Pour les organisations
L'IA générative est devenue un outil de travail, mais elle soulève des questions concrètes de confidentialité : que deviennent les données clients ou RH saisies dans un chatbot, comment rester conforme au RGPD, quelles offres éviter l'entraînement sur vos données ? Ce guide s'adresse aux PME, aux indépendants et aux DPO : risques, offres pro et API, AIPD, charte d'usage, hébergement, rôle du délégué à la protection des données et secret professionnel.
Les risques
Avant de déployer un outil d'IA, il faut identifier les risques propres au contexte professionnel. Ils diffèrent de l'usage personnel : ce ne sont pas vos données que vous confiez, mais celles de clients, de salariés et de partenaires.
| Risque | En quoi il consiste | Comment le réduire |
|---|---|---|
| Fuite de données confidentielles | Un salarié saisit un document sensible dans un outil grand public : le contenu quitte l'entreprise. | Charte d'usage, offres pro cadrées, sensibilisation. |
| Entraînement sur vos données | Sur des comptes grand public, les échanges peuvent servir à améliorer les modèles. | Choisir des offres Enterprise/API sans entraînement. Voir refuser l'entraînement. |
| Non-conformité RGPD | Traitement sans base légale, sans information des personnes, sans encadrement des transferts. | Base légale, information, AIPD si nécessaire, registre. Voir RGPD & IA. |
| Secret professionnel | Saisie d'informations couvertes par le secret (santé, droit, comptabilité). | Anonymisation, offres à garanties fortes, ou abstention. |
Ce guide est indépendant et informatif ; il ne constitue pas un conseil juridique. Pour les recommandations officielles, consultez la CNIL — Intelligence artificielle. Le cadre européen est précisé par l'AI Act, qui complète le RGPD sans le remplacer.
Les bonnes pratiques
Quatre leviers concrets pour utiliser l'IA au travail sans exposer vos données ni celles de vos clients. Ils valent autant pour une PME que pour un indépendant.
Les offres Team, Enterprise et API des grands fournisseurs prévoient en général de ne pas entraîner les modèles sur vos données, avec des garanties contractuelles. Vérifiez les clauses de traitement des données propres à chaque offre : les engagements varient.
Ces données personnelles, parfois sensibles, exigent une base légale, la minimisation des informations identifiantes et l'information des personnes concernées. Réservez-les à des outils cadrés et associez votre référent protection des données.
Beaucoup de traitements ont lieu hors UE. Contrôlez, dans le contrat, les lieux d'hébergement, les sous-traitants et les garanties de transfert (clauses contractuelles types, adéquation). La localisation influe sur vos risques.
Répartir les usages entre plusieurs outils, plutôt que de tout centraliser chez un seul acteur, limite l'exposition du contexte de l'entreprise. Privilégiez des offres prévoyant l'absence d'entraînement et des garanties contractuelles ; voir les options orientées vie privée.
Approfondir : RGPD & IA · CNIL & IA · AI Act · refuser l'entraînement
La gouvernance
Au-delà des outils, la conformité repose sur quelques documents et un pilotage. Rien d'insurmontable, même pour une petite structure.
| Dispositif | À quoi il sert | Bon à savoir |
|---|---|---|
| AIPD (analyse d'impact) | Évaluer et réduire les risques d'un traitement susceptible d'engendrer un risque élevé pour les personnes. | Peut être obligatoire pour un déploiement d'IA à grande échelle. La CNIL fournit une méthode et un outil (PIA). |
| Charte d'usage de l'IA | Fixer les outils autorisés, les données interdites de saisie, les vérifications à effectuer et les contacts en cas de doute. | À adapter à l'activité, à diffuser, à faire connaître et à mettre à jour régulièrement. |
| DPO / référent | Conseiller, veiller à la conformité, tenir le registre des traitements, faire le lien avec la CNIL. | Même sans DPO obligatoire, désigner un référent protection des données est une bonne pratique. |
Ressources utiles : la méthode et l'outil d'analyse d'impact de la CNIL (AIPD/PIA) et ses recommandations sur l'IA. Pour toute décision engageant l'organisation, faites valider votre analyse par un conseil compétent : ce guide est informatif et non juridique.
