Utiliser l'IA sans exposer les données de vos clients : les règles et les bons réflexes

« Résume-moi cet échange avec Mme Durand », « rédige une réponse à ce mail de mon client » : en collant ces textes dans un assistant d'IA, vous transmettez des données personnelles (noms, adresses, situations) à un prestataire, souvent établi hors de l'Union européenne. Le RGPD s'applique, et c'est votre entreprise qui en répond.

Cela ne veut pas dire qu'il faut renoncer à l'IA. Il faut savoir ce qu'on y met, avec quel outil et quels réglages. Ce guide s'appuie sur les questions-réponses publiées par la CNIL sur l'usage des systèmes d'IA générative.

Ce que recommande la CNIL

Pour les organisations qui utilisent des outils d'IA générative, la CNIL recommande notamment :

• de ne saisir que des informations que l'on est autorisé à partager, et de ne pas mettre de données personnelles ni d'informations confidentielles dans des services grand public ;
• d'éviter autant que possible les données personnelles dans les systèmes tiers sur lesquels on a peu de contrôle ;
• de vérifier si le fournisseur réutilise les données pour entraîner ses modèles et, si c'est le cas, d'envisager de s'y opposer ;
• de clarifier contractuellement les rôles avec le fournisseur (sous-traitance), les mesures de sécurité et les éventuels transferts hors UE, qui exigent des garanties ;
• d'adopter une charte interne listant les usages permis et interdits, et de former les utilisateurs ;
• de garder un regard critique sur les résultats : vérifier l'exactitude, ne pas reprendre un texte sans le relire.

Trois niveaux de risque

Les bons réflexes au quotidien

1. Anonymiser par défaut

Remplacez les noms par des repères avant de coller un texte : « le client A », « la société B », « [adresse] ». L'IA n'a presque jamais besoin du vrai nom pour rédiger une réponse. Vous remettrez les informations réelles dans la version finale.

2. Vérifier les réglages de confidentialité

Les éditeurs proposent des options différentes selon les formules. Par exemple, la page tarifs de ChatGPT indique que les formules individuelles (Free, Go, Plus, Pro) offrent une option pour refuser l'utilisation des conversations pour l'entraînement, alors que les formules Business et Enterprise n'entraînent pas les modèles sur vos données par défaut. Ouvrez les paramètres de votre assistant et cherchez la rubrique consacrée aux données ou à l'amélioration des modèles.

3. Préférer une formule professionnelle pour les données clients

Si vous traitez régulièrement des données de clients avec l'IA, une formule professionnelle (équipe, entreprise) offre généralement des engagements contractuels plus clairs : pas d'entraînement par défaut, accord de traitement des données, gestion des comptes. Lisez les conditions avant de souscrire.

4. Informer vos clients

Si l'IA intervient dans le traitement de leurs données (tri des demandes, rédaction de réponses), mentionnez-le dans votre politique de confidentialité, avec le nom du fournisseur et les garanties prévues.

5. Ne pas automatiser les décisions qui comptent

Une IA peut préparer une réponse, classer des demandes ou résumer un dossier. Une décision qui a un effet important sur une personne (refus de service, tarif individualisé) doit rester sous votre contrôle.

Une charte d'usage en dix lignes

Pour une petite équipe, quelques règles écrites suffisent :

1. Outils autorisés : [nom de l'assistant et formule].
2. Interdit : données de santé, coordonnées bancaires, mots de passe, documents marqués confidentiels.
3. Noms de clients remplacés par des repères sauf nécessité.
4. Option de refus de l'entraînement activée sur tous les comptes.
5. Toute réponse envoyée à un client est relue par une personne.
6. Les chiffres, dates et références juridiques produits par l'IA sont vérifiés.
7. Les textes publiés sous le nom de l'entreprise sont relus et assumés.
8. Les comptes sont personnels et protégés par un mot de passe fort et la double authentification.
9. Un problème (donnée envoyée par erreur) est signalé au responsable.
10. La charte est relue tous les six mois.

Et l'AI Act ?

Le règlement européen sur l'intelligence artificielle s'ajoute au RGPD. Pour la plupart des petites entreprises qui utilisent un assistant pour écrire ou résumer, les obligations sont limitées, mais certaines s'appliquent déjà, comme la maîtrise de l'IA par le personnel. Voir AI Act : ce que les TPE doivent savoir.

Questions fréquentes

Puis-je coller un devis ou une facture dans un assistant d'IA ?

Retirez d'abord ce qui identifie la personne (nom, adresse, téléphone, e-mail) ou utilisez une offre professionnelle qui exclut l'entraînement sur vos données. Pour rédiger plus vite tout en restant prudent, voir Rédiger devis, e-mails et relances avec l'IA.

Faut-il informer mes clients que j'utilise l'IA ?

Si l'outil traite leurs données personnelles, il doit apparaître dans votre information sur le traitement des données (politique de confidentialité). Si vous publiez des contenus générés par IA, le guide de l'AI Act précise les obligations de transparence à venir.

En résumé

L'IA est utilisable avec des données de clients à condition de choisir le bon outil, de régler la confidentialité, d'anonymiser par défaut et de relire ce qui en sort. Écrivez vos règles en dix lignes, et appliquez-les. Pour des demandes efficaces sans données personnelles, utilisez le générateur de prompt ; pour être accompagné, voir Prise en main de l'IA et automatisation.