagne de contrôles de sécurité et de vérifications juridiques.
- Traiterez-vous seulement des renseignements publics? Vous pouvez alors procéder sans passer par une évaluation officielle, à condition de respecter les politiques de Concordia relatives aux données institutionnelles.
Vous ne savez pas à quelle catégorie appartiennent vos données? Consultez les catégories de données de Concordia : publiques, internes, confidentielles ou restreintes. Toutes les données autres que les données publiques doivent faire l’objet d’évaluations appropriées sur les plans informatique et juridique.
La protection des données de Concordia est une responsabilité partagée, et cela ne tient souvent qu’à de simples choix. En cas de doute, vérifiez d’abord.
Apprenez-en davantage sur la protection de la vie privée et des renseignements personnels pour les membres du personnel sur Carrefour. Pour toute question, consultez l’ambassadrice ou ambassadeur du respect de la vie privée ou n’hésitez pas à communiquer directement avec le Service de la protection des renseignements personnels à privacy.office@concordia.ca.