FAQ
Les risques les plus fréquents sont la fuite de données confidentielles saisies dans un outil grand public, l'usage de conversations pour entraîner des modèles, la perte de maîtrise sur la localisation des données, la violation du secret professionnel, et l'atteinte aux droits des personnes (clients, salariés). S'y ajoutent des risques de non-conformité RGPD et de dépendance à un fournisseur. Une gouvernance claire et des offres adaptées réduisent fortement ces risques.
En règle générale, les offres professionnelles (Team, Enterprise, API) des grands fournisseurs prévoient de ne pas utiliser les données de l'organisation pour entraîner les modèles de base, avec des garanties contractuelles à l'appui. Le comportement peut différer des comptes grand public. Il faut toutefois le vérifier dans le contrat et les conditions propres à chaque offre, car les engagements varient et évoluent. Ne présumez rien : lisez les clauses de traitement des données.
Ce sont des données personnelles soumises au RGPD, souvent sensibles. Il ne faut les traiter dans une IA que sur une base légale claire, avec une offre garantissant l'absence d'entraînement et un encadrement approprié, en minimisant les données identifiantes et en informant les personnes concernées. Les données RH (santé, évaluations) et certaines données clients exigent une vigilance particulière. En cas de doute, associez le délégué à la protection des données (DPO).
L'analyse d'impact relative à la protection des données (AIPD, ou DPIA) est une démarche prévue par le RGPD pour évaluer et réduire les risques d'un traitement susceptible d'engendrer un risque élevé pour les personnes. Le déploiement d'un système d'IA traitant des données personnelles à grande échelle ou de façon innovante peut la rendre obligatoire. Elle documente les finalités, les risques et les mesures. La CNIL fournit une méthode et un outil ; vérifiez si votre projet la nécessite.
C'est fortement recommandé. Une charte d'usage de l'IA fixe des règles claires : quels outils sont autorisés, quelles données peuvent ou non y être saisies, comment vérifier les résultats, qui contacter en cas de doute. Elle protège l'entreprise et les salariés, réduit les fuites accidentelles et facilite la conformité. Adaptez-la à votre activité, formez les équipes et mettez-la à jour régulièrement, car les outils et les règles évoluent vite.
Beaucoup de fournisseurs d'IA hébergent des traitements hors de l'Union européenne, notamment aux États-Unis. Le RGPD encadre ces transferts par des garanties (clauses contractuelles types, cadre d'adéquation). La localisation de l'hébergement influe sur les risques juridiques et sur les exigences de certaines organisations. Vérifiez, dans le contrat et la politique de confidentialité, les lieux d'hébergement, les sous-traitants et les garanties appliquées avant de déployer un outil.
Le délégué à la protection des données (DPO) conseille l'organisation, veille au respect du RGPD, participe aux analyses d'impact, tient le registre des traitements et fait le lien avec la CNIL. Face à l'IA, il aide à choisir des offres conformes, à cadrer les usages, à informer les personnes et à documenter les décisions. Même sans DPO obligatoire, désigner un référent protection des données est une bonne pratique pour une PME ou un indépendant.
Les professions soumises au secret (santé, droit, comptabilité, etc.) doivent être particulièrement prudentes : saisir des informations couvertes par le secret dans un outil grand public peut constituer un manquement. Privilégiez des offres à garanties contractuelles fortes, sans entraînement, avec un hébergement maîtrisé, anonymisez au maximum, et n'utilisez ces outils que si le cadre le permet. En cas de doute, abstenez-vous et prenez conseil auprès de votre ordre ou d'un juriste.