💻 computer science

Understanding How University Guidelines Address Privacy and Security Issues of Generative AI in Academic Settings

Cet article présente une analyse qualitative des directives d'utilisation de l'IA générative de 43 universités dans 12 pays afin d'identifier comment les établissements d'enseignement supérieur abordent les défis de confidentialité et de sécurité posés par les systèmes d'IA propriétaires tout en équilibrant l'innovation et l'intégrité académique.

Auteurs originaux : Bei Yi Ng, Jiarui Li, Xinyuan Tong, Kevin Ye, Gauthami Yenne, Varun Chandrasekaran, Jingjie Li

Publié 2026-07-21

📖 4 min de lecture☕ Lecture pause café

CC BY 4.0

Auteurs originaux : Bei Yi Ng, Jiarui Li, Xinyuan Tong, Kevin Ye, Gauthami Yenne, Varun Chandrasekaran, Jingjie Li

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que la salle de classe du futur ne soit pas seulement une pièce avec des bureaux, mais un terrain de jeu numérique en pleine effervescence où un nouveau genre d'assistant robotique super intelligent vient d'arriver. Ce robot, appelé l'IA générative (ou GenIA), peut écrire des essais, résoudre des problèmes mathématiques et même coder des jeux vidéo plus vite que n'importe qui d'autre. C'est comme avoir une encyclopédie magique capable de discuter et de créer tout ce que vous demandez. Mais attention : ce robot est construit et possédé par quelques grandes entreprises privées, et non par les écoles elles-mêmes. Nous ne savons pas pleinement ce qu'il fait des secrets que vous lui murmurez. Est-ce qu'il les note dans un carnet pour apprendre ? Est-ce qu'il les partage avec des amis ? C'est la grande inquiétude dans le monde de la « confidentialité et de la sécurité ». La confidentialité consiste à garder votre journal intime à l'abri des regards indiscrets, et la sécurité consiste à s'assurer que les verrous sur votre porte numérique sont assez solides pour empêcher les pirates de l'enfoncer. Alors que les écoles se précipitent pour laisser les étudiants utiliser ce robot magique, elles essaient de comprendre comment permettre le plaisir sans laisser le robot voler les secrets des étudiants ou laisser de mauvais acteurs s'introduire dans le coffre-fort numérique de l'école.

Une équipe de chercheurs a décidé de jeter un coup d'œil derrière le rideau pour voir comment les universités gèrent cette situation délicate. Ils ne se sont pas contentés de deviner ; ils ont lu les manuels de règles officiels et les guides de sécurité de 43 grandes universités à travers 12 pays différents. Considérez ces guides comme les « Manuels d'utilisation » que les écoles écrivent pour elles-mêmes pour dire : « D'accord, voici comment nous vous laissons utiliser le robot, et voici comment nous essayons de protéger vos données. »

Les chercheurs ont découvert que, bien que les écoles soient certainement préoccupées par le robot, leurs plans de sécurité ressemblent un peu à un patchwork — certaines parties sont très solides, et d'autres présentent des trous. Premièrement, les écoles sont surtout inquiètes que les étudiants ne laissent échapper accidentellement leurs secrets. Elles savent que si un étudiant tape ses devoirs ou une idée de recherche privée dans le robot, l'entreprise qui possède le robot pourrait conserver cette information pour entraîner son cerveau. Cependant, les chercheurs ont remarqué que les écoles sont moins préoccupées par le fait que le robot lui-même soit piraté ou trompé par des méchants. C'est comme si les écoles faisaient très attention à ne pas faire tomber leur argent de poche sur le trottoir, mais qu'elles n'avaient pas encore quite trouvé comment empêcher un pickpocket de voler le portefeuille.

En ce qui concerne la résolution de ces problèmes, les écoles utilisent un mélange de verrous de haute technologie et de règles simples. Certaines universités ont acheté des versions spéciales, dites « d'entreprise », du robot qui promettent de ne pas enregistrer les données des étudiants, un peu comme louer une salle privée plutôt que d'utiliser un parc public. Mais beaucoup d'écoles se contentent de dire aux étudiants : « Hé, faites attention ! Ne tapez pas vos secrets là-dedans. » Les chercheurs ont constaté que cela fait peser un énorme fardeau sur les étudiants et les enseignants, qui doivent devenir eux-mêmes les gardiens de la sécurité. Les écoles essaient également d'utiliser d'anciennes règles de sécurité destinées aux ordinateurs classiques pour protéger ce nouveau robot magique, ce qui revient un peu à essayer de verrouiller un vaisseau spatial avec une chaîne de vélo. Cela peut fonctionner pendant un certain temps, mais ce n'est pas conçu pour cette tâche.

