Intelligence artificielle et données personnelles : les précautions essentielles avant de se lancer

L’intelligence artificielle et les données personnelles doivent être abordées avec prudence : un texte, un fichier ou une consigne envoyé à un outil peut contenir des éléments identifiants, confidentiels ou sensibles. Avant de partager une information, limitez son contenu, vérifiez le cadre du service et évitez tout secret d’accès ou document personnel complet.

Les outils d’IA peuvent aider à reformuler, résumer ou organiser des idées, sans exiger la transmission de la vie privée d’un utilisateur ou des données d’une entreprise. Ce guide pratique explique comment repérer les informations à risque, régler son compte, anonymiser un document et réagir en cas d’envoi accidentel.

Pourquoi une intelligence artificielle peut-elle exposer des données personnelles ?

Une intelligence artificielle est un système informatique qui analyse des informations pour produire une réponse, une prédiction, un classement ou un contenu. Lorsqu’un utilisateur colle un texte, importe un fichier ou active un connecteur, le service reçoit des données dont le traitement dépend de ses conditions, de l’offre choisie, des réglages du compte et du contexte d’utilisation.

Une information apparemment banale peut devenir identifiante lorsqu’elle est associée à un poste précis, une localisation, une date, un historique ou une référence de dossier. La confidentialité d’un échange ne se déduit jamais du seul fait qu’un outil semble pratique ou populaire. Les informations de confidentialité du fournisseur et les ressources de la CNIL sur l’intelligence artificielle permettent de vérifier les points essentiels.

Ce qui est considéré comme une donnée personnelle

Une donnée personnelle est une information qui concerne une personne physique identifiée ou identifiable. Le nom, l’adresse e-mail et le numéro de téléphone sont des identifiants directs. Le métier, l’employeur, une adresse IP, un identifiant de compte, une localisation très précise ou un historique de navigation peuvent aussi contribuer à identifier quelqu’un indirectement.

Un prompt du type « résume le dossier de la directrice financière de notre agence de Lyon » peut déjà donner un contexte exploitable, même sans nom complet. Les données personnelles et intelligence artificielle se croisent donc dès qu’un outil reçoit un contexte permettant de rattacher une information à une personne.

Les données sensibles, confidentielles ou à risque élevé

Les données de santé, biométriques, financières, administratives ou relatives à des mineurs demandent une vigilance renforcée. Les dossiers de patients, les justificatifs d’identité, les relevés bancaires et les informations de sécurité ne doivent pas servir de matière première dans un outil non validé pour cet usage.

Les données de clients, de salariés, de patients, de partenaires ou les informations stratégiques d’entreprise peuvent également être confidentielles. Dans certains secteurs, les obligations internes, contractuelles ou réglementaires renforcent les contrôles attendus. Une validation par le DPO, l’équipe sécurité, le service juridique ou le responsable métier peut être nécessaire avant tout traitement.

Quels risques évaluer avant de partager une information ?

Les risques liés à une demande adressée à une IA ne sont pas systématiques, mais ils doivent être évalués avant l’envoi. Les principaux points de contrôle concernent la conservation des échanges, les accès accordés aux applications connectées, la sécurité du compte et la possibilité de perdre le contrôle sur une information copiée trop vite.

Le RGPD s’applique aux traitements de données personnelles, y compris lorsqu’un système d’IA utilise ces données durant son développement ou son déploiement. L’AI Act, entré en vigueur dans l’Union européenne le 1^er août 2024, complète ce cadre par des exigences propres aux systèmes d’intelligence artificielle ; il ne remplace pas le RGPD.

Une option de confidentialité utile réduit certains risques, mais elle ne transforme pas un contenu confidentiel en contenu sans risque.

Conservation de l’historique et utilisation des échanges

Avant d’utiliser un outil, vérifiez si les conversations sont conservées, si leur suppression est proposée et si le fournisseur indique une durée de conservation. Consultez aussi les finalités annoncées : fourniture du service, sécurité, détection d’abus ou amélioration des systèmes peuvent correspondre à des traitements différents selon le compte et l’offre souscrite.

