Quelles données ne faut-il jamais partager avec une IA au travail ?

Lorsque vous saisissez ou collez un contenu dans un outil d'IA générative grand public, ce contenu est envoyé sur les serveurs du fournisseur pour être traité. Selon les conditions d'utilisation de l'outil :

• Les données peuvent être conservées pendant une durée variable
• Elles peuvent être utilisées pour améliorer le modèle (entraînement)
• Elles peuvent être accessibles aux équipes du fournisseur à des fins de modération ou d'audit
• En cas de faille de sécurité, elles peuvent être exposées à des tiers non autorisés

Les offres entreprise avec accord de confidentialité (DPA) offrent des garanties supplémentaires — mais elles ne suppriment pas tous les risques, et elles ne sont pas toujours en place dans les organisations.

Un seul geste d'inattention peut générer plusieurs types de risques simultanément :

• Risque RGPD — exposition de données personnelles sans base légale adaptée
• Risque contractuel — violation d'une clause de confidentialité avec un client ou un partenaire
• Risque de sécurité — fuite d'informations stratégiques ou techniques sensibles
• Risque de réputation — divulgation involontaire d'informations sur des collaborateurs ou des tiers
• Risque pénal — dans certains cas, violation du secret professionnel ou des affaires

C'est l'un des pièges les plus fréquents : un seul document anodin en apparence peut combiner plusieurs catégories de données sensibles.

Exemple : un compte rendu de réunion peut contenir simultanément le nom d'un collaborateur (donnée personnelle), une information sur sa situation professionnelle (donnée RH), une décision commerciale non publique (secret des affaires) et une mention d'un client identifiable (donnée confidentielle contractuelle).

La question n'est donc pas seulement "ce document contient-il des données personnelles ?" — c'est "ce document contient-il des informations que je ne suis pas autorisé à faire transiter hors de l'organisation ?"

À proscrire absolument :

• Noms, prénoms, adresses, numéros de téléphone de personnes physiques
• Numéros de sécurité sociale, d'identité ou de passeport
• Données de santé : arrêts maladie, pathologies, handicaps, grossesses
• Données biométriques ou génétiques
• Données révélant l'origine ethnique, les opinions politiques, les convictions religieuses
• Données relatives à des condamnations pénales

Ces données sont protégées par le RGPD et leur traitement sans base légale adaptée expose l'organisation à des sanctions significatives de la CNIL.

À proscrire dans un outil grand public :

• Fiches de paie, niveaux de rémunération, primes individuelles
• Évaluations de performance nominatives
• Dossiers disciplinaires ou procédures en cours
• Informations sur un entretien de recrutement ou une candidature identifiée
• Situations personnelles ou professionnelles d'un collaborateur

Même reformuler "à partir" d'un dossier RH dans un outil non encadré constitue un risque. Pour ces usages, seuls des outils avec un accord de traitement de données (DPA) adapté sont acceptables.

À ne jamais partager sans encadrement :

• Coordonnées et données personnelles de clients identifiés
• Contrats en cours de négociation ou signés avec clauses de confidentialité
• Propositions commerciales ou devis non publics
• Informations couvertes par un accord de non-divulgation (NDA)
• Données financières non publiées (résultats, budgets, prévisions)
• Savoir-faire, formules, méthodes ou procédés protégés

La violation d'une clause de confidentialité contractuelle peut engager la responsabilité civile de l'organisation, indépendamment des obligations RGPD.

À proscrire absolument :

• Mots de passe, codes d'accès, tokens d'authentification
• Clés API ou certificats de sécurité
• Architectures réseau ou schémas d'infrastructure internes
• Codes source propriétaires non publiés
• Données de connexion ou journaux d'accès nominatifs

Ces informations peuvent être exploitées à des fins malveillantes si elles transitent dans un environnement non maîtrisé.

Un e-mail professionnel collé dans un outil d'IA peut contenir, sans que vous y ayez pensé :

• Le nom et les coordonnées de l'expéditeur ou du destinataire
• Des informations sur une situation en cours (litige, négociation, recrutement)
• Des données financières mentionnées en passant
• Des indications sur l'organisation interne ou les relations entre personnes

Réflexe : avant de coller un e-mail, demandez-vous si vous le transmettriez à un prestataire externe sans précaution particulière. Si non, ne le collez pas.

L'illusion "pas de nom = pas de risque" est l'un des pièges les plus fréquents. Un tableau peut sembler anonyme et pourtant permettre d'identifier des individus :

• Si le poste, le service et la tranche de salaire sont combinés dans une petite équipe
• Si la date d'entrée et la qualification permettent d'identifier un collaborateur spécifique
• Si un identifiant interne non nominatif est retraçable depuis un autre système

L'EDPB rappelle que l'anonymisation doit être irréversible pour être considérée comme effective — ce qui est rarement le cas avec des suppressions de colonnes simples.

Des documents qui ne semblent pas contenir de données personnelles peuvent pourtant être confidentiels :

• Un devis détaillé révèle la politique tarifaire de l'organisation
• Un compte rendu de réunion stratégique révèle des orientations non publiques
• Un document de projet contient des informations sur des partenaires ou des tiers
• Une présentation interne peut comporter des éléments couverts par le secret des affaires

La règle pratique : si ce document est marqué "confidentiel", "interne" ou "usage restreint", il ne doit pas transiter dans un outil d'IA sans cadre approprié — même pour une simple reformulation.

Avant de coller ou téléverser un contenu dans un outil d'IA, posez-vous ces cinq questions :

1. Ce contenu identifie-t-il une personne physique ? (nom, poste, situation personnelle, données de santé...)
2. Ce contenu est-il couvert par un accord de confidentialité ? (contrat client, NDA, clause interne...)
3. Ce contenu contient-il des informations stratégiques non publiques ? (chiffres, projets, négociations...)
4. L'outil utilisé est-il autorisé par mon organisation ? (outil validé, offre entreprise avec DPA...)
5. Puis-je reformuler ce besoin sans inclure les données sensibles ?