L'étude suggère que, bien que les universités fassent de leur mieux, elles sont encore en train de chercher le meilleur moyen de trouver l'équilibre entre les choses incroyables que ce robot peut faire et la nécessité de protéger tout le monde. Elles écrivent ces règles au fur et à mesure, empruntant souvent des idées à d'autres écoles ou suivant les lois de leurs gouvernements. Les chercheurs concluent que nous avons besoin de plans de sécurité meilleurs et plus spécifiques qui comprennent exactement comment ce nouveau robot fonctionne, plutôt que de simplement espérer que les anciennes règles tiendront bon. C'est un travail en cours, et tout le monde doit continuer à discuter pour s'assurer que le robot magique nous aide à apprendre sans voler nos secrets.

Résumé technique : Comprendre comment les directives universitaires abordent les enjeux de confidentialité et de sécurité de l'IA générative en milieu académique

Énoncé du problème
L'IA générative (GenAI) transforme rapidement l'enseignement supérieur en augmentant les paradigmes d'apprentissage, pourtant les systèmes qui pilotent cette transformation sont principalement contrôlés par des entités privées aux pratiques de rétention de données opaques et au contrôle limité pour l'utilisateur. Dans les cadres académiques, l'intégration de la GenAI soulève des préoccupations critiques concernant l'exposition de données propriétaires, d'informations personnellement identifiables et d'informations éducatives sensibles à des plateformes externes. Alors que les universités développent des directives d'utilisation pour équilibrer l'innovation et l'intégrité académique, il existe un écart significatif dans la compréhension de la manière dont ces institutions conceptualisent, évaluent et atténuent spécifiquement les risques de confidentialité et de sécurité inhérents à la GenAI. La littérature existante traite souvent la confidentialité et la sécurité comme des préoccupations secondaires par rapport aux enjeux pédagogiques ou manque de granularité dans l'analyse des défis techniques et opérationnels auxquels les universités sont confrontées pour sécuriser l'adoption de la GenAI.

Méthodologie
Les auteurs ont mené une analyse de contenu qualitative approfondie des directives d'utilisation de la GenAI publiées par 43 universités dans 12 pays. L'échantillon a été tiré du « 2024 QS World University Rankings » pour garantir une focalisation sur des institutions mondialement reconnues, bien que l'étude visait une diversité régionale.

Collecte de données : Les chercheurs ont parcouru manuellement les sites web des universités pour identifier les directives de niveau universitaire (excluant les documents spécifiques aux départements) publiées en anglais entre juin et décembre 2024. Ils ont également collecté des directives de sécurité et de confidentialité supplémentaires axées sur l'informatique auprès de 19 de ces universités pour comparer les documents axés sur l'enseignement et l'apprentissage avec ceux axés sur l'informatique.
Processus d'analyse : L'étude a employé un processus de codage qualitatif structuré. Trois chercheurs ont codé indépendamment les documents à partir d'un ensemble initial d'universités pour développer un codebook (livret de codage), qui a été affiné par des discussions itératives. Ce codebook a ensuite été appliqué aux documents restants, atteignant un kappa de Cohen ( $\kappa$ ) de 0,65, indiquant un accord inter-annotateurs substantiel. L'analyse s'est poursuivie jusqu'à ce que la saturation des données soit atteinte.
Portée : L'analyse s'est concentrée sur le contenu textuel concernant les risques de confidentialité et de sécurité, les modèles de menace, les stratégies d'atténuation et l'intégration de ces concepts avec les valeurs académiques plus larges.

Contributions clés et résultats
L'étude aborde trois questions de recherche (RQ) concernant la manière dont les universités conceptualisent les risques, évaluent les mesures d'atténuation et positionnent la confidentialité/sécurité dans la conception des politiques. Les résultats sont résumés comme suit :

1. Conceptualisation des risques (RQ1)
Les universités reconnaissent largement les risques de confidentialité et de sécurité liés à la GenAI, particulièrement en ce qui concerne les données sensibles des étudiants, de la recherche et des institutions. Cependant, l'étude identifie trois caractéristiques clés dans la manière dont ces risques sont formulés :

Variations dans les définitions des données : Les directives diffèrent considérablement dans leur définition des « données sensibles ». Certaines utilisent des exemples spécifiques (par exemple, Caltech listant la PI et les données contrôlées par l'exportation), tandis que d'autres s'appuient sur une terminologie vague (par exemple, « informations confidentielles ») sans élaboration, se reportant souvent à des politiques externes comme le RGPD ou les lois nationales sur la protection des données.
Déséquilibre des modèles de menace : Les modèles de menace présentés sont partiels. Les directives mettent fortement l'accent sur l'exposition de la confidentialité via des prestataires de services tiers et l'usage abusif de la GenAI pour des violations de l'intégrité académique (par exemple, plagiat, fabrication). En revanche, les comportements adverses concrets tels que le jailbreaking, l'injection de prompts et les vulnérabilités techniques (par exemple, l'empoisonnement de modèle) sont sous-spécifiés, seule une minorité de directives discutant de ces exploitations de sécurité.
Liens flous avec les préjudices plus larges : Bien que les directives lient les violations de la confidentialité aux risques éthiques (par exemple, la discrimination) et aux résultats d'apprentissage négatifs (par exemple, la dépendance excessive), le lien entre les défaillances de sécurité technique et les préjudices éducatifs plus larges reste souvent flou ou implicite.

