IA générative et confidentialité : ce que risque vraiment une TPE (et comment se protéger)
ChatGPT et données d'entreprise : le vrai risque pour une TPE n'est pas l'amende RGPD mais la fuite silencieuse. Les réflexes et la charte pour se protéger.
Quand je parle de confidentialité et d’IA en formation, la première question est presque toujours : « on risque une amende de la CNIL ? ». Et ma réponse surprend : l’amende n’est pas votre premier risque. Pour une TPE, la CNIL commence quasiment toujours par un rappel à l’ordre et une mise en demeure, pas par une sanction.
Le vrai risque est plus discret, plus fréquent, et il est probablement déjà en train de se produire chez vous : la fuite silencieuse.
La fuite silencieuse : ce qui se passe quand on colle un contrat dans un chat
Le scénario type, je le vois dans une entreprise sur deux. Un collaborateur pressé doit résumer un contrat client, reformuler un devis, préparer une réponse à une réclamation. Il ouvre ChatGPT sur son compte personnel gratuit, colle le document entier, obtient son résumé en 20 secondes. Travail fait, tout le monde est content.
Sauf que voici ce qui vient réellement de se passer :
- Le contrat (noms, montants, clauses, parfois données personnelles de vos clients) est parti sur des serveurs situés le plus souvent aux États-Unis.
- Sur un compte gratuit grand public, ces contenus peuvent par défaut servir à entraîner les futurs modèles, selon les réglages du compte.
- Personne dans l’entreprise ne le sait. Il n’y a ni alerte, ni trace, ni retour en arrière possible.
Aucun pirate, aucune malveillance. Juste un outil pratique et une absence de règles. Multipliez par le nombre de salariés et par le nombre de jours ouvrés : c’est ça, la fuite silencieuse. Et le jour où un client apprend que son contrat a transité par un chat public, le dégât commercial arrive bien avant le courrier de la CNIL.
Les 3 questions à se poser avant chaque prompt
Pas besoin d’un master en droit du numérique. Trois questions, dans l’ordre, avant de coller quoi que ce soit dans un outil d’IA.
1. Ai-je le droit d’utiliser cette donnée ?
Un document interne anonyme : oui. Des données personnelles de clients ou de salariés (noms, adresses, situations, santé) : le RGPD s’applique pleinement, et vos clients ne vous ont probablement pas autorisé à les transmettre à un tiers. Un document sous clause de confidentialité : c’est votre contrat avec le client qui l’interdit, avant même la loi.
Réflexe simple : si vous n’enverriez pas ce document par mail à un inconnu, ne le collez pas dans un chat public.
2. Cet outil offre-t-il des garanties ?
Tous les outils d’IA ne se valent pas sur la confidentialité. Cherchez deux informations dans les conditions d’utilisation : où sont hébergées les données, et sont-elles utilisées pour l’entraînement des modèles. Ces deux réponses figurent en général dans la page « privacy » ou « trust » de l’éditeur. Dix minutes de lecture qui valent de l’or.
3. Ce compte est-il configuré pour l’entreprise ?
C’est le piège le plus fréquent. Le même outil peut être risqué sur un compte personnel gratuit et acceptable sur un compte professionnel bien réglé. Un salarié qui utilise son compte perso pour le travail, c’est une donnée d’entreprise qui vit sur un espace que vous ne contrôlez pas, avec des réglages que vous ne connaissez pas, et qui suivra le salarié après son départ.
Les 4 niveaux de protection, du plus exposé au plus maîtrisé
Pour choisir votre configuration, voici le panorama simplifié que j’utilise en formation.
Niveau 1 : compte gratuit grand public. Données potentiellement utilisées pour l’entraînement selon les réglages, aucun contrat avec l’éditeur, aucun contrôle. À réserver aux contenus déjà publics : brouillon de post LinkedIn, idées génériques, reformulation d’un texte sans donnée sensible.
Niveau 2 : compte professionnel payant avec exclusion de l’entraînement. Les offres « Team » ou « Business » des grands éditeurs (comptez 20 à 30 € par utilisateur et par mois) excluent contractuellement vos données de l’entraînement et vous donnent une console d’administration. Pour la majorité des TPE, c’est le bon rapport protection/effort. C’est souvent la seule vraie décision à prendre.
Niveau 3 : accès par API avec contrat adapté. Pour les automatisations (celles qu’on construit avec Make par exemple), l’accès par API offre en général des engagements contractuels plus stricts sur la non-utilisation des données. Utile dès que l’IA traite vos documents en volume.
Niveau 4 : hébergement local ou souverain. Le modèle tourne sur vos machines ou chez un hébergeur européen : rien ne sort. C’est le niveau maximal, rarement nécessaire pour une TPE, sauf données très sensibles (santé, juridique, défense). J’en ai détaillé les enjeux dans l’article sur la souveraineté et la dépendance IA.
La charte d’usage interne : une page suffit
La protection la plus rentable ne coûte rien : c’est une charte d’une page, affichée et expliquée. Pas un document juridique de 15 pages que personne ne lira. Une page, avec quatre rubriques :
Les outils autorisés. Nommez-les précisément, avec le type de compte : « ChatGPT via le compte Team de l’entreprise, oui. Comptes personnels pour le travail, non. »
Ce qu’on ne colle jamais. La liste concrète : données personnelles de clients ou salariés, documents sous confidentialité, données bancaires, mots de passe, éléments de propriété intellectuelle non publiés.
Ce qu’on fait en cas de doute. Un nom, pas une procédure : « demande à Julie avant d’envoyer ». Le doute doit coûter 2 minutes, sinon personne ne le lèvera.
La règle de relecture. Tout contenu produit avec l’IA est relu par un humain avant d’atteindre un client. Cette règle protège votre confidentialité et votre crédibilité d’un même geste.
Dans une TPE de 12 personnes que j’ai formée cet hiver, cette charte a tenu en 24 lignes. Rédaction : une heure, en fin de formation, avec les salariés eux-mêmes. C’est d’ailleurs le meilleur moment pour l’écrire : les règles qu’on a construites soi-même sont les seules qu’on applique.
Et l’AI Act, on en fait quoi ?
Le règlement européen sur l’IA (l’AI Act) s’applique progressivement depuis 2025. Inutile de paniquer : pour une TPE qui utilise des outils d’IA générative du commerce, les obligations directes sont légères. Deux points concrets vous concernent : la transparence (ne pas faire passer un contenu généré par IA pour autre chose dans les cas prévus par le texte) et la formation des salariés à l’usage des outils, que le règlement encourage explicitement. Autrement dit, la charte et la formation décrites plus haut vous mettent déjà dans le sens de la marche.
Par où commencer cette semaine
Trois actions, dans l’ordre : demandez à vos salariés quels outils d’IA ils utilisent déjà (préparez-vous à des surprises), passez les usages sensibles sur un compte professionnel avec exclusion de l’entraînement, écrivez la charte d’une page avec eux.
Si vous préférez cadrer tout ça avec vos équipes en une session, c’est un module que j’anime en entreprise, sur vos cas réels : voir les formations IA en entreprise. Les fondamentaux se travaillent aussi à distance sur l’espace e-learning.
Et si vous voulez simplement vérifier que votre configuration actuelle ne fuit pas, 30 minutes d’échange offertes : venez avec la liste de vos outils, on fait le tour ensemble.