Ce que vos salariés ne doivent jamais confier à une IA
Contrats, fichiers clients, paie, code source : tout ne peut pas aller dans un assistant d'IA. Une règle simple en quatre niveaux pour savoir quelle donnée peut aller dans quel outil.
« Est-ce que je peux coller ça dans ChatGPT ? » C'est probablement la question la plus utile qu'un salarié puisse se poser avant d'utiliser l'IA. Encore faut-il qu'il sache y répondre. Voici une méthode simple, que vous pouvez adapter à votre entreprise.
Pourquoi la question se pose
Quand vous utilisez un outil d'IA en ligne, ce que vous saisissez est envoyé vers les serveurs d'un prestataire. Ce que devient ensuite cette information dépend de l'outil, du type de compte et des réglages : conservation, réutilisation pour améliorer le service, accès par le prestataire. Avec un compte personnel ou gratuit, votre entreprise n'a généralement aucun contrat qui l'encadre.
La CNIL recommande d'ailleurs aux organisations qui déploient une IA générative d'encadrer les usages, notamment en interdisant d'y saisir des données personnelles lorsque l'outil ne le permet pas, et de vérifier si le fournisseur peut réutiliser les données transmises.
Quatre niveaux de données
Le plus simple est de classer l'information avant de l'utiliser :
| Niveau | Exemples | Outil grand public, compte personnel | Outil validé par l'entreprise |
|---|---|---|---|
| Publique | Site web, plaquette, offre d'emploi publiée | Oui | Oui |
| Interne | Procédure, planning, note d'organisation | Non | Oui |
| Confidentielle | Tarifs, contrats, stratégie, code source | Non | Seulement si la politique de l'entreprise l'autorise |
| Personnelle | CV, fiche client nominative, paie, santé | Non | Seulement si l'usage est prévu et encadré |
La règle à retenir tient en une phrase : dans un outil grand public, seules les données publiques. En cas de doute sur le niveau d'une information, on choisit le plus protecteur.
Les données personnelles, un cas à part
Les données personnelles sont protégées par le RGPD, quelle que soit la taille de l'entreprise : nom, adresse mail, numéro de téléphone, numéro de salarié, photo, voix… Certaines sont particulièrement sensibles : santé, opinions, origine, données biométriques, mais aussi, en pratique, la paie, les évaluations ou les sanctions.
Envoyer ces données vers un outil sans base légale ni garanties sur leur traitement expose l'entreprise. Même avec un outil professionnel, l'usage doit être prévu, encadré, et validé par l'entreprise.
Comment utiliser l'IA sans exposer l'information
Avoir besoin de l'IA pour un sujet sensible ne veut pas dire renoncer. Deux solutions :
- Utiliser l'outil professionnel de l'entreprise, s'il existe et si la politique interne le permet.
- Généraliser la demande. Au lieu de coller le CV d'un candidat, demandez une grille d'évaluation pour le poste. Au lieu de coller un contrat client, demandez quels sont les points d'attention habituels d'une clause de pénalités de retard. Vous obtenez une aide utile sans transmettre l'information.
Attention : remplacer un nom par des initiales ne suffit pas toujours. « Le directeur commercial de notre filiale de Lyon, arrivé en mars » reste parfaitement identifiable. Anonymiser, c'est supprimer tout ce qui permet de reconnaître la personne ou l'entreprise.
Un exemple qui a marqué les esprits
En 2023, des ingénieurs de Samsung ont transmis du code source confidentiel à ChatGPT pour le faire corriger. L'information est sortie de l'entreprise, sans retour possible. Samsung a ensuite restreint l'usage des IA génératives par ses salariés. Le risque ne vient pas de la malveillance, mais d'un geste anodin, répété des dizaines de fois par jour.
Le bon réflexe
Avant de coller quoi que ce soit dans un outil d'IA, posez-vous la question : « Est-ce que j'ai le droit de transmettre cette information à ce prestataire-là ? » En cas de doute, demandez à votre responsable ou à votre référent informatique. Une question de deux minutes évite une fuite qui ne se rattrape pas.