Les données à ne jamais saisir dans un outil d’IA
La plupart des incidents liés à l’IA générative en entreprise ne viennent pas d’une attaque, mais d’un copier-coller trop rapide. Voici la liste à partager avec toutes les équipes, et les bons réflexes pour continuer à utiliser l’IA sans exposer l’entreprise.
Publié le 04/11/2026.
La règle générale
Dans un outil grand public ou un compte personnel : rien qui permette d’identifier une personne, rien de confidentiel pour l’entreprise. Dans l’outil professionnel validé par l’entreprise : uniquement ce que la charte autorise, en se limitant au strict nécessaire.
La liste
1. Les données personnelles de clients
Noms, adresses, emails, téléphones, numéros de contrat, historiques d’achat nominatifs. Le RGPD s’applique à leur traitement, y compris quand ils sont collés dans un assistant.
2. Les données des salariés et des candidats
Salaires, évaluations, arrêts maladie, situations familiales, sanctions, CV. Le Code du travail prévoit en outre qu’aucune information concernant personnellement un salarié ou un candidat ne peut être collectée par un dispositif non porté préalablement à sa connaissance (articles L1222-4 et L1221-9).
3. Les informations de santé
Toute information sur l’état de santé d’une personne, qu’il s’agisse d’un patient, d’un salarié ou d’un client. Voir structures de santé.
4. Les informations bancaires et identifiants
RIB, numéros de carte, mots de passe, clés d’accès à des logiciels, codes de connexion.
5. Les secrets d’affaires
Chiffres non publiés, marges, prix d’achat, stratégies, projets d’acquisition, procédés de fabrication, plans, code source propriétaire.
6. Les informations couvertes par un secret professionnel
Dossiers d’avocats, données traitées par un cabinet d’expertise comptable, informations médicales. Voir avocats et expertise comptable.
7. Les documents confiés par des tiers
Documents de clients ou de partenaires couverts par un accord de confidentialité, appels d’offres non publics, pièces transmises sous réserve.
Sources : articles L1222-4 et L1221-9 du Code du travail, code.travail.gouv.fr, consultés le 04/11/2026.
Les réflexes qui permettent quand même d’utiliser l’IA
- Anonymiser : remplacer « Mme Durand, 12 rue des Lilas » par « la cliente » avant de demander une réponse type.
- Extraire : ne coller que le paragraphe utile, pas le document entier.
- Généraliser : demander une trame ou un modèle, puis le compléter soi-même hors de l’outil.
- Utiliser l’outil validé : avec son compte professionnel, dont les réglages ont été vérifiés.
- Signaler : en cas de saisie par erreur, prévenir le référent ou le responsable sans attendre.
Une affiche pour les services
Avant de coller, je me demande : y a-t-il un nom, un chiffre interne, une information de santé, un identifiant ou un document confié par un tiers ? Si oui, j’anonymise ou je m’abstiens. En cas de doute, je demande.
Cette liste a sa place dans la charte IA de l’entreprise et dans toute formation. Pour le choix des outils et les questions à poser aux éditeurs, voir IA et confidentialité des données.
Former les équipes aux bons réflexes
Les exercices d’anonymisation font partie de toute formation sérieuse. Un organisme partenaire construit les cas à partir de vos documents types.