Données confidentielles et IA : la règle simple pour une TPE
Classez les informations avant de les copier dans un outil d’IA et installez une politique d’usage compréhensible par toute l’équipe.
Merouane BoulalÉditeur de Cresora IA · Méthode éditorialeObjectif : profiter de l’IA sans exposer les données des clients, des salariés ou de l’entreprise.
Une consigne ne protège pas une donnée
Un texte collé dans un service en ligne quitte votre environnement de travail habituel. Selon l’offre et ses réglages, il peut être conservé, journalisé ou utilisé pour améliorer le service. Il faut donc décider ce qui peut être transmis avant d’écrire le prompt.
La CNIL et France Num recommandent de ne pas introduire de données confidentielles, personnelles ou stratégiques dans les outils grand public. Cette règle doit devenir un réflexe partagé, pas une note oubliée dans une charte.
Si l’information causerait un problème en apparaissant dans un courriel envoyé au mauvais destinataire, ne la copiez pas dans un outil non validé.
Adopter trois niveaux de données
Créez une classification très courte. Niveau vert : contenus publics, exemples fictifs et documentation publiée. Niveau orange : informations internes qu’il faut anonymiser ou généraliser. Niveau rouge : données personnelles, contrats, secrets commerciaux, mots de passe et informations stratégiques.
Une classification sophistiquée que personne ne retient échoue. Affichez trois exemples de votre métier sous chaque niveau et désignez une personne à qui poser la question en cas de doute.
- Vert — publiable : catalogue public, horaires, FAQ validée
- Orange — à transformer : notes internes, statistiques agrégées, brouillons
- Rouge — interdit sans cadre validé : fichier client, contrat, santé, paie, identifiants
Anonymiser ne veut pas dire retirer le nom
Un client peut rester identifiable par son métier, sa ville, une date et un montant, même si son nom a disparu. Remplacez les détails par des catégories : « entreprise de services », « région Est », « budget moyen ».
Pour travailler sur une structure de document, créez un exemple synthétique qui conserve le format mais pas les faits. Vous pouvez ensuite reporter manuellement le résultat validé dans le document réel.
Choisir une offre adaptée au travail
Lorsque l’usage exige des données internes, examinez les garanties de l’offre professionnelle : traitement des données, conservation, localisation, contrôle administrateur, suppression, accès et clauses contractuelles.
Documentez la version de l’outil et les réglages choisis. Les services évoluent ; une vérification faite il y a un an n’est pas une politique permanente.
Écrire une charte d’une page
La charte précise les outils autorisés, les données interdites, les validations humaines et la personne à contacter. Ajoutez deux prompts validés et un exemple d’incident à signaler.
Formez l’équipe avec un exercice réel : classer cinq informations du quotidien. Une politique comprise et répétée protège mieux qu’un document juridique que personne n’ouvre.
Exemple : analyser des retours clients sans exposer les clients
Une TPE veut regrouper 60 commentaires issus de courriels. Ils contiennent noms, entreprises, commandes et parfois des informations sensibles.
- Retirer les coordonnées et identifiants de commande.
- Remplacer métier, ville et montant précis par des catégories.
- Conserver localement la table de correspondance, hors de l’outil.
- Tester sur dix exemples synthétiques avant le lot complet.
Résultat : L’analyse porte sur des thèmes et irritants agrégés. Aucun résultat individuel n’est utilisé pour décider contre une personne.
Point de vigilance : Une combinaison de détails peut réidentifier un client. Si le besoin exige les données réelles, utilisez une offre et un cadre contractuel validés.
Mini-charte d’usage
Outils autorisés : [liste]. Données vertes : [exemples]. Données orange : anonymiser et faire valider. Données rouges : interdites sans accord du référent. Toute sortie externe est relue. Tout incident, mauvaise destination ou contenu sensible généré est signalé à [contact].
Checklist avant de passer à l’action
- Finalité précise définie.
- Minimum de données transmis.
- Réidentification testée.
- Conservation et entraînement vérifiés.
- Accès administrateurs documentés.
- Suppression et export possibles.
- Incident signalable par toute l’équipe.
Ce qu’il faut encore savoir
Retirer le nom suffit-il ?
Non. Une personne peut rester identifiable grâce à plusieurs détails combinés. Généralisez aussi les lieux, dates, métiers rares et montants.
Peut-on envoyer un contrat dans un chatbot grand public ?
Pas par défaut. Un contrat peut contenir des données personnelles et des secrets commerciaux. Vérifiez l’offre, les réglages et le cadre contractuel avant tout transfert.
Qui doit valider l’outil ?
La personne responsable du traitement, de la sécurité ou de la direction selon la taille de l’entreprise, avec un conseil spécialisé lorsque le risque le justifie.
Sources et vérification
Les liens ci-dessous permettent de contrôler les informations réglementaires et les données citées. Consultation : 26 août 2026.
