GeminiGOUVERNANCE DES DONNÉES
Prérequis
- Accès admin Google Workspace ou Google Cloud (selon offre)
- Inventaire des données traitées : briefs, PII, code, accès production
- Contact RSSI ou référent conformité interne
- Lecture des conditions d’utilisation Gemini entreprise et DPA client
Déployer Gemini sans cadre expose briefs clients, credentials et code propriétaire à des politiques de rétention floues. Les offres Google Workspace et Vertex proposent des leviers IAM, DLP et exclusion de données d’entraînement — sous conditions. Vous allez définir une politique opérationnelle avant tout usage en production.
Classifier les données et les usages
Dressez la liste des flux : specs Notion exportées, tickets support, logs anonymisés, captures maquettes. Associez chaque flux à une classe de sensibilité.
Interdisez formellement les secrets (clés API, mots de passe, tokens) dans Gemini chat et API. Les développeurs utilisent des coffres (Secret Manager, 1Password) hors LLM.
Pour les données personnelles (RGPD), documentez la base légale et la durée de conservation. Si le DPA client l’interdit, Gemini est hors périmètre pour ce projet.
Configurer Workspace et Cloud
Activez les contrôles admin Gemini : qui peut utiliser l’assistant, quelles apps sont connectées, politique de partage Drive avec Gemini.
Sur Vertex, configurez IAM par projet, VPC Service Controls si requis, et journaux d’audit Cloud Logging. Restreignez les clés API par référent IP ou service account.
Déployez des règles DLP sur les exports sensibles : détection e-mail, numéros, IBAN avant upload vers un corpus Gemini.
Processus équipe et incident
Intégrez la politique Gemini au onboarding projet : une page wiki, signature PO et lead dev. Les prompts interdits sont listés avec exemples.
En cas de fuite accidentelle (clé collée dans le chat), procédure : rotation immédiate, notification RSSI, entrée dans le registre d’incidents.
Auditez trimestriellement les logs API : pics, endpoints et dépassements budget.
Erreurs fréquentes
Supposer que « entreprise » couvre tous les produits Gemini sans lire le DPA.
Laisser les comptes personnels Google utiliser des données client.
Oublier les sous-traitants (freelance) hors SSO et hors politique.
Stocker des transcripts de chat avec PII dans Drive non chiffré.
Déployer l’API Gemini sans rate limit ni alerte coût.
Ce qu’il faut retenir
La gouvernance précède le déploiement Gemini en agence.
Classification, IAM, DLP et anonymisation sont non négociables.
Workspace et Vertex offrent des leviers distincts : alignez l’offre au contrat client.
Incident et audit trimestriel ferment la boucle de conformité.
FAQ
Cela dépend de l’offre et des paramètres contractuels. Les offres entreprise Google annoncent généralement l’exclusion d’entraînement — vérifiez votre DPA. Ne généralisez jamais ces garanties au free tier grand public.
Uniquement si le contrat client et votre politique interne l’autorisent. Privilégiez Vertex avec compte de service dédié et sans copie dans des chats personnels. Anonymisez les identifiants sensibles avant tout prompt.
Compte invité SSO, accès limité au projet, interdiction des exports hors Drive partagé. Révoquez l’accès à la date de fin de mission. Documentez la procédure dans votre runbook onboarding freelance.
ChatGPT