La première protection consiste à ne pas envoyer la donnée
La relation entre IA et confidentialité des données commence avant le choix d’un réglage. Lorsqu’un assistant peut accomplir la tâche avec un exemple fictif, un extrait anonymisé ou une question générale, il n’a pas besoin du document original.
Cette règle réduit le risque le plus simplement possible. Un service peut offrir des contrôles utiles, mais une donnée absente ne peut ni être conservée par erreur ni apparaître dans une conversation partagée. Avant de coller un texte ou d’importer un fichier, demandez-vous quelle information est réellement nécessaire au résultat.
Les conditions diffèrent selon le fournisseur, le pays, la formule et le type de compte. Un espace professionnel administré ne suit pas forcément les mêmes règles qu’un compte personnel. Vérifiez les informations affichées dans votre produit et les politiques de votre organisation au moment de l’usage.
Étape 1 : classez l’information avant d’ouvrir l’outil
Une classification simple suffit pour éviter beaucoup d’erreurs. Adaptez-la aux règles de votre organisation.
Information publique
Une page déjà publiée, un communiqué ou votre propre texte destiné au public présente généralement moins de risque. Il faut malgré tout respecter le droit d’auteur, les licences et les conditions du service. Public ne signifie pas libre de toute contrainte.
Information interne
Un brouillon, une procédure, des chiffres non publiés ou des notes de réunion peuvent révéler le fonctionnement d’une organisation. N’utilisez ces éléments que dans un outil approuvé, avec le compte et les réglages prévus pour cet usage. Retirez ce qui ne sert pas la tâche.
Information sensible ou réglementée
Les données de santé, identifiants, informations financières, secrets, dossiers RH, coordonnées précises et données concernant des personnes exigent une attention renforcée. Ne les envoyez pas dans un assistant grand public par défaut. Consultez le responsable de la sécurité, le DPO ou le service juridique lorsque le cadre n’est pas clair.
Cette classification n’est pas un avis juridique. Elle sert à interrompre le geste automatique du copier-coller et à retrouver la règle compétente avant l’envoi.
Étape 2 : réduisez le contenu à ce qui change la réponse
La CNIL place la finalité et la minimisation parmi les questions centrales lorsqu’un traitement d’IA porte sur des données personnelles. En pratique, décrivez le résultat puis retirez chaque information qui n’est pas nécessaire pour l’obtenir.
Pour reformuler un e-mail, remplacez le nom, l’adresse, le numéro client et les montants précis par des repères neutres. Pour analyser des retours, supprimez les coordonnées et les détails qui permettent de reconnaître une personne. Pour tester un classement, utilisez dix lignes fictives avant de charger le fichier complet.
L’anonymisation véritable est difficile : plusieurs détails apparemment banals peuvent identifier quelqu’un lorsqu’ils sont réunis. Si vous avez seulement remplacé le nom, parlez plutôt de pseudonymisation ou d’expurgation et continuez à traiter le contenu avec prudence.
Étape 3 : examinez le produit, le compte et les réglages
Ne vous contentez pas du nom du fournisseur. Repérez le produit exact, la formule, le compte connecté et les contrôles activés. Les fournisseurs publient des centres de confidentialité et des pages de contrôle des données, mais leurs options peuvent évoluer.
Vérifiez notamment :
- si les conversations peuvent être utilisées pour améliorer les modèles ;
- comment désactiver cet usage lorsqu’une option existe ;
- combien de temps les données et fichiers sont conservés ;
- comment supprimer une conversation ou un compte ;
- où se trouvent les données et quels sous-traitants interviennent ;
- quelles protections supplémentaires existent pour les offres professionnelles.
Une conversation temporaire peut réduire certains usages ou la durée d’affichage, sans transformer une donnée sensible en contenu approprié. Lisez la portée exacte de la fonction. Une option au nom rassurant ne remplace pas les conditions complètes.
Étape 4 : séparez les comptes personnels et professionnels
Un compte personnel connecté sur un ordinateur de travail crée une zone floue. Les fichiers, l’historique et les réglages ne sont plus gérés par l’organisation. À l’inverse, un espace professionnel peut appliquer des contrôles, une authentification et des règles de conservation définis par l’administrateur.
