Comment protéger les données confidentielles lors de l’utilisation de l’IA

Dans presque toutes les entreprises que nous rencontrons, des collaborateurs utilisent déjà des outils d’intelligence artificielle. Dans une majorité d’entre elles, la direction l’ignore ou en sous-estime largement l’ampleur.

Ce n’est pas une faute des équipes : ces outils sont accessibles, souvent gratuits, et réellement utiles. Le problème est qu’en l’absence de règles, chacun fixe ses propres limites — et personne ne sait où passent les documents.

Ce qui se passe quand on soumet un document

Comprendre le mécanisme évite deux erreurs symétriques : la panique et l’insouciance.

Lorsqu’un collaborateur colle un texte dans un outil en ligne, ce texte quitte l’entreprise et transite vers les serveurs d’un prestataire. Trois questions déterminent le niveau de risque.

Où est-il traité ? Selon le service et l’offre souscrite, les données peuvent être traitées dans l’Union européenne ou en dehors. Ce point conditionne une partie des obligations réglementaires.

Est-il conservé ? Certaines offres conservent l’historique des échanges pendant une durée définie, d’autres non. La différence entre une offre grand public et une offre professionnelle porte souvent précisément là-dessus.

Sert-il à améliorer le service ? C’est le point le plus sensible. Certaines conditions d’utilisation, notamment sur les offres gratuites, autorisent l’exploitation des contenus soumis. Les offres professionnelles l’excluent généralement — mais cela se vérifie, contrat en main.

La distinction déterminante n’est pas entre les outils, mais entre les offres. Le même service peut être inacceptable en version gratuite et parfaitement adapté en version professionnelle.

Les risques réels, par ordre de fréquence

La fuite d’information par usage ordinaire

Le scénario le plus courant n’a rien de spectaculaire. Un collaborateur colle un contrat client pour en obtenir un résumé. Un comptable soumet un tableau de chiffre d’affaires pour l’analyser. Un responsable RH fait relire une lettre contenant le nom et la situation d’un salarié.

Chacun de ces gestes est bien intentionné. Cumulés sur une année, ils représentent une exposition significative.

La réponse fausse intégrée à un document officiel

Ces outils produisent parfois des affirmations parfaitement formulées et parfaitement fausses : un article de loi inexistant, un chiffre inventé, une référence plausible mais imaginaire.

Le risque n’est pas l’erreur elle-même, c’est sa propagation. Une donnée inventée reprise dans une proposition commerciale, un rapport ou un courrier engage l’entreprise.

L’usage sur des données de tiers

Soumettre des documents appartenant à un client peut contrevenir à vos engagements contractuels de confidentialité. Beaucoup de contrats de prestation encadrent la sous-traitance et le transfert à des tiers — un service d’intelligence artificielle en est un.

La dépendance non maîtrisée

Un processus entièrement construit autour d’un service externe devient vulnérable à ses changements de tarif, de conditions ou de disponibilité. Ce risque n’est pas un risque de sécurité, mais il se traite au même moment.

Classer avant d’interdire

Une interdiction générale ne fonctionne pas : elle déplace l’usage vers les téléphones personnels, où il devient totalement invisible et incontrôlable.

La méthode qui fonctionne consiste à classer l’information, puis à associer à chaque niveau ce qui est permis.

Ce tableau doit être rempli avec des exemples issus de votre activité. Un classement abstrait ne guide personne au moment de décider.

Les règles à poser

Désigner les outils autorisés

Plutôt qu’une interdiction floue, publiez une liste courte : les outils validés, ceux qui sont tolérés pour des usages non sensibles, ceux qui sont proscrits. Une liste de trois lignes lue par tous vaut mieux qu’une politique de vingt pages ignorée.

Souscrire des offres professionnelles

C’est la mesure au meilleur rapport entre coût et effet. Les offres destinées aux entreprises apportent en général des engagements contractuels sur la conservation et la non-exploitation des données, ainsi qu’une administration centralisée des comptes.

Interdire les comptes personnels pour un usage professionnel

Un collaborateur utilisant son compte personnel emporte l’historique avec lui lorsqu’il quitte l’entreprise. Ce point est rarement anticipé.

Imposer une vérification sur ce qui sort

Toute production destinée à l’extérieur — client, administration, partenaire — passe par une relecture humaine. Cette règle est simple à énoncer et à faire respecter.

