IA au travail : les réflexes de confidentialité

Un assistant IA est un formidable accélérateur. Mais au bureau, chaque texte que vous y collez quitte votre machine. Avant d’en faire un réflexe, adoptez ces cinq précautions — puis vérifiez, avec la mini-checklist de fin, ce que votre outil fait réellement de vos données.

Qu’est-ce qu’une donnée sensible, au juste ?

Beaucoup de fuites viennent d’une sous-estimation : on croit ne partager « rien d’important ». Or une donnée n’a pas besoin d’être secrète pour être protégée. Trois catégories doivent déclencher votre vigilance :

• Donnée personnelle : tout ce qui permet d’identifier quelqu’un, directement ou non — nom, e-mail, numéro de client, mais aussi un faisceau d’indices (« le directeur financier de telle PME lyonnaise »). C’est le périmètre du RGPD.
• Donnée sensible au sens strict : santé, opinions, orientation, appartenance syndicale. Leur traitement est particulièrement encadré.
• Donnée confidentielle de l’entreprise : chiffres non publics, contrats, code, stratégie. Pas de RGPD ici, mais un risque concurrentiel bien réel.

Le point commun : dès qu’une de ces catégories apparaît dans ce que vous vous apprêtez à coller, les réflexes ci-dessous s’appliquent.

1. Partez du principe que tout ce que vous collez peut être traité ailleurs

Selon l’outil et l’offre, vos saisies peuvent transiter par des serveurs tiers, voire servir à améliorer le service. Ce n’est pas forcément un problème, mais c’est le point de départ : traitez chaque saisie comme une donnée qui sort de chez vous.

2. Ne collez jamais de données sensibles sans garantie

Données personnelles de clients, informations de santé, secrets industriels, identifiants : par défaut, on ne les met pas dans un assistant grand public. C’est particulièrement vrai pour les outils de transcription de réunion, qui captent des échanges souvent sensibles. Si vous en avez besoin, il faut une offre professionnelle avec des engagements clairs sur le traitement des données.

Certains secteurs sont plus exposés que d’autres : la santé (données de patients), le juridique (secret professionnel), les ressources humaines (dossiers salariés) manipulent par nature des informations dont la fuite a des conséquences directes. Dans ces métiers, l’assistant grand public est à proscrire pour les données réelles — et selon l’usage, l’AI Act européen fixe déjà des obligations.

3. Distinguez offre gratuite et offre professionnelle

Les versions professionnelles proposent en général des garanties absentes des versions gratuites : non-utilisation de vos données pour l’entraînement, hébergement encadré, gestion des accès. Pour un usage au travail, c’est souvent la condition minimale.

Ce tableau résume les différences qui comptent le plus au bureau. Les intitulés exacts varient d’un éditeur à l’autre : c’est une grille de lecture, à confronter à la politique réelle de votre outil.

Critère	Offre grand public (gratuite)	Offre professionnelle
Vos saisies servent-elles à l’entraînement ?	Souvent oui, sauf réglage contraire	En général non par défaut
Engagement écrit sur le traitement (DPA)	Rarement	Oui, contractuel
Hébergement / localisation des données	Peu ou pas documenté	Précisé et encadré
Gestion des accès (qui voit quoi)	Individuelle	Administrable par l’entreprise
Adapté aux données réelles de clients	Non	Oui, sous conditions

La lecture est simple : tant que vous n’avez pas d’engagement écrit, considérez que vos saisies peuvent être réutilisées.

4. Anonymisez quand c’est possible

Vous pouvez souvent obtenir une aide utile sans livrer les données réelles. Remplacez les noms, montants et identifiants par des exemples fictifs. Le modèle raisonne aussi bien sur un cas anonymisé.

Un exemple concret. Vous voulez de l’aide pour répondre à une réclamation, sans exposer le client :

• Avant (à ne pas coller) : « Mme Dupont, cliente n°44127, conteste la facture de 2 480 € du 12 mars pour le chantier de sa maison rue des Lilas à Lyon. »
• Après (anonymisé) : « Une cliente conteste une facture de [MONTANT] datée du [DATE] pour une prestation de [TYPE]. Rédige une réponse posée qui propose un rendez-vous. »

La demande garde tout son sens ; les données identifiantes, elles, ne sortent jamais. Vous réinsérez les vraies valeurs à la fin, dans votre traitement de texte.

5. Vérifiez la position de votre organisation

Beaucoup d’entreprises ont une politique sur l’usage de l’IA, parfois une liste d’outils autorisés. Avant d’industrialiser un usage, renseignez-vous. En France, la CNIL publie des repères utiles pour cadrer ces pratiques, et impose de toute façon les règles du RGPD dès qu’il y a des données personnelles.

La checklist : où trouver ce qu’un outil fait de vos données

Avant d’adopter un assistant pour un usage professionnel, cherchez ces quatre informations. Elles se trouvent dans la politique de confidentialité et, pour une offre pro, dans l’accord de traitement (DPA) :

• Entraînement : vos saisies servent-elles à améliorer le modèle ? Cherchez le mot « training » ou « amélioration du service ».
• Réglage opt-out : existe-t-il un interrupteur pour désactiver cette réutilisation ? Où, et est-il activé par défaut ?
• Hébergement : où les données sont-elles stockées, et pour combien de temps ?
• Suppression : pouvez-vous demander l’effacement de vos historiques, et comment ?

Si l’une de ces réponses est introuvable, traitez-la comme défavorable : un éditeur transparent affiche ces informations.

À retenir

L’IA au travail n’est pas interdite, elle est à encadrer. Un principe suffit à éviter l’essentiel des dérapages : ne confiez à un assistant que ce que vous accepteriez de voir sortir de votre organisation. Pour le reste, anonymisez, passez par une offre professionnelle — et vérifiez, politique en main, ce que l’outil fait vraiment de vos données.