Les garanties d’un compte grand public ne sont pas nécessairement celles d’une offre professionnelle encadrée par un contrat. Le bon réflexe consiste à lire les paramètres réellement activés sur le compte, pas seulement la présentation générale du produit. Les politiques et les interfaces évoluent : une vérification régulière reste nécessaire.

Connecteurs, extensions et applications tierces

Un connecteur peut autoriser un outil à accéder à une messagerie, un agenda, un espace de stockage ou une base documentaire. Cette autorisation peut étendre fortement le périmètre des informations accessibles, y compris lorsque l’utilisateur ne copie pas lui-même un fichier dans une conversation.

• Autorisez uniquement les intégrations nécessaires à une tâche précise.
• Vérifiez les dossiers, boîtes mail ou calendriers réellement accessibles.
• Retirez les connexions devenues inutiles après un projet ou un essai.
• Évitez les connecteurs vers des sources contenant des données clients ou RH sans validation interne.

Erreurs humaines et sécurité du compte

Un appareil partagé, une session laissée ouverte, un historique visible lors d’un partage d’écran ou un mauvais destinataire peuvent exposer une conversation. Les risques d’intelligence artificielle ne viennent donc pas uniquement du fournisseur : l’organisation du poste de travail et la protection du compte comptent tout autant.

Utilisez un mot de passe unique et robuste, activez l’authentification multifacteur lorsqu’elle est disponible, puis protégez les sessions actives. Ne saisissez jamais un mot de passe, une clé privée, une clé d’API, un code de sécurité ou une réponse de récupération dans un prompt.

Un secret d’accès partagé dans une conversation doit être considéré comme compromis et remplacé sans attendre.

Avant d’utiliser un outil d’IA : choisir le bon cadre et régler son compte

Avant la première utilisation, commencez par définir la finalité de la demande, la nature des informations nécessaires et le niveau d’autorisation requis. Un usage personnel sans donnée identifiante n’appelle pas les mêmes garanties qu’un résumé de document professionnel ou qu’un traitement portant sur des personnes.

Les principes du RGPD incluent notamment la licéité, la loyauté, la transparence, la limitation des finalités et la minimisation des données. L’AI Act suit une approche fondée sur le niveau de risque des systèmes d’IA. Un réglage de confidentialité est un élément de protection, mais il ne remplace ni une analyse du besoin ni un cadre d’utilisation adapté.

Étape 1 : lire les informations de confidentialité utiles

Ouvrez la documentation de confidentialité du fournisseur, puis recherchez quatre éléments : les données collectées, les finalités de traitement, les durées de conservation et les modalités de suppression. Contrôlez également les éventuels transferts, sous-traitants, paramètres d’historique et options relatives à l’utilisation des contenus.

La date de mise à jour du document compte, car les conditions peuvent changer. Comparez ensuite la documentation avec les réglages visibles dans votre compte : un paramètre désactivé dans la politique ne protège pas votre usage si la fonctionnalité reste active dans l’interface.

Étape 2 : adapter l’outil à la sensibilité du contenu

Réservez les outils non validés aux demandes génériques : idées de plan, reformulation d’un texte fictif, explication d’un concept ou préparation d’une liste sans données identifiantes. Pour un usage professionnel, vérifiez les outils autorisés, les garanties contractuelles et la politique interne applicable.

Un service grand public, une offre professionnelle encadrée et un outil déployé dans l’environnement interne d’une organisation n’offrent pas nécessairement le même niveau de contrôle. Le choix dépend du contenu, des accès, du contrat et des réglages, pas du seul nom de l’outil.

