Confidentialité des données quand on utilise l'IA
Comment protéger les données de votre entreprise quand vous utilisez un assistant d'IA : classer, régler, contractualiser, et savoir ce qu'aucun réglage ne garantit.
Avant de coller un texte dans un assistant d'IA, une question suffit : cette information peut-elle sortir de l'entreprise ? La réponse dépend du type de donnée, de l'offre utilisée et du contrat avec le fournisseur. Ce site découpe cette question en douze guides courts, chacun sur un point précis.
Le principe de départ vient de la CNIL. Pour un service grand public, elle indique qu'il ne faut pas partager d'informations confidentielles telles que des données personnelles. Pour un usage par API, il faut être « particulièrement vigilant » et éviter autant que possible la saisie de données personnelles. Un déploiement sur site paraît généralement plus opportun pour ce type de données. Les chiffres et règles de ce site viennent de pages officielles lues pour lui. Quand une règle n'a pas pu être lue, la page le dit et renvoie à la source officielle.
Les trois niveaux
| Niveau | Ce que c'est | Exemple | Règle de saisie |
|---|---|---|---|
| Public | Déjà publié par l'entreprise | Texte de site, fiche produit publique | Saisie possible, relecture obligatoire |
| Interne | Non publié, sans donnée sur une personne | Trame de devis vierge, process, notes de méthode | Saisie seulement dans un outil validé par le dirigeant |
| Sensible | Donnée personnelle, donnée sensible au sens de la CNIL, secret ou document confidentiel | Nom d'un client, dossier salarié, santé | Pas de saisie dans un outil grand public |
En cas de doute, on classe au niveau supérieur.
Les guides
| Guide | Question traitée |
|---|---|
| Classer ses données | Quels documents peuvent entrer dans l'outil ? |
| Réglages d'un assistant | Quels réglages vérifier avant d'utiliser un outil ? |
| Offre pro ou grand public | Qu'est-ce qui change selon l'offre souscrite ? |
| Contrat fournisseur | Quelles clauses attendre d'un fournisseur qui traite des données pour nous ? |
| Hébergement et pays | Où sont les données, et que se passe-t-il hors de l'Union européenne ? |
| Pseudonymiser ou anonymiser | Un nom remplacé par un numéro suffit-il ? |
| Données sensibles | Quelles catégories ne jamais saisir ? |
| Droits des personnes | Comment répondre à une demande d'accès ou d'effacement ? |
| Durées de conservation | Combien de temps garder ce qui a été saisi ou produit ? |
| Documents clients | Un contrat ou un plan client peut-il être confié à l'IA ? |
| Salariés | Quelle règle écrite pour l'équipe ? |
| Limites | Que ne garantit aucun réglage, et quand demander conseil ? |
Par où commencer
Commencez par le classement. Un tableau d'une page, rempli avec l'équipe, dit déjà quelles données ne doivent jamais entrer dans un outil. Ensuite, vérifiez les réglages de l'outil utilisé, puis demandez le contrat. Les limites restent à garder en tête : aucun réglage ne supprime tous les risques.
Toutes les pages
Guides
- Ce qu'aucun réglage ne garantit avec une IA
Aucun réglage d'assistant d'IA ne garantit tout. Limites à garder, cas où demander conseil au délégué à la protection des données ou à un juriste.
- Classer ses données avant d'utiliser une IA : trois niveaux
Trois niveaux pour classer les données de l'entreprise avant un assistant d'IA : public, interne, sensible. Tableau à remplir et règle en cas de doute.
- Contrat avec un fournisseur d'IA : clauses à vérifier
Quand un fournisseur d'IA traite des données pour votre entreprise, le contrat doit le dire. Clauses à vérifier selon la CNIL et questions à poser.
- Documents confidentiels de vos clients et assistant d'IA
Contrats, plans et devis de vos clients : que faire d'une clause de confidentialité signée avant de confier un document à une IA. Règle interne.
- Droits des personnes face à une IA : répondre en un mois
Accès, effacement, opposition : ce que dit la CNIL sur les droits liés à une IA, délais de réponse, et modèle de procédure interne à compléter.
- Durée de conservation des données : méthode et repères
Combien de temps garder les données saisies dans une IA : méthode de la CNIL, archivage intermédiaire, repères chiffrés et règles des fournisseurs.
- Où sont stockées les données d'une IA : pays et transferts
Où vont les données saisies dans un assistant d'IA : serveurs, pays, transferts hors Union européenne. Ce que dit la CNIL et ce qu'il faut demander.
- Réglages de confidentialité d'un assistant d'IA à vérifier
Historique, entraînement sur vos échanges, partage : méthode pour vérifier les réglages d'un assistant d'IA, avec l'exemple de Claude.
- Salariés et IA : outils autorisés et erreurs de saisie
Règle écrite pour les salariés qui utilisent une IA : outils autorisés, comptes personnels interdits, signalement d'une erreur de saisie. Modèle à compléter.
Comparatifs
- Offre pro ou grand public : ce qui change pour vos données
Offre grand public ou professionnelle d'un assistant d'IA : entraînement, confidentialité, contrat. Méthode de lecture des conditions, exemple Anthropic.
Listes
- Données sensibles au sens de la CNIL : liste et règle
Catégories de données sensibles selon la CNIL, principe d'interdiction, exceptions, et ce qu'on ne saisit jamais dans un assistant d'IA en entreprise.
Définitions
- Pseudonymiser ou anonymiser avant une IA : la différence
Pseudonymisation et anonymisation ne sont pas la même chose. Limites selon la CNIL, critères de l'anonymat et exercice pratique avant une saisie.