Utilisez le compte autorisé pour la tâche. Ne contournez pas une restriction en copiant le contenu vers un service personnel. Si l’outil approuvé ne propose pas une fonction, demandez une alternative au lieu de déplacer le risque hors du champ de contrôle.
Pour une petite entreprise ou une association sans équipe dédiée, documentez au minimum les outils autorisés, les données interdites et la personne qui valide un nouveau service. Une page claire vaut mieux qu’une règle implicite connue de personne.
Étape 5 : contrôlez aussi les résultats et les partages
La confidentialité ne s’arrête pas à l’entrée. Une réponse peut reprendre un nom, un extrait ou une information que vous aviez fournie. Relisez-la avant de l’envoyer, de la publier ou de la coller dans un autre système.
Vérifiez les liens de partage. Une conversation destinée à un collègue peut devenir accessible à toute personne possédant le lien selon le service et les paramètres. Préférez les canaux approuvés, limitez les destinataires et retirez l’accès lorsqu’il n’est plus utile.
Ne demandez pas à l’assistant de prendre seul une décision concernant une personne. Pour un recrutement, un crédit, un soin ou une évaluation, les enjeux dépassent la simple protection d’un fichier. Faites intervenir les responsables compétents et vérifiez les règles applicables au traitement.
Une checklist avant chaque import
Posez ces questions dans l’ordre :
- Quel résultat précis est attendu ?
- Puis-je l’obtenir avec des données fictives ou publiques ?
- Ai-je retiré les champs et passages inutiles ?
- Le service, le compte et la formule sont-ils autorisés ?
- Les réglages de données correspondent-ils à cet usage ?
- Les personnes concernées et les destinataires sont-ils correctement pris en compte ?
- Saurai-je supprimer, retrouver et expliquer ce qui a été envoyé ?
Si une réponse manque, arrêtez l’import et clarifiez le point. Cette pause est plus rapide qu’une enquête après un partage inapproprié.
Pour les usages courants, notre guide pour utiliser ChatGPT rappelle comment travailler avec des exemples neutres. La grille de l’outil IA gratuit aide aussi à comparer la confidentialité avec la qualité et le temps de correction.
Trois scénarios concrets
Reformuler un message client
Retirez l’identité, les coordonnées, le numéro de commande et les détails non nécessaires. Remplacez-les par des balises comme [client] et [délai]. Réinsérez les vraies informations après la relecture, dans l’outil de communication prévu.
Résumer une réunion interne
Vérifiez que la transcription et l’assistant sont autorisés. Informez les participants selon le cadre applicable. Limitez l’import aux passages utiles, contrôlez les noms dans la sortie et partagez le résumé uniquement avec les personnes concernées.
Analyser un tableau de retours
Supprimez les identifiants directs et les colonnes inutiles. Regroupez les réponses lorsque le détail individuel ne sert pas l’analyse. Testez d’abord la consigne sur un petit échantillon fictif, puis documentez le service et la date de traitement.
Les fausses assurances à éviter
« Les données sont chiffrées » ne répond pas à toutes les questions. Il faut aussi comprendre l’usage, la conservation, les accès et la suppression. « Le fournisseur est européen » ne suffit pas davantage : examinez le produit et le contrat précis.
Une politique publiée n’autorise pas automatiquement votre traitement. Votre organisation peut avoir des obligations supplémentaires liées au secteur, au contrat ou aux personnes concernées. De même, un outil techniquement privé peut produire une réponse fausse ou inappropriée.
Enfin, ne supposez pas qu’un texte sans nom est anonyme. Une fonction, une date rare, un lieu et un événement peuvent suffire à reconnaître une personne. Relisez l’ensemble du contexte, pas seulement les champs évidents.
À retenir
Protéger les données face à l’IA consiste d’abord à définir le but, classer l’information et réduire ce qui est envoyé. Vérifiez ensuite le produit, le compte, les réglages, la conservation et les partages. Pour un usage professionnel ou sensible, suivez la politique de l’organisation et demandez l’avis du DPO, du service juridique ou de la sécurité lorsqu’un doute subsiste.