Si vous répondez oui à l'une des quatre premières questions et non à la cinquième, ne partagez pas.

Dans certains cas, il est possible d'utiliser l'IA sur un contenu sensible en le neutralisant au préalable :

• Remplacer les noms par des identifiants génériques (Collaborateur A, Client X)
• Supprimer les montants précis et les remplacer par des ordres de grandeur
• Reformuler la demande en décrivant la situation sans les données brutes
• Ne partager que la structure du document, pas son contenu réel

Cette neutralisation n'est pas toujours suffisante — si le contexte permet la re-identification, le risque subsiste. En cas de doute, la règle reste : ne pas partager.

La nature du contenu n'est pas le seul critère de décision. L'outil utilisé et le cadre interne de l'organisation jouent un rôle déterminant :

• Outil grand public sans contrat — réserver aux contenus sans aucune donnée sensible
• Offre entreprise avec DPA — élargit les usages possibles, mais ne supprime pas toutes les obligations
• Outil interne ou on premise — le niveau de garantie le plus élevé pour les données sensibles

Si votre organisation a défini une liste d'outils autorisés ou une politique d'usage, référez-vous-y avant tout partage. Si ce cadre n'existe pas encore, appliquez par défaut le principe de précaution maximum.

• ❌ Ne pas faire : coller un CV avec nom et coordonnées pour rédiger une synthèse ou un e-mail de retour
• ✅ À la place : décrire le profil en termes génériques ("candidat de 5 ans d'expérience en comptabilité") sans données nominatives

• ❌ Ne pas faire : téléverser le compte rendu d'un entretien annuel pour en extraire des axes de développement
• ✅ À la place : reformuler les axes à travailler sans mentionner le collaborateur ni ses données personnelles

• ❌ Ne pas faire : coller l'e-mail d'un client mécontent avec ses coordonnées pour obtenir une réponse rédigée
• ✅ À la place : décrire la situation ("un client exprime une insatisfaction sur un délai de livraison") et demander une trame de réponse

• ❌ Ne pas faire : téléverser un contrat client pour en extraire les clauses clés
• ✅ À la place : reformuler les questions juridiques de façon générique et consulter un juriste pour les clauses contractuelles

• ❌ Ne pas faire : charger un fichier Excel de paie pour en demander une synthèse ou des statistiques
• ✅ À la place : travailler sur des données agrégées et anonymisées, ou utiliser un outil interne adapté

• ❌ Ne pas faire : coller une procédure interne confidentielle pour la reformuler ou la simplifier
• ✅ À la place : décrire la structure souhaitée et rédiger la procédure à partir de zéro avec l'IA, sans partager l'original

Dire "soyez prudents avec les données" n'est pas une politique d'usage. Sans liste claire des outils autorisés, sans catégorisation des données interdites, sans processus de validation pour les cas douteux, les équipes improviseront — et les incidents surviendront.

Un cadre minimal n'a pas besoin d'être un document de 20 pages. Il peut tenir en une page : quels outils sont autorisés, quelles données sont interdites, qui contacter en cas de doute.

La définition du périmètre de données autorisées dans les outils IA implique généralement plusieurs fonctions :

• Le DPO ou responsable conformité — pour les données personnelles et les obligations RGPD
• Le RSSI ou responsable sécurité — pour les données techniques et les risques d'exposition
• La direction juridique — pour les données couvertes par des obligations contractuelles
• La direction générale ou RH — pour la validation de la politique globale

Dans les petites structures sans ces fonctions dédiées, le dirigeant ou le responsable opérationnel doit prendre ces décisions explicitement, quitte à se faire accompagner.

Si votre organisation n'a pas encore défini de politique d'usage de l'IA, c'est le moment de le faire. Les pages dédiées du corpus couvrent ces sujets en profondeur : la construction d'une politique d'usage globale, et la rédaction d'une charte adaptée à votre organisation. Ces documents formalisent le cadre collectif dont les réflexes individuels ont besoin pour être durables.

Déployer des outils d'IA sans former les équipes à leurs limites et à leurs risques, c'est exposer l'organisation à des incidents inévitables. La sensibilisation n'a pas besoin d'être exhaustive pour être efficace — quelques réflexes bien intégrés suffisent à réduire significativement les risques les plus fréquents.

La règle pratique : avant d'autoriser un usage régulier de l'IA dans une équipe, prévoyez au minimum une session de sensibilisation sur les données à ne pas partager et les outils autorisés.

Cinq réflexes à intégrer dès le départ dans tout usage professionnel de l'IA :

1. Vérifier que l'outil est autorisé par l'organisation avant de l'utiliser
2. Ne jamais coller de données personnelles ou confidentielles sans vérification préalable
3. Traiter toute sortie de l'IA comme un brouillon à relire avant diffusion
4. Signaler tout doute à son responsable ou au référent conformité
5. Appliquer le principe de précaution en cas d'incertitude : ne pas partager

Une formation courte et structurée est particulièrement utile dans deux situations : lorsque des collaborateurs commencent à utiliser des outils d'IA sans cadre défini, et lorsqu'une organisation souhaite généraliser l'usage de l'IA à plusieurs équipes ou fonctions. Elle permet d'acquérir en quelques heures les réflexes qui, sans accompagnement, prennent plusieurs mois à se construire — et qui ne se construisent pas toujours correctement en autodidaxie. Pour les fonctions RH et les équipes qui traitent des données sensibles, une sensibilisation spécifique aux enjeux de conformité complète utilement la formation généraliste.