Sommaire
Les données publiques et internes peu sensibles peuvent passer par une IA en compte professionnel, réutilisation désactivée. Les données personnelles, secrets d’affaires et données de santé demandent une intégration cadrée : contrat de sous-traitance, hébergement dans l’UE, minimisation et pseudonymisation avant envoi, droits d’accès et journalisation.
La question n’est pas « faut-il utiliser l’IA ? », vos équipes le font probablement déjà. La vraie question est : quelles données peuvent partir vers un modèle d’IA, par quel chemin et avec quelles garanties. Voici la grille que j’utilise pour trier les données, les protections que je mets en place dans une intégration et ce que disent la CNIL et l’ANSSI. Cette page ne remplace pas l’avis d’un juriste ou de votre DPO.
Trier les données par niveau de sensibilité
Tout ne se vaut pas. Une fiche produit publique et un dossier RH n’appellent pas les mêmes précautions. Je classe les données en quatre niveaux avant de choisir l’outil.
| Niveau | Exemples | IA grand public (compte personnel) | IA en compte pro ou API, réutilisation désactivée | Intégration cadrée (UE, contrat, droits d’accès) |
|---|---|---|---|---|
| Public | Catalogue, pages du site, documentation commerciale | Acceptable | Oui | Oui |
| Interne peu sensible | Procédures, modèles de courriers, notes de réunion sans données nominatives | À éviter | Oui | Oui |
| Personnel | Fichier clients, échanges avec des clients nommés, données salariés | Non | Avec précautions (minimisation, contrat) | Recommandé |
| Sensible ou secret | Santé, données RH détaillées, secrets d’affaires, contrats en négociation | Non | Non, sauf cadre spécifique | Oui, avec analyse préalable |
Ce tableau est une grille de décision, pas une règle juridique. Le bon niveau dépend aussi du contrat avec le fournisseur et de l’usage fait des réponses.
Ce que recommandent la CNIL et l’ANSSI
La CNIL a publié le 18 juillet 2024 des questions-réponses sur l’utilisation d’un système d’IA générative (consultées le 27 octobre 2026). Les points qui comptent pour une entreprise :
- ne soumettre que des informations que l’utilisateur est autorisé à partager et éviter données personnelles, données confidentielles et informations couvertes par un secret sur les services grand public ;
- utiliser des comptes professionnels et désactiver la réutilisation des données par le fournisseur ;
- pour des données personnelles ou sensibles, y compris une base documentaire interrogée par l’IA, privilégier un déploiement maîtrisé ;
- signer un contrat de sous-traitance avec l’hébergeur et, le cas échéant, avec le fournisseur d’IA et encadrer les transferts hors de l’Union européenne ;
- adopter une charte interne et former les utilisateurs aux limites du système.
Côté sécurité, l’ANSSI a publié le 29 avril 2024 des recommandations de sécurité pour un système d’IA générative. Elles portent sur l’architecture : cloisonnement, maîtrise des accès du système d’IA aux données, journalisation, cycle de vie complet du modèle.
Le texte de référence reste le RGPD (règlement (UE) 2016/679) : minimisation, sécurité du traitement (article 32), contrat de sous-traitance (article 28), analyse d’impact quand le risque est élevé (article 35).
Les protections techniques que je mets en place
Dans une intégration sur-mesure, on contrôle ce qui part vers le modèle. C’est le principal avantage face à un usage libre des outils grand public.
- Minimisation. On n’envoie au modèle que les champs utiles à la tâche. Pour classer une demande client, le texte de la demande suffit souvent ; le nom, l’adresse et le numéro de contrat restent dans votre base.
- Pseudonymisation avant envoi. Les noms, e-mails et numéros sont remplacés par des jetons avant l’appel, puis réinjectés dans la réponse côté serveur.
- Clés et appels côté serveur. La clé d’API ne se trouve jamais dans le navigateur. Les appels passent par votre serveur, qui applique les contrôles.
- Droits d’accès hérités. Quand l’IA interroge vos documents, elle le fait avec les droits de l’utilisateur connecté. Un commercial ne récupère pas, par une question habile, un document RH.
- Région et contrat. On choisit un fournisseur et une région de traitement compatibles avec vos exigences, avec la réutilisation pour l’entraînement désactivée. Le choix du modèle est détaillé dans choisir un modèle d’IA pour un usage professionnel.
- Journalisation. On garde une trace de qui a demandé quoi et de ce que l’IA a répondu, avec une durée de conservation définie.
