Dropbox Dash et le RGPD / AI Act : chercher partout sans tout exposer

Présentation de Dropbox Dash

Dash est l'outil de recherche et d'organisation assisté par IA de Dropbox (éditeur américain) : il connecte plusieurs applications d'entreprise et permet de rechercher, résumer et retrouver du contenu de façon unifiée.

Les données personnelles traitées

Dash indexe et traite le contenu des sources connectées (documents, e-mails, fichiers), qui contiennent de nombreuses données personnelles, ainsi que les données de compte. Éditeur américain : exposition au CLOUD Act ; vérifier la résidence et l'entraînement.

Quels risques pour votre entreprise ?

L'agrégation multi-sources amplifie le risque de sur-exposition : Dash doit respecter les permissions de chaque source connectée. S'ajoutent les transferts hors UE et la conservation de l'index.

Les principaux risques RGPD

• Agrégation multi-sources : le respect des permissions de chaque source est central. Un assistant IA restitue les informations selon les droits d'accès existants ; des permissions trop larges (« over-sharing ») peuvent exposer des documents RH, financiers ou confidentiels. La gouvernance des accès (moindre privilège) est le préalable.
• Transfert hors UE (CLOUD Act) ; vérifier la résidence.
• Vérifier l'usage des données pour l'entraînement : privilégier les offres où le contenu client n'est pas utilisé pour entraîner les modèles, et le confirmer dans le contrat.
• Index contenant des données personnelles ; minimisation et conservation.

Les obligations RGPD

1. Cartographier les sources connectées et vérifier le respect de leurs permissions.
2. Auditer les accès ; signer le DPA ; encadrer les transferts (SCC).
3. Vérifier l'entraînement ; définir la conservation de l'index ; minimiser.
4. Inscrire au registre ; AIPD (agrégation à grande échelle).
5. Impliquer le DPO ; former les équipes.

Les obligations AI Act

Les modèles mobilisés sont des GPAI (obligations fournisseurs depuis le 2 août 2025). Côté déployeur, la transparence (article 50) s'applique aux contenus générés destinés à être diffusés, et la littératie IA des équipes est requise (article 4, depuis le 2 février 2025). L'enjeu propre aux outils de productivité n'est pas tant la classification à haut risque que la gouvernance : un assistant qui accède à vos documents internes doit rester cantonné à un périmètre maîtrisé et supervisé. Un usage détourné vers l'évaluation des salariés basculerait, lui, dans le haut risque (Annexe III).

Les principaux risques AI Act

• Contenus diffusés non signalés (article 50).
• Usage RH détourné (haut risque).
• Absence de gouvernance des connecteurs.

Les risques cybersécurité

• Vue agrégée « panoptique » sur les données de l'entreprise.
• Connecteurs à sécuriser ; transfert hors UE.
• Prompt injection via contenus indexés.
• NIS 2 selon la taille.

Les bonnes pratiques

• Cartographier et gouverner les connecteurs ; respecter les permissions par source.
• Encadrer les transferts ; vérifier l'entraînement ; conservation de l'index maîtrisée.
• AIPD pour l'agrégation ; charte IA.
• Registre, formation.

Checklist de conformité

• ☐ Sources connectées cartographiées
• ☐ Respect des permissions par source vérifié
• ☐ DPA + résidence vérifiés ; transferts encadrés (SCC)
• ☐ Entraînement vérifié/désactivé
• ☐ Conservation de l'index définie
• ☐ Usage au registre
• ☐ AIPD réalisée (agrégation)
• ☐ Pas d'usage RH détourné
• ☐ Équipes formées

Les sanctions possibles

Les régimes se cumulent. RGPD : jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial. AI Act : jusqu'à 35 M€ ou 7 % pour les pratiques interdites, 15 M€ ou 3 % pour un manquement à la transparence (article 50) ou aux obligations des fournisseurs GPAI, 7,5 M€ ou 1 % pour des informations inexactes aux autorités. La responsabilité de responsable de traitement demeure celle de l'entreprise utilisatrice, quelles que soient les garanties de l'éditeur.

Conclusion & recommandations d'expert

Dropbox Dash est puissant par son agrégation multi-sources — c'est précisément ce qui impose une gouvernance rigoureuse : cartographiez les connecteurs, faites respecter les permissions de chaque source, encadrez les transferts et réalisez une AIPD. La vue unifiée est un atout de productivité et un risque de sur-exposition : à gouverner de près.