Vous devez répondre à un appel d’offres, résumer un compte rendu ou préparer un courrier délicat. Le réflexe est tentant : copier le document dans ChatGPT et demander une synthèse. En quelques secondes, le travail est fait. Mais quelles informations venez-vous réellement de transmettre ?
La question du RGPD et de l’IA en entreprise ne concerne pas uniquement les grandes sociétés. Une facture, un CV, un fichier clients ou un échange avec un administré peuvent contenir des données personnelles. Cette checklist vous aidera à distinguer ce qui peut être utilisé, ce qui doit être anonymisé et ce qui ne devrait pas quitter vos outils habituels.
La bonne question n’est pas seulement « Puis-je utiliser ChatGPT ? », mais « Quelles données sont nécessaires pour obtenir le résultat attendu ? »
Table des Matières
Pourquoi un simple copier-coller peut-il poser problème ?
Une IA générative est un service externe auquel vous envoyez des informations. Selon l’outil, l’abonnement et les réglages choisis, ces contenus peuvent être conservés pendant une certaine durée, traités hors de votre environnement informatique ou utilisés pour améliorer le service.
Deux catégories de risques doivent être distinguées. Le premier relève du RGPD : il apparaît dès qu’une information permet d’identifier directement ou indirectement une personne. Un nom, une adresse électronique, un numéro de téléphone ou une plaque d’immatriculation sont des exemples évidents. Une fonction précise, une situation familiale ou plusieurs détails recoupés peuvent aussi rendre quelqu’un identifiable.
Le second risque concerne la confidentialité de l’entreprise. Une marge commerciale, une formule de fabrication, une proposition de rachat ou un mot de passe ne sont pas nécessairement des données personnelles. Leur divulgation peut pourtant avoir des conséquences importantes.
Le fait qu’une information soit déjà publique ne dispense pas non plus de toute précaution. Les données figurant sur LinkedIn ou sur un annuaire restent des données personnelles. Leur réutilisation doit conserver une finalité légitime et proportionnée.
Quelles données pouvez-vous confier à une IA générative ?
Il n’existe pas de liste valable pour toutes les entreprises et tous les outils. Une méthode simple consiste néanmoins à classer les informations en trois niveaux avant de rédiger un prompt.
Niveau vert : les données généralement exploitables
Cette catégorie comprend les contenus génériques, publics ou suffisamment anonymisés pour qu’aucune personne ne puisse être retrouvée. Vous pouvez, par exemple, demander des idées de publications pour une boulangerie, améliorer un texte commercial sans coordonnées clients ou créer la structure d’une procédure générale.
Un commerçant de Poligny peut faire reformuler la description de ses services. Une association peut demander un modèle neutre de convocation. Une PME peut produire une trame d’entretien annuel vide. Dans ces situations, l’IA travaille sur le fond sans avoir besoin de connaître l’identité des personnes concernées.
Niveau orange : les données à minimiser et à encadrer
Il s’agit des informations personnelles courantes ou des documents internes qui peuvent parfois être nécessaires : historique d’une demande client, extrait de contrat, données d’activité ou compte rendu de réunion.
Avant tout envoi, remplacez les noms par des rôles ou des références neutres. « Madame Martin, responsable des achats chez X » devient « la responsable des achats du client A ». Retirez les adresses, signatures, numéros de dossier et détails inutiles.
Attention : remplacer un nom par un numéro est une pseudonymisation, pas toujours une anonymisation. Si votre entreprise conserve une table permettant de retrouver la personne, la donnée reste soumise au RGPD. Cette méthode réduit le risque, mais ne le supprime pas.
Niveau rouge : les données à ne pas transmettre dans un outil grand public
Écartez par défaut les mots de passe, clés d’accès, coordonnées bancaires, dossiers médicaux, données biométriques, opinions politiques, convictions religieuses, appartenance syndicale et informations relatives à la vie sexuelle. Le RGPD accorde une protection particulière à plusieurs de ces données dites sensibles.