- Validation humaine. Pour toute décision qui engage l’entreprise ou une personne, l’IA propose et un humain valide.
Le cadre contractuel et réglementaire
Trois documents à vérifier avant de brancher une IA sur des données personnelles :
- le contrat de sous-traitance (DPA) du fournisseur d’IA et de l’hébergeur : finalités, sous-traitants ultérieurs, localisation, durée de conservation ;
- le registre des traitements : le nouvel usage doit y figurer ;
- l’analyse d’impact, si le traitement porte sur des données sensibles, évalue des personnes ou présente un risque élevé.
Le règlement européen sur l’IA (règlement (UE) 2024/1689) ajoute ses propres règles. Depuis le 2 août 2026, un système d’IA qui dialogue avec des personnes doit leur faire savoir qu’elles échangent avec une IA (article 50). Les entreprises qui utilisent l’IA doivent aussi prendre des mesures pour favoriser la maîtrise de l’IA par leurs équipes (article 4, dans sa version modifiée par le règlement (UE) 2026/1744 publié le 24 juillet 2026). Le détail des obligations RGPD d’un outil métier est dans RGPD et application métier.
Quand il vaut mieux ne pas envoyer les données à une IA
Je le dis franchement : certaines données n’ont rien à faire dans un modèle d’IA, même bien encadré.
- Quand une règle simple suffit. Router une demande selon un mot-clé ou un champ de formulaire ne demande pas d’IA.
- Quand l’erreur est inacceptable. Calcul de paie, montants de facture, décisions médicales : l’IA peut aider à préparer, pas à décider.
- Quand le volume est faible. Pour dix documents sensibles par mois, une personne formée va plus vite qu’un projet d’intégration.
- Quand vos contrats l’interdisent. Certains clients ou donneurs d’ordre excluent tout traitement par un tiers. Relisez vos engagements avant de lancer le projet.
Par où commencer
- Inventoriez les usages actuels : quels outils d’IA vos équipes utilisent déjà, avec quelles données.
- Classez vos données avec la grille ci-dessus et rédigez une charte courte.
- Choisissez un premier cas d’usage à forte valeur et à données maîtrisées.
- Cadrez l’intégration : fournisseur, région, contrat, droits d’accès, journalisation.
Je réalise ce type de projet dans le cadre de l’intégration d’IA, à partir de 2 000€HT pour un premier cas d’usage. Pour une IA intégrée à un outil métier plus large, l’estimateur donne une fourchette en une minute. Si votre besoin est un assistant qui répond à partir de vos documents, la page assistant IA branché sur les documents de l’entreprise détaille l’architecture.
Questions fréquentes
Mes salariés peuvent-ils utiliser ChatGPT ou un équivalent avec des documents de l’entreprise ?
Oui, à condition de le cadrer : comptes professionnels plutôt que comptes personnels, réutilisation des données par le fournisseur désactivée et une charte qui liste ce qui est interdit (données clients, RH, secrets d’affaires). C’est ce que recommande la CNIL dans ses questions-réponses de juillet 2024 sur l’IA générative.
Envoyer des données à une API d’IA, est-ce un transfert hors UE ?
Cela dépend de l’endroit où le fournisseur traite et stocke les données et du droit auquel il est soumis. Certains fournisseurs proposent un traitement en région européenne ; sinon, le transfert doit être encadré par l’un des outils du chapitre V du RGPD. Faites vérifier ce point par votre DPO ou votre juriste.
Faut-il une analyse d’impact (AIPD) pour un projet d’IA ?
Pas systématiquement. Elle devient nécessaire quand le traitement présente un risque élevé pour les personnes, par exemple s’il porte sur des données sensibles à grande échelle ou s’il évalue des personnes. La CNIL recommande d’associer le DPO dès le cadrage et d’envisager une AIPD dès que des données personnelles alimentent le système.
L’IA peut-elle voir des documents qu’un salarié n’a pas le droit de consulter ?
Seulement si elle est mal branchée. Dans une intégration correcte, l’IA interroge les documents avec les droits de l’utilisateur connecté : elle ne lui renvoie que ce qu’il pourrait ouvrir lui-même. C’est un point que je vérifie systématiquement.
Combien coûte une intégration d’IA sécurisée ?
Un premier cas d’usage démarre dès 2 000€HT, en 2 à 8 semaines, plus le coût d’usage des API facturé par le fournisseur. Intégrée dans une application métier, la brique IA compte pour 2 500€HT dans mon barème.