IA générative et confidentialité des données
La première inquiétude des directions face à l’IA générative concerne les données : où partent les informations saisies, qui peut les lire, peuvent-elles ressortir ailleurs ? Voici les questions à se poser et les réflexes à installer dans les équipes.
Mis à jour le 04/11/2026. Ce guide est informatif ; pour un traitement de données particulier, consultez votre délégué à la protection des données ou votre conseil.
Ce qui se passe quand on saisit un texte
Quand un salarié colle un document dans un assistant d’IA, ce texte est envoyé aux serveurs de l’éditeur pour être traité. Selon l’offre et les réglages, il peut être conservé un certain temps, consulté dans certains cas par l’éditeur, ou utilisé pour améliorer les modèles. Les offres professionnelles et entreprise proposent en général des engagements plus protecteurs que les versions grand public, mais chaque contrat doit être lu : les conditions changent d’un éditeur à l’autre et dans le temps.
Les cinq questions à poser avant d’autoriser un outil
- Les données saisies servent-elles à entraîner les modèles ?Et si oui, peut-on le désactiver pour tous les comptes de l’entreprise ?
- Combien de temps sont-elles conservées ?Historique des conversations, fichiers joints, journaux.
- Où sont-elles traitées ?Localisation des serveurs, transferts hors de l’Union européenne et garanties associées.
- Qui administre ?L’entreprise peut-elle gérer les comptes, imposer des réglages, récupérer ou supprimer les données ?
- Quels documents contractuels ?Conditions d’utilisation, accord de traitement des données au sens du RGPD, engagements de sécurité.
Trois niveaux d’information
| Niveau | Exemples | Règle par défaut |
|---|---|---|
| Public | Pages de votre site, communiqués publiés, textes de loi | Utilisable dans les outils autorisés |
| Interne | Procédures, modèles de documents, notes d’organisation sans données personnelles | Uniquement dans l’outil validé par l’entreprise, avec compte professionnel |
| Protégé | Données personnelles de clients, salariés, candidats ; santé ; secrets d’affaires ; informations sous secret professionnel | Jamais, sauf outil et cadre spécifiquement validés pour ce traitement |
Les textes à garder en tête
- Le RGPD s’applique dès qu’une donnée personnelle est traitée, y compris lorsqu’elle est collée dans un assistant. L’entreprise doit pouvoir justifier la finalité, la base légale et les garanties.
- Le Code du travail prévoit qu’« aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance » (article L1222-4), et une règle équivalente pour les candidats (article L1221-9).
- Les secrets professionnels (avocats, professionnels de santé, experts-comptables) imposent des précautions particulières. Voir nos pages avocats, santé et expertise comptable.
Sources : articles L1222-4 et L1221-9 du Code du travail, code.travail.gouv.fr, consultés le 04/11/2026. La CNIL publie sur cnil.fr des recommandations sur l’intelligence artificielle et la protection des données.
Les réflexes à installer dans les équipes
- Utiliser uniquement l’outil validé, avec son compte professionnel
- Remplacer les noms par des rôles (« le client », « la candidate A ») avant de soumettre un texte
- Ne joindre que l’extrait utile d’un document, pas le fichier complet
- Vérifier les réglages de l’historique et du partage des conversations
- Signaler immédiatement au référent une donnée saisie par erreur
Ces réflexes se travaillent en formation, avec des exercices d’anonymisation sur des documents proches de vos dossiers. Ils trouvent leur place dans la charte IA de l’entreprise. Pour le choix d’un outil, voir le comparatif des assistants.
Une formation qui intègre vos règles
Indiquez vos contraintes de confidentialité : l’organisme partenaire construit des exercices sur des documents anonymisés et intègre vos règles internes.