Tu colles un extrait de fichier client dans un assistant IA pour gagner dix minutes. La question n’est pas de savoir si c’est pratique, c’est de savoir ce que tu viens de faire de ces données. Le RGPD ne connaît pas la catégorie outil IA, il connaît le traitement de données personnelles, et coller du texte dans un service en ligne en est un. Cette page fait le tour de ce que tu peux mettre dans un outil IA, de ce qu’il vaut mieux ne jamais y mettre, et des réglages qui changent réellement quelque chose.
La question qui décide de tout
Avant de parler de conformité, il faut trancher un point simple : ce que tu envoies contient-il des données personnelles ?
Une donnée personnelle, c’est toute information qui permet d’identifier quelqu’un, directement ou indirectement. Un nom, bien sûr, mais aussi une adresse mail, un numéro de téléphone, un identifiant client, une adresse IP, ou une combinaison d’éléments qui, mis bout à bout, désignent une seule personne.
Le piège classique, c’est le verbatim. Un avis client anonymisé qui mentionne une commande, une ville et une date redevient identifiant sans qu’aucun nom n’apparaisse.
Si la réponse est non, la plupart des questions qui suivent disparaissent. Si la réponse est oui, tu es dans le champ du règlement, quel que soit l’outil.
Ce que tu ne devrais jamais coller
Certaines catégories appellent une prudence particulière, parce que la fuite y coûte cher et parce que le règlement les protège davantage.
- Les données de santé, les opinions politiques ou syndicales, les convictions religieuses, l’orientation sexuelle, les données biométriques. Ce sont des catégories dites sensibles, et leur traitement est interdit par principe, avec des exceptions étroites.
- Les données bancaires, les numéros de sécurité sociale, les pièces d’identité.
- Les dossiers de salariés, les comptes rendus d’entretien, les motifs d’absence.
- Les échanges couverts par un secret professionnel ou par une clause de confidentialité signée avec un client.
- Le code propriétaire et les documents stratégiques, qui ne relèvent pas du RGPD mais du secret des affaires, avec les mêmes conséquences pratiques.
La règle simple à retenir : si tu n’enverrais pas ce contenu par mail à un prestataire externe sans contrat, ne le colle pas dans un outil IA.
Les trois réglages qui comptent vraiment
L’entraînement sur tes données
C’est le point le plus important et le plus mal connu. Selon l’offre et le réglage, ce que tu envoies peut servir à améliorer le modèle. Les offres grand public activent souvent cette option par défaut, les offres professionnelles la désactivent généralement.
Cherche dans les paramètres la mention relative à l’amélioration du service ou à l’entraînement des modèles, et vérifie son état. C’est un interrupteur, pas une négociation.
La durée de conservation
Beaucoup d’outils conservent l’historique des conversations par défaut, parfois indéfiniment. Regarde s’il existe une option de non-conservation, ou une durée paramétrable. Un historique conservé est un historique qui peut fuiter.
La localisation des serveurs
Un transfert de données hors de l’Union européenne n’est pas interdit, mais il doit reposer sur un cadre juridique. Les grands fournisseurs proposent aujourd’hui des options d’hébergement européen, souvent réservées aux offres entreprise. Si tes données sont sensibles, c’est un critère de choix, pas un détail.
Le contrat que personne ne lit
Dès qu’un outil traite des données personnelles pour ton compte, il devient sous-traitant au sens du règlement, et cette relation doit être encadrée par un contrat écrit.
Concrètement, les fournisseurs sérieux publient un accord de traitement des données, souvent appelé DPA, que tu peux accepter en ligne. Il précise ce que le prestataire fait des données, combien de temps il les garde, où il les héberge, et quels sous-traitants il utilise à son tour.
Ce document n’est pas une formalité : sans lui, c’est toi qui portes seul la responsabilité. Vérifie qu’il existe avant de déployer un outil dans une équipe, pas après.
Pense aussi à ton registre des traitements. Ajouter un outil IA à un processus existant, c’est modifier ce traitement, et cela doit y figurer.
Les bons réflexes au quotidien
La conformité ne tient pas qu’à des documents. Trois habitudes réduisent le risque bien plus efficacement.
Pseudonymise avant d’envoyer. Remplace les noms par des étiquettes, les mails par des identifiants génériques. La plupart des demandes fonctionnent aussi bien avec Client A qu’avec le nom réel.
Réduis à ce qui est utile. Le règlement appelle ça la minimisation, et c’est aussi du bon sens : colle l’extrait nécessaire, pas le fichier entier.
Écris une règle d’équipe. Une page qui dit quels outils sont autorisés, pour quels usages et avec quelles données vaut mieux que dix interdictions floues. Sans cadre clair, chacun improvise, et c’est là que les fuites arrivent. Nos repères sur les agents IA en relation client montrent bien à quel point ces flux touchent vite des données réelles.
Le cas des outils qui écoutent tes réunions
Les assistants qui transcrivent et résument une réunion posent une question supplémentaire : les autres participants sont concernés, et ils doivent être informés.
Informer ne veut pas dire glisser une mention à la fin. Annonce l’enregistrement au début, indique ce qui sera conservé, et laisse une possibilité de refus. Dans certains contextes, notamment avec des salariés, l’information doit aussi passer par les canaux internes prévus.
Nos explications sur ce que l’IA change aux comptes rendus de réunion détaillent l’usage lui-même, qui reste utile à condition de poser ce cadre.
Ce que ça change pour ton choix d’outil
Sur le plan pratique, quatre questions suffisent à écarter la majorité des mauvais candidats.
- L’éditeur propose-t-il un accord de traitement des données accessible sans négociation ?
- L’entraînement sur tes contenus est-il désactivable, et l’est-il par défaut sur l’offre pro ?
- Où sont hébergées les données, et peux-tu choisir ?
- Quelle est la durée de conservation, et peux-tu supprimer un historique ?
Un outil qui ne répond clairement à aucune de ces quatre questions n’est pas un outil moins cher, c’est un risque que tu prends à sa place.
Le droit des personnes ne disparaît pas
Un point est souvent oublié quand un outil IA entre dans un processus : les personnes concernées gardent leurs droits, et tu dois pouvoir les honorer.
Si un client demande l’accès à ses données ou leur suppression, tu dois savoir où elles sont passées. Un historique de conversation stocké chez un éditeur tiers en fait partie. Un outil qui ne permet ni l’export ni l’effacement d’un historique te met dans l’incapacité de répondre à une demande parfaitement légitime.
Pose-toi la question à l’installation, pas le jour où la demande arrive : où sont les données, qui peut les extraire, et en combien de temps.
Un mot de prudence
Cette page donne des repères pratiques, elle ne remplace pas un avis juridique. Une analyse d’impact peut être obligatoire selon ton secteur et le volume de données concerné, et un délégué à la protection des données ou un avocat spécialisé reste nécessaire pour trancher un cas particulier.
Ce qui est sûr, c’est que le réflexe le plus rentable ne coûte rien : avant de coller, demande-toi qui apparaît dans ce texte.