Protéger les données sensibles dans les sources Gemini Notebook Enterprise

Ce document explique comment protéger les données sensibles dans Gemini Notebook Enterprise en intégrant Sensitive Data Protection.

À propos de Sensitive Data Protection dans Gemini Notebook Enterprise

Les règles relatives au contenu Sensitive Data Protection inspectent les données pour détecter les violations de règles ou les contenus indésirables. Vous pouvez configurer des règles relatives au contenu pour bloquer l'importation de fichiers dans Gemini Notebook Enterprise s'ils ne respectent pas votre règle. Il s'agit d'une pratique d'IA responsable qui protège les notebooks contre l'exposition de données sensibles.

Fonctionnement combiné de Sensitive Data Protection et de Model Armor

Sensitive Data Protection et Model Armor fonctionnent ensemble dans Gemini Notebook Enterprise pour fournir une défense de sécurité multicouche à vos notebooks. Ils protègent différents aspects de vos interactions avec les notebooks.

Sensitive Data Protection protège les sources importées

Sensitive Data Protection empêche l'importation et l'ingestion de données sensibles dans vos notebooks. Les règles relatives au contenu peuvent inspecter le contenu de vos sources avant qu'elles ne soient ajoutées au notebook et bloquer les sources si leur contenu ne respecte pas la règle.

Tous les types de sources ne sont pas acceptés. Consultez la section Limites.

Model Armor protège le chemin d'interaction

Model Armor filtre les prompts que les utilisateurs envoient au notebook avant de les traiter, et filtre les réponses avant de les afficher à l'utilisateur. En filtrant les prompts et les réponses, Model Armor protège contre l'injection de prompts, les URL malveillantes et d'autres risques de sécurité. En cas de violation d'une règle, Gemini Notebook Enterprise bloque l'interaction et affiche un message d'erreur.

Pour en savoir plus sur l'utilisation de Model Armor avec Gemini Notebook Enterprise, consultez Activer Model Armor.

Limites

Les limites suivantes s'appliquent aux règles relatives au contenu Sensitive Data Protection dans Gemini Notebook Enterprise :

• Les règles relatives au contenu Sensitive Data Protection ne s'appliquent pas aux fichiers audio ni aux documents et présentations Google Drive.

• Bien que vous puissiez appliquer une règle relative au contenu d'un projet à Gemini Notebook Enterprise dans un autre projet, les deux projets doivent se trouver dans le même périmètre VPC Service Controls. Pour obtenir des informations générales sur VPC Service Controls pour Gemini Enterprise, consultez Sécuriser votre application avec VPC Service Controls.

• Sensitive Data Protection ne peut pas analyser les fichiers très volumineux. Pour en savoir plus sur la taille maximale des fichiers PDF, Office 365, texte et image, consultez Limites des règles relatives au contenu. Par défaut, les règles relatives au contenu autorisent le contenu dans les fichiers volumineux. Toutefois, vous pouvez configurer des règles pour bloquer le contenu dans les fichiers volumineux.

Avant de commencer

Assurez-vous que les rôles requis vous sont attribués, ainsi qu'au compte de service Gemini Enterprise :

• Vous devez disposer du rôle Gemini Enterprise Admin.

• Le compte de service Gemini Enterprise doit disposer du rôle Utilisateur DLP (roles/dlp.user).

Pour en savoir plus, consultez Rôles requis dans Créer et gérer des règles relatives au contenu dans l'ensemble de documentation Sensitive Data Protection.

Remarque : Pour accorder plusieurs rôles IAM à un compte de service, consultez Accorder ou révoquer plusieurs rôles IAM à l'aide de la Google Cloud console.

Créer une règle relative au contenu

Pour préparer une règle relative au contenu Sensitive Data Protection à appliquer à Gemini Notebook Enterprise :

1. Créez une règle relative au contenu en suivant les instructions de la section Créer et gérer des règles relatives au contenu dans la documentation Sensitive Data Protection.

   Veillez à créer la règle dans la même région que les notebooks que vous souhaitez protéger.

2. Notez le nom de la règle. Pour ajouter une règle à un connecteur, vous avez besoin du chemin complet au format projects/PROJECT_ID/locations/LOCATION/contentPolicies/POLICY_ID.

Configurer Gemini Notebook Enterprise avec la règle de protection des données

Pour configurer Gemini Notebook Enterprise avec la règle de protection des données :

1. Appelez la projects.patch méthode pour associer la règle relative au contenu à une région de votre projet.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -H "x-goog-user-project: PROJECT_ID" \
   "https://LOCATION-discoveryengine.googleapis.com/v1alpha/projects/PROJECT_NUMBER?update_mask=customer_provided_config" \
   -d '{
     "customer_provided_config": {
       "notebooklm_config": {
         "data_protection_policy": {
           "sensitive_data_protection_policy": {
             "policy": "POLICY_ID"
           }
         }
       }
     }
   }'
   

   Remplacez les éléments suivants :

   • PROJECT_ID : ID du projet.