2. Mesures d'atténuation et défis (RQ2)
Les universités tentent d'atténuer les risques par une combinaison de sauvegardes techniques, de procédures opérationnelles et de responsabilités individuelles, mais font face à des défis de clarté et de cohérence :

Sauvegardes techniques : Il existe un scepticisme concernant la fiabilité des outils de détection d'IA. Par conséquent, les universités comptent souvent sur les infrastructures techniques existantes (par exemple, la vérification des comptes d'entreprise, les contrôles d'accès) et les versions sous licence des outils de GenAI (par exemple, Microsoft Copilot avec des avenants de protection des données) plutôt que de développer de nouveaux mécanismes de détection spécifiques à la GenAI.
Déplacement vers la responsabilité individuelle : Une tendance prédominante est la dévolution de la responsabilité aux individus (étudiants et enseignants). Les directives placent fréquemment la charge sur les utilisateurs pour éviter de télécharger des données sensibles, réviser les résultats et sélectionner les outils appropriés, souvent sans fournir d'évaluations de confidentialité détaillées et spécifiques au service.
Complexité opérationnelle : La mise en œuvre de revues de sécurité pour l'acquisition de la GenAI est complexe et implique souvent plusieurs départements. Bien que certaines institutions aient établi des mécanismes de surveillance et de recours dédiés, ces processus sont souvent décrits comme des efforts continus plutôt que comme des protocoles matures et standardisés.
Directives informatiques vs enseignement : Les directives axées sur l'informatique tendent à traduire les préoccupations de confidentialité en évaluations de risques et en pratiques de surveillance concrètes, tandis que les directives axées sur l'enseignement cadrent ces questions à travers les valeurs académiques et les pratiques de classe. Le recoupement entre ces deux types de directives varie considérablement selon les régions.

3. Principes de conception des politiques (RQ3)
La gouvernance de la confidentialité et de la sécurité est façonnée par une interaction complexe de facteurs :

Cadres réglementaires : Les directives sont fortement ancrées dans les réglementations nationales et régionales existantes (par exemple, FERPA aux États-Unis, RGPD dans l'UE, PDPA à Singapour). Cependant, ces cadres manquent souvent de dispositions spécifiques pour la GenAI, ce qui entraîne des incohérences dans la manière dont le partage de données avec des tiers est réglementé selon les juridictions.
Valeurs académiques : La confidentialité et la sécurité sont souvent subsumées sous des valeurs académiques plus larges telles que l'intégrité, l'équité et l'apprentissage responsable. Bien que cela apporte un poids normatif, l'article note que ce cadrage basé sur les valeurs peut laisser la mise en œuvre ouverte à l'interprétation, substituant parfois des principes de haut niveau à des orientations concrètes.
Engagement des parties prenantes : Il existe un besoin reconnu de participation active des étudiants et du personnel dans la création des politiques, bien que l'efficacité de cet engagement pour traiter les risques techniques de confidentialité varie.

Signification et affirmations
L'article affirme fournir la première analyse qualitative approfondie de la manière dont les universités gèrent systématiquement les risques de confidentialité et de sécurité de la GenAI, allant au-delà de l'identification de ces problèmes comme des préoccupations secondaires. Les auteurs soutiennent que leurs conclusions révèlent des lacunes critiques dans le paysage institutionnel actuel :

Limites des cadres actuels : Les cadres juridiques et techniques existants sont souvent insuffisants pour traiter les menaces spécifiques à la GenAI, telles que la capacité des modèles à inférer des informations sensibles à partir de données minimales ou les risques de « jailbreaking ».
Besoin d'approches sur mesure : L'étude souligne la nécessité pour les universités d'aller au-delà des politiques de protection des données génériques et de développer des cadres d'évaluation et des sauvegardes techniques spécifiquement adaptés aux capacités et aux risques uniques de la GenAI.
Disparités d'infrastructure : La recherche souligne les disparités de ressources entre les institutions, suggérant que les universités moins dotées pourraient avoir du mal à mettre en œuvre les sauvegardes complexes observées dans les institutions de premier rang sans partenariats stratégiques et partage de connaissances.

Les auteurs concluent que, bien que les universités développent activement des directives, le domaine nécessite des cadres plus robustes et respectueux de la vie privée qui intègrent les perspectives techniques, opérationnelles et pédagogiques pour sécuriser efficacement l'adoption de la GenAI dans l'enseignement supérieur.

Articles similaires