Cadre à vérifier	Question pratique	Décision prudente
Usage personnel	La demande contient-elle un élément identifiant ?	Utiliser un exemple fictif ou retirer les détails.
Usage professionnel	L’outil est-il autorisé par l’organisation ?	Suivre la politique interne et les garanties prévues.
Secteur réglementé	Les données sont-elles sensibles ou soumises à une règle sectorielle ?	Demander un avis au DPO, au juridique ou à la sécurité.
Fichier joint	Le document contient-il des métadonnées ou commentaires ?	Nettoyer le fichier avant tout téléversement.

Réduire et anonymiser les données avant de formuler une demande

La minimisation consiste à ne transmettre que les informations nécessaires au résultat attendu. Une demande de reformulation peut souvent être réalisée avec un extrait neutre, un cas fictif ou des variables génériques, sans copier un contrat entier, un échange client ou un dossier de salarié.

La réduction des données évite aussi de transformer un outil d’assistance en dépôt involontaire de documents sensibles. Pour mieux comprendre le fonctionnement des modèles et leurs limites, consultez notre dossier sur les limites à vérifier des LLM.

Étape 3 : retirer les informations d’un texte ou d’un fichier

Avant de coller un contenu ou de joindre un document, retirez les noms, coordonnées, numéros de dossier, références client, dates précises, lieux détaillés et identifiants techniques. Supprimez aussi les photographies, signatures, documents d’identité, informations bancaires et données de santé identifiantes.

1. Copiez uniquement l’extrait nécessaire à la demande.
2. Remplacez les personnes par des rôles génériques, comme « client A » ou « responsable RH ».
3. Généralisez les dates, les villes, les montants et les références rares.
4. Inspectez les commentaires, le suivi des modifications, les propriétés et les pièces jointes.
5. Relisez le résultat avant l’envoi, comme si le document devait être partagé à un tiers.

Le contrôle des métadonnées mérite une attention particulière : un fichier bureautique, une image ou un PDF peut contenir le nom de l’auteur, des commentaires internes, une localisation ou l’historique de modifications. Un document nettoyé visuellement peut encore contenir des informations invisibles dans son contenu technique.

Anonymisation et pseudonymisation : ne pas les confondre

La pseudonymisation remplace un identifiant par un code ou une étiquette, mais une personne peut parfois être retrouvée grâce à une clé de correspondance ou à des informations contextuelles. L’anonymisation vise à empêcher raisonnablement cette réidentification, y compris par combinaison de données rares.

Exemple fictif : « Mme X, 42 ans, seule cardiologue du village Y, opérée le 12 mars » reste très identifiable malgré le remplacement du nom. Une version plus prudente serait : « une professionnelle de santé a signalé un problème de planning ». Le second exemple perd des détails, mais conserve l’information utile pour demander une reformulation générique.

Quelles données ne pas saisir dans une IA sans garanties adaptées ?

Les données à ne pas partager par défaut dans un outil non validé sont celles dont la divulgation peut causer un préjudice direct à une personne ou à une organisation. Certaines structures disposent d’outils autorisés et d’un cadre documenté, mais cette autorisation doit être vérifiée avant la transmission.

La règle opérationnelle est simple : si vous ne transmettriez pas l’information à un tiers inconnu sans contrat ni contrôle, ne la collez pas dans un prompt. Les usages d’IA en entreprise imposent souvent des validations supplémentaires, notamment lorsque des clients, salariés ou partenaires sont concernés.

Secrets d’accès et informations financières

Les mots de passe, codes à usage unique, clés privées, clés d’API, jetons d’accès et réponses de récupération doivent rester hors des conversations. Un outil d’IA peut expliquer une erreur de configuration à partir d’un exemple fictif, d’un message d’erreur expurgé ou d’une clé volontairement invalide.

• Numéros complets de cartes bancaires et codes de sécurité.
• Coordonnées bancaires et justificatifs financiers détaillés.
• Clés cryptographiques, secrets applicatifs et jetons de session.
• Identifiants de messagerie, d’administration ou de stockage.