La même prudence s’impose pour les dossiers disciplinaires, pièces d’identité, bulletins de salaire, litiges en cours, secrets de fabrication et documents couverts par une obligation de confidentialité. Un cabinet libéral ne devrait pas envoyer un dossier client complet simplement pour obtenir un résumé. Une collectivité ne devrait pas copier une demande sociale nominative dans un chatbot ouvert.
Ces informations ne sont pas nécessairement interdites dans tout projet d’IA. Leur traitement exige toutefois une architecture adaptée, des garanties contractuelles, des accès contrôlés et, selon le cas, une analyse d’impact. Ce n’est plus un usage improvisé.
Quelle checklist appliquer avant chaque prompt ?
Avant de copier un document dans ChatGPT, Claude, Gemini ou un autre assistant, prenez une minute pour suivre ces étapes. Elles évitent la majorité des erreurs courantes.
- Définissez le résultat attendu. Voulez-vous résumer, classer, reformuler ou extraire une information ? Une demande précise limite la quantité de données envoyées.
- Repérez les personnes identifiables. Recherchez les noms, coordonnées, identifiants, signatures, visages et détails permettant un recoupement.
- Supprimez ce qui n’est pas nécessaire. Pour corriger le ton d’un courrier, l’IA n’a généralement besoin ni du nom du destinataire ni de son historique complet.
- Remplacez les éléments utiles par des termes neutres. Utilisez « client A », « salarié B », « commune C » ou des montants fictifs lorsque les chiffres exacts n’apportent rien.
- Vérifiez la confidentialité métier. Posez-vous une question simple : serais-je à l’aise si ce contenu était lu par un prestataire extérieur ?
- Contrôlez l’outil et le compte utilisés. Un compte personnel gratuit n’offre pas forcément les mêmes engagements qu’une version professionnelle ou une connexion par API.
- Faites valider le résultat par un humain. Une IA peut inventer un fait, déformer une nuance ou produire une réponse juridiquement inexacte.
Prenons le cas d’un artisan qui souhaite relancer des devis. Il n’est pas nécessaire de transmettre tout son fichier clients. L’IA peut rédiger trois modèles à partir d’une situation fictive. L’outil de gestion ou une solution comme Brevo se charge ensuite de personnaliser et d’envoyer les messages dans un cadre maîtrisé.
Comment choisir et configurer un outil compatible avec vos obligations ?
Le nom de l’outil ne suffit pas. Les conditions dépendent souvent de l’offre utilisée. Une version professionnelle de ChatGPT ou d’un autre service peut proposer une meilleure gestion des comptes, des engagements sur l’utilisation des contenus, des durées de conservation spécifiques et des fonctions d’administration.
Avant le déploiement, vérifiez au minimum la finalité du traitement, la base légale, les durées de conservation, les lieux de traitement, les éventuels transferts hors de l’Union européenne, les sous-traitants mobilisés et les conditions d’utilisation des données pour entraîner les modèles. Consultez également l’accord de traitement des données proposé par l’éditeur.
La CNIL recommande notamment de partir d’un besoin concret, de minimiser les données et d’encadrer les usages. Si des données personnelles sont traitées, l’entreprise reste responsable de ses choix. Il peut être nécessaire de compléter le registre des traitements, d’informer les personnes et de prévoir une procédure pour exercer leurs droits.
Pour un usage ponctuel sans données personnelles, un assistant généraliste bien réglé peut suffire. Pour des opérations répétées, une connexion par API à un système comme Make ou n8n offre davantage de contrôle sur les flux. Pour des informations très sensibles, une solution isolée ou hébergée dans un environnement maîtrisé peut être préférable. Elle demande cependant plus de compétences, de maintenance et de budget.
Un projet associant site internet, formulaire et traitement intelligent doit être pensé comme un ensemble. C’est l’approche suivie par une agence web à Lons-le-Saunier orientée vers les systèmes intelligents : la protection des données se décide dès la conception, pas après la mise en ligne.
