Ce qu'il ne faut jamais coller dans une IA

Ce que vous écrivez dans une IA en ligne quitte votre ordinateur. Selon l'outil et l'offre, cela peut être conservé, relu par des humains ou utilisé pour entraîner les modèles. La règle la plus utile de tout ce guide tient en une phrase : je ne colle dans une IA que ce que je pourrais montrer à un inconnu sérieux.

Pourquoi c'est risqué

• Conservation : vos échanges sont gardés un certain temps, parfois plusieurs années si vous avez accepté l'amélioration des modèles (c'est le cas chez certains éditeurs, voir les fiches).
• Relecture humaine : plusieurs éditeurs indiquent qu'un échantillon de conversations peut être relu par des personnes.
• Entraînement : sur beaucoup d'offres gratuites ou individuelles, vos échanges peuvent servir à entraîner les modèles tant que vous ne l'avez pas désactivé.
• Fuite : l'ANSSI décrit les risques de fuite de données propres aux IA génératives, y compris des documents connectés à un assistant.
• Responsabilité : les données de vos clients et de vos salariés vous sont confiées. Le RGPD vous rend responsable de ce que vous en faites.

La liste rouge : jamais, dans aucun compte grand public

• Les mots de passe, codes d'accès, clés d'API, même « pour qu'il m'aide à configurer ».
• Les données de santé, d'origine, d'opinion politique, de religion, d'appartenance syndicale, d'orientation sexuelle : ce sont les données dites sensibles (article 9 du RGPD).
• Les données bancaires : IBAN, numéros de carte, relevés.
• Les pièces d'identité et numéros de sécurité sociale.
• Les dossiers nominatifs de clients, patients, adhérents, élèves ou salariés : fiches, évaluations, arrêts maladie, entretiens, litiges.
• Les secrets d'affaires : prix de revient, marges, stratégie, projets de rachat, contrats non signés, codes sources propriétaires.
• Ce qui est couvert par un secret professionnel ou un engagement de confidentialité (accord de non-divulgation, secret médical, secret de l'avocat ou de l'expert-comptable).

La zone orange : seulement avec le bon compte et après réflexion

• Des courriels de clients avec leurs noms et coordonnées.
• Des documents internes (procédures, comptes rendus) qui citent des personnes.
• Des enregistrements de réunions.
• Des chiffres d'activité non publiés.

Pour cette zone : un compte professionnel avec un contrat de sous-traitance (l'offre « entreprise » de l'outil), l'entraînement désactivé, et l'information des personnes concernées quand leurs données sont traitées.

Comment faire quand même

1. Anonymiser avant de coller

Remplacez les noms par des repères (« Client A », « Salariée B »), retirez les coordonnées, arrondissez les chiffres, supprimez les détails qui permettent de reconnaître quelqu'un. Attention : une personne peut rester reconnaissable par recoupement (un poste unique, une petite commune, une date précise).

2. Demander la méthode plutôt que le traitement

Au lieu de coller le tableau des salaires : « Quelle formule de tableur calcule l'ancienneté à partir d'une date d'entrée ? ». Vous appliquez ensuite vous-même, chez vous.

3. Choisir le bon compte

Un compte professionnel encadré (Copilot avec la protection des données entreprise, Gemini dans Google Workspace, ChatGPT Business ou Enterprise, Mistral Enterprise, etc.) n'a pas le même régime qu'un compte personnel gratuit. Chaque fiche outil détaille la différence.

4. Régler l'outil

Désactivez l'entraînement et, quand il existe, utilisez le mode temporaire ou « incognito ». Le chemin exact est dans chaque fiche outil.

Si c'est déjà fait

• Supprimez la conversation et, si l'outil le permet, demandez l'effacement des données associées.
• Un mot de passe ou une clé collé : changez-le tout de suite.
• Des données personnelles de tiers : parlez-en au responsable de la protection des données de votre structure (ou à la direction). Selon la gravité, il peut s'agir d'une violation de données à analyser au regard du RGPD (la CNIL publie les règles de notification).
• Expliquez ce qui s'est passé à l'équipe, sans chercher de coupable : c'est ainsi qu'on évite que cela se reproduise.

Pour aller plus loin

• CNIL : questions-réponses sur l'utilisation d'un système d'IA générative
• CNIL : s'opposer à la réutilisation de ses données par un agent conversationnel
• CNIL : notifier une violation de données personnelles