Documents personnels et contenus professionnels confidentiels

Les pièces d’identité non masquées, dossiers médicaux, données de mineurs, contrats non publics, dossiers RH et fichiers clients demandent un cadre adapté. Les informations commerciales stratégiques, prévisions internes, secrets d’affaires et négociations en cours peuvent également exposer une organisation.

Pour analyser une clause ou préparer un modèle, partez d’un texte fictif ou d’un extrait validé par les personnes compétentes. La comparaison entre outils d’IA pour les contrats rappelle d’ailleurs qu’une assistance rédactionnelle ne dispense pas de protéger les documents ni de vérifier le résultat obtenu.

Bonnes pratiques selon l’usage : personnel, professionnel ou réglementé

La protection des données ne repose pas sur une règle identique pour toutes les situations. Un particulier qui demande des idées de repas, une entreprise qui résume un compte rendu client et un établissement traitant des données sensibles n’ont ni le même niveau de risque ni les mêmes interlocuteurs à mobiliser.

Les responsabilités doivent être réparties clairement : l’utilisateur contrôle ce qu’il envoie, tandis que l’organisation doit fournir des règles, des outils autorisés et un accompagnement adapté. Les fournisseurs qui traitent des données personnelles ont aussi des obligations liées à leur rôle dans le traitement.

À titre personnel

À titre personnel, privilégiez des formulations génériques et évitez de téléverser un document complet contenant des informations privées. Vérifiez les conversations conservées, les applications connectées et les réglages de votre compte, puis supprimez les échanges devenus inutiles lorsque le service le permet.

Une recherche de visage, par exemple, peut poser des questions spécifiques de vie privée et d’exposition de données biométriques. Notre guide consacré à la recherche de visage et la vie privée détaille les précautions à prendre avant de soumettre une image.

En entreprise ou dans une organisation

En entreprise, respectez la politique interne, les outils autorisés et les consignes de sécurité. Ne transmettez pas des données de clients, salariés ou partenaires sans cadre validé, même si la tâche semble anodine ou urgente.

Les jeux de données fictifs ou anonymisés permettent de tester un prompt, un résumé ou un format de réponse sans exposer un cas réel. Un exemple synthétique est souvent suffisant pour améliorer un prompt avant de travailler dans un environnement validé.

Dans les secteurs soumis à des exigences renforcées

Les organisations de santé, de finance, d’assurance, de justice, d’éducation ou de services publics doivent évaluer plus précisément la nécessité du traitement, la sensibilité des données et les conséquences possibles pour les personnes. Une analyse d’impact sur la protection des données peut être pertinente lorsque le traitement présente un risque élevé.

Documentez les mesures retenues et sollicitez les équipes compétentes : DPO, sécurité, juridique ou responsable métier. Cette information générale ne remplace pas l’avis d’un professionnel qualifié ni l’analyse du cadre applicable à une situation particulière.

Que faire après un envoi accidentel de données personnelles ?

Après un envoi accidentel, agissez rapidement sans aggraver l’exposition : cessez l’échange, supprimez le contenu lorsque cette fonction existe et sécurisez immédiatement les accès transmis. Une suppression dans l’interface ne garantit pas nécessairement l’effacement de toute trace, mais elle reste une première mesure utile.

La réponse doit être proportionnée à la nature des données, au service concerné et au contexte professionnel ou personnel. Lorsqu’un secret d’accès, une information bancaire, une donnée médicale ou un dossier de tiers est concerné, alertez sans délai les personnes compétentes.

Les premiers gestes à effectuer

Ne poursuivez pas la conversation avec des précisions qui pourraient augmenter la quantité de données exposées. Supprimez la conversation ou le fichier si l’option est disponible, puis vérifiez les réglages du compte, les appareils connectés et les applications tierces associées.