   • LOCATION: emplacement de votre projet : global, us ou eu.

   • PROJECT_NUMBER : numéro de votre projet.

   • POLICY_ID: nom de ressource de la règle relative au contenu Sensitive Data Protection que vous souhaitez appliquer.

   Exemple de commande et résultat

   $ curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -H "x-goog-user-project: my-project-123" \
   "https://global-discoveryengine.googleapis.com/v1alpha/projects/123456?update_mask=customer_provided_config" \
   -d '{
     "customer_provided_config": {
       "notebooklm_config": {
         "data_protection_policy": {
           "sensitive_data_protection_policy": {
             "policy": "projects/my-project-123/locations/global/contentPolicies/12345678-abcd-1234-abcd-1234567890ab"
           }
         }
       }
     }
   }'
   {
     "name": "projects/123456",
     "createTime": "2023-08-15T21:57:03.738773660Z",
     "provisionCompletionTime": "2023-08-15T21:57:03.738773660Z",
     "serviceTermsMap": {
       "GA_DATA_USE_TERMS": {
         "id": "GA_DATA_USE_TERMS",
         "version": "2022-11-23",
         "state": "TERMS_ACCEPTED",
         "acceptTime": "2023-08-15T21:57:03.738773660Z"
       }
     },
     "customerProvidedConfig": {
       "notebooklmConfig": {
         "dataProtectionPolicy": {
           "sensitiveDataProtectionPolicy": {
             "policy": "projects/my-project-123/locations/global/contentPolicies/12345678-abcd-1234-abcd-1234567890ab"
           }
         }
       }
     }
   }
   

2. Attendez que la configuration soit propagée. En règle générale, l'application de la règle prend environ 10 minutes.

3. Facultatif : testez la règle relative au contenu :

   1. Créez un document source qui contient une violation inoffensive de la règle. Par exemple, si la règle relative au contenu bloque les numéros de sécurité sociale américains, créez un fichier source indiquant "Le numéro de sécurité sociale de Mickey Mouse est le 999-00-0000".

   2. Importez le document source dans un notebook. Si la règle est en vigueur, le document apparaît comme bloqué dans la liste des sources.

      

Supprimer la règle de protection des données

Pour supprimer la règle de protection des données de Gemini Notebook Enterprise :

1. Appelez la méthode projects.patch avec un objet data_protection_policy vide.

   curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -H "x-goog-user-project: PROJECT_ID" \
   "https://LOCATION-discoveryengine.googleapis.com/v1alpha/projects/PROJECT_NUMBER?update_mask=customer_provided_config" \
   -d '{
     "customer_provided_config": {
       "notebooklm_config": {
         "data_protection_policy": {}
       }
     }
   }'
   

   Remplacez les éléments suivants :

   • PROJECT_ID : ID du projet.

   • LOCATION: emplacement de votre projet : global, us ou eu.

   • PROJECT_NUMBER: numéro de votre projet.

   Exemple de commande et résultat

   $ curl -X PATCH \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -H "x-goog-user-project: my-project-123" \
   "https://global-discoveryengine.googleapis.com/v1alpha/projects/123456?update_mask=customer_provided_config" \
   -d '{
     "customer_provided_config": {
       "notebooklm_config": {
         "data_protection_policy": {}
       }
     }
   }'
   {
     "name": "projects/123456",
     "createTime": "2023-08-15T21:57:03.738773660Z",
     "provisionCompletionTime": "2023-08-15T21:57:03.738773660Z",
     "serviceTermsMap": {
       "GA_DATA_USE_TERMS": {
         "id": "GA_DATA_USE_TERMS",
         "version": "2022-11-23",
         "state": "TERMS_ACCEPTED",
         "acceptTime": "2023-08-15T21:57:03.738773660Z"
       }
     },
     "customerProvidedConfig": {
       "notebooklmConfig": {
         "dataProtectionPolicy": {}
       }
     }
   }
   

2. Attendez que la configuration soit propagée. En règle générale, la suppression de la règle prend environ 10 minutes.

3. Facultatif : vérifiez si la règle relative au contenu a été supprimée :

   1. Créez un document source qui contient une violation inoffensive de la règle.

   2. Importez le document source dans un notebook. Si le document est ajouté à la liste des sources et n'est pas bloqué, la règle a été supprimée.