Comment déployer l’IA sans bloquer les équipes ?
Interdire totalement les outils d’IA est rarement une réponse durable. Les collaborateurs risquent de les utiliser discrètement, avec leurs comptes personnels et sans règle commune. À l’inverse, autoriser tous les usages sans contrôle expose inutilement l’entreprise.
Une politique interne courte est souvent plus efficace qu’un document juridique illisible. Elle peut tenir sur une ou deux pages et préciser les outils autorisés, les données interdites, les règles d’anonymisation, les usages nécessitant une validation et la personne à contacter en cas de doute.
Commencez par un cas d’usage peu risqué : reformulation de contenus publics, préparation de trames, classement de demandes sans identité ou création de réponses types. Testez le gain réel pendant quelques semaines. Vous pourrez ensuite aborder des processus plus structurés.
Par exemple, une entreprise du Jura peut connecter un formulaire à Airtable, puis utiliser un modèle d’IA pour catégoriser les demandes. Les coordonnées restent dans la base métier tandis que l’IA ne reçoit que le texte strictement nécessaire, éventuellement nettoyé en amont. Un humain valide les cas ambigus.
Cette séparation entre les données d’identité et le contenu à analyser est particulièrement utile pour concevoir un site internet dans le Jura connecté aux processus de l’entreprise. Elle améliore à la fois la confidentialité, la fiabilité et la maintenance du système.
Dans quels cas faut-il se faire accompagner ?
Un accompagnement devient pertinent lorsque l’IA accède automatiquement à des courriels, un CRM, des dossiers salariés, une base clients ou des documents internes. Le risque ne vient alors plus d’un seul copier-coller. Il concerne tout un flux de données qui peut fonctionner chaque jour sans intervention humaine.
Il faut notamment cartographier les informations, limiter les droits d’accès, journaliser les actions, prévoir les erreurs et déterminer quand une validation humaine est obligatoire. Une analyse d’impact relative à la protection des données peut être nécessaire si le traitement présente un risque élevé pour les personnes. Sur ce point, le délégué à la protection des données ou un conseil juridique spécialisé doit être associé au projet.
L’accompagnement technique ne remplace pas le conseil juridique. Il permet de traduire les exigences en choix concrets : quel champ envoyer, quelle donnée masquer, combien de temps conserver un résultat et que faire si le service est indisponible.
Chez JKS Communication, l’objectif n’est pas d’ajouter de l’IA partout. Il consiste à identifier les tâches utiles, choisir un niveau de protection cohérent et construire, lorsque cela a du sens, un agent IA ou une automatisation réellement maîtrisée.
Comment avancer sereinement avec le RGPD et l’IA en entreprise ?
Vous n’avez pas besoin de bannir ChatGPT pour protéger votre entreprise. Vous devez en revanche éviter de lui confier des informations par habitude, sans vérifier leur utilité et les conditions de traitement.
Commencez simplement : choisissez un usage peu sensible, retirez toutes les données inutiles, utilisez un compte professionnel correctement configuré et formalisez quelques règles pour votre équipe. Vous pourrez ensuite développer des systèmes plus ambitieux sans perdre le contrôle.
Si vous souhaitez identifier les tâches qui méritent réellement d’être simplifiées, JKS Communication peut vous aider à cadrer le projet, à sélectionner les bons outils et à concevoir un dispositif adapté à votre activité. Un premier échange suffit souvent pour distinguer une bonne idée d’un risque inutile.
En résumé
- Une donnée publique ou pseudonymisée peut toujours relever du RGPD.
- Transmettez uniquement les informations indispensables au résultat attendu.
- Écartez les données sensibles, les accès et les documents hautement confidentiels.
- Vérifiez l’offre, les réglages et les engagements contractuels de l’outil.
- Encadrez les usages répétés avec des règles internes et une validation humaine.