1. Notez ce qui a été envoyé, à quel moment et dans quel outil.
2. Supprimez le contenu accessible depuis l’interface, sans supposer que cela suffit à tout effacer.
3. Révoquez ou modifiez immédiatement un mot de passe, une clé, un jeton ou un code transmis.
4. Déconnectez les sessions suspectes et contrôlez les accès liés au compte.
5. Prévenez le responsable compétent si l’incident concerne une organisation.

Alerter et documenter l’incident

Dans une organisation, signalez l’incident selon la procédure interne au responsable sécurité, au DPO, au service juridique ou au responsable hiérarchique compétent. Conservez les éléments nécessaires à la compréhension de l’événement : nature des données, outil utilisé, date, personnes concernées et actions déjà entreprises.

Une évaluation interne peut être nécessaire pour déterminer les mesures à prendre ensuite. En cas de fraude, de secret bancaire transmis ou d’accès compromis, contactez également l’établissement ou le service concerné via ses canaux officiels, sans réutiliser les coordonnées présentes dans un message suspect.

Checklist : vérifier sa demande avant chaque utilisation

Cette checklist transforme les principes de confidentialité intelligence artificielle en contrôle rapide. Avant d’écrire un prompt ou de joindre un fichier, prenez moins d’une minute pour vérifier le contenu, le compte utilisé et le niveau d’autorisation dont vous disposez.

Le but n’est pas de renoncer aux outils d’IA, mais de limiter les données partagées et de garder la main sur leur contexte. Utiliser une intelligence artificielle générative demande aussi de distinguer une aide à la rédaction d’une information vérifiée : notre article sur l’aide de l’IA et la vérité apporte des repères complémentaires.

Les questions à se poser en moins d’une minute

• Cette demande permet-elle d’identifier une personne directement ou indirectement ?
• Un exemple fictif, synthétique ou suffisamment anonymisé donnerait-il le même résultat ?
• L’outil, le compte et les réglages sont-ils autorisés pour cet usage précis ?
• Le fichier contient-il des métadonnées, commentaires, éléments masqués ou pièces jointes inutiles ?
• Dois-je conserver cette conversation après la tâche, ou puis-je la supprimer ?

Les trois réflexes restent les mêmes : minimiser les données, anonymiser réellement le contenu et vérifier le cadre d’utilisation. Une demande plus courte, plus neutre et mieux préparée protège souvent mieux les personnes tout en produisant une réponse plus exploitable.

Questions fréquentes sur l’IA et la vie privée

Peut-on donner son nom à une intelligence artificielle ?

Donner son nom peut sembler anodin, mais il s’agit d’une donnée personnelle. Si le nom n’est pas nécessaire à la demande, remplacez-le par un rôle générique ou un exemple fictif afin de réduire les informations partagées.

Les conversations avec une IA sont-elles toujours confidentielles ?

Non, les règles varient selon le fournisseur, l’offre, le pays, les paramètres du compte et les fonctionnalités activées. Vérifiez les conditions de confidentialité, l’historique, les options de suppression et l’usage annoncé des échanges avant de transmettre un contenu.

Peut-on copier un document professionnel dans un outil d’intelligence artificielle ?

Un document professionnel ne doit être copié que si l’outil est autorisé pour cet usage et si les garanties adaptées ont été validées par l’organisation. À défaut, utilisez un extrait anonymisé, un jeu de données fictif ou demandez conseil au DPO, à la sécurité ou au service juridique.

Quelle différence entre anonymisation et pseudonymisation ?

La pseudonymisation remplace un identifiant par un code, mais une réidentification peut rester possible grâce à d’autres éléments. L’anonymisation vise à empêcher raisonnablement le rattachement des informations à une personne, y compris par recoupement contextuel.

Que faire si une donnée confidentielle a été envoyée par erreur à une IA ?

Arrêtez l’échange, supprimez le contenu si possible et modifiez immédiatement tout accès ou secret transmis. Si l’incident concerne une organisation ou des données de tiers, documentez les faits et alertez sans délai le responsable compétent selon la procédure interne.