Nommer un interlocuteur

Les collaborateurs rencontrent régulièrement des cas ambigus. Sans personne à qui demander, ils tranchent seuls, et généralement dans le sens de la facilité. Désigner un référent, même à temps très partiel, change les comportements.

Rédiger une charte qui sera lue

Une charte n’a d’utilité que si elle est lue et comprise. Quelques principes de rédaction :

• Deux pages au maximum. Au-delà, elle sera survolée.
• Des exemples de votre entreprise. « Ne pas soumettre le fichier des adhérents » est plus efficace que « ne pas traiter de données à caractère personnel ».
• Expliquer le pourquoi. Une règle dont on comprend la raison est respectée ; une règle arbitraire est contournée.
• Indiquer ce qui est permis. Une charte uniquement composée d’interdictions donne le sentiment que tout est interdit.
• Prévoir une date de révision. Ces outils évoluent vite ; une charte figée devient rapidement inapplicable.

Sensibiliser sans effrayer

Une session courte, trente à quarante-cinq minutes, suffit si elle est concrète. Ce qui fonctionne :

• montrer ce qui se passe réellement lorsqu’un document est soumis ;
• présenter deux ou trois cas ambigus issus de l’entreprise et les trancher collectivement ;
• expliquer la différence entre offre gratuite et offre professionnelle ;
• indiquer à qui s’adresser en cas de doute ;
• rappeler que signaler une erreur ne sera pas sanctionné.

Ce dernier point est déterminant. Dans une entreprise où l’on craint la sanction, les incidents ne remontent jamais — et l’absence de signalement est prise à tort pour une absence de problème.

Et si l’usage est déjà installé ?

C’est la situation la plus fréquente. Elle se traite en quatre temps.

1. Un état des lieux anonyme. Un questionnaire court, sans identification, sur les outils réellement utilisés et les types de contenus soumis. L’anonymat est la condition de la sincérité des réponses.
2. Une amnistie explicite. Annoncer que les usages passés ne feront l’objet d’aucune sanction. Sans cela, l’état des lieux ne vaut rien.
3. Un cadre publié rapidement. Mieux vaut une règle imparfaite disponible en deux semaines qu’une politique parfaite en six mois.
4. Une offre alternative. Si vous retirez un outil, proposez le remplaçant en même temps. Un retrait sans solution de remplacement produit du contournement.

Questions fréquentes

Faut-il interdire les outils grand public ?

Pour les données internes et confidentielles, oui. Pour des usages sans donnée d’entreprise — reformuler un texte public, s’informer sur un sujet général — une interdiction totale est disproportionnée et sera contournée.

Une charte suffit-elle à nous protéger ?

Non. Elle est nécessaire mais doit s’accompagner d’outils cohérents avec les règles annoncées, d’une sensibilisation et d’un interlocuteur disponible. Une charte seule protège surtout sur le papier.

Comment savoir si nos données sont utilisées pour l’entraînement ?

Cette information figure dans les conditions d’utilisation du service, dont les termes diffèrent selon l’offre souscrite. C’est un point à vérifier explicitement avant tout déploiement, et à faire confirmer par écrit pour un usage professionnel.

Nos obligations réglementaires sont-elles les mêmes pour tous ?

Non. Elles dépendent de votre secteur, de la nature des données traitées et de vos engagements contractuels. Les entreprises manipulant des données de santé, des données bancaires ou des informations couvertes par un secret professionnel ont des obligations renforcées. Ces points relèvent de votre conseil juridique.

Peut-on utiliser l’IA sur des données sensibles ?

Oui, mais l’architecture n’est plus la même. Des solutions permettent un traitement dans un environnement maîtrisé, sans transmission à un service grand public. Le coût et la complexité sont plus élevés — ils se justifient lorsque l’enjeu l’exige.

En résumé

Protéger les données ne consiste pas à interdire l’intelligence artificielle. Cela consiste à savoir quelles informations circulent, vers quels services, et selon quelles conditions contractuelles.

Trois mesures couvrent l’essentiel du risque : classer l’information par sensibilité, souscrire des offres professionnelles avec des engagements écrits, et désigner quelqu’un à qui poser les questions.

Websider intervient sur le volet opérationnel de ces sujets et travaille en coordination avec vos conseils juridiques et vos responsables de la sécurité, à qui revient la validation des aspects réglementaires.