IA et RGPD : les 3 erreurs qui exposent les données de votre entreprise
ChatGPT, Claude ou Copilot peuvent exposer vos données sans que vous le sachiez. Voici les 3 erreurs RGPD les plus fréquentes en entreprise, et comment les corriger en quelques minutes.
Par Raphaël ThomasConsultant déploiement et formation IAL'essentiel en 30 secondes
- Le problème n'est pas l'outil, c'est l'usage sans cadre.
- Ne collez pas de données personnelles dans un outil grand public sans les anonymiser, ou utilisez un outil dont vous maîtrisez les conditions.
- Désactivez l'entraînement sur vos données : presque toujours quelques clics.
- Donnez à l'équipe une charte courte : outils permis, données interdites, personne à contacter.
L'IA générative est entrée dans les entreprises plus vite que les règles pour l'encadrer. Un dirigeant colle un fichier client dans ChatGPT pour gagner du temps. Un commercial demande à Copilot de résumer un contrat. Personne ne se pose la question des données. Le problème n'est pas l'outil, c'est l'usage sans cadre.
Voici les trois erreurs RGPD que nous voyons le plus souvent en accompagnant des petites structures, et comment les corriger sans renoncer au gain de temps.
Erreur n°1 : coller des données personnelles dans un outil grand public
Le risque
C'est la plus fréquente, et la plus risquée. Coller le tableau de vos clients, un CV reçu, un compte rendu médical ou un contrat nominatif dans la version gratuite d'un outil revient à confier ces informations à un tiers, souvent hébergé hors de l'Union européenne.
Ce qu'il faut faire
- Étape 1 : Avant de coller un contenu, posez-vous une question simple : est-ce que j'accepterais de l'envoyer à un prestataire externe que je ne connais pas ?
- Étape 2 : Si la réponse est non, anonymisez le contenu, ou utilisez un outil dont vous maîtrisez les conditions.
Erreur n°2 : laisser l'entraînement sur vos données activé par défaut
Le risque
Par défaut, plusieurs outils grand public peuvent réutiliser ce que vous tapez pour entraîner leur IA. Vos messages, vos documents et vos échanges peuvent alors servir à améliorer un service, sans que vous l'ayez vraiment choisi.
Ce qu'il faut faire
- Étape 1 : Ouvrez les réglages de confidentialité de votre compte.
- Étape 2 : Désactivez l'entraînement sur vos données. Cela se fait presque toujours en quelques clics.
En entreprise
Désactiver l'entraînement, et préférer les offres professionnelles qui s'y engagent par contrat, change radicalement votre exposition.
Notre Kit Sécurité IA détaille la désactivation pas à pas, outil par outil.
Recevoir le Kit Sécurité IAErreur n°3 : aucune règle écrite pour l'équipe
Le risque
Quand chacun bricole ses propres usages, le risque devient invisible et incontrôlable. Un collaborateur bien intentionné peut exposer une donnée sensible simplement parce que personne ne lui a dit ce qui est permis et ce qui ne l'est pas.
La réponse n'est pas un document de trente pages que personne ne lira.
Ce qu'il faut faire
- Étape 1 : Écrivez une charte d'utilisation courte, claire et signée.
- Étape 2 : Indiquez quels outils sont autorisés, et pour quels usages.
- Étape 3 : Indiquez quelles données ne doivent jamais y être saisies.
- Étape 4 : Indiquez qui contacter en cas de doute.
Le bon cadre : simple, écrit, et tenu dans la durée
Sécuriser l'IA dans une entreprise ne demande ni juriste ni budget. Trois actions suffisent à couvrir l'essentiel :
- Choisir des outils dont vous maîtrisez les réglages
- Désactiver l'entraînement sur vos données
- Poser une charte simple que toute l'équipe applique
C'est exactement ce que nous mettons en place dès la première demi-journée de formation, sur vos cas réels, pour que la sécurité ne soit pas un frein mais une habitude.
Questions fréquentes
Peut-on utiliser ChatGPT dans une entreprise sans enfreindre le RGPD ?
Oui, à condition de ne pas y saisir de données personnelles non nécessaires, de désactiver l'entraînement sur vos données et de cadrer les usages par une charte. L'outil n'est pas interdit, c'est l'usage non maîtrisé qui pose problème.
Les versions payantes des outils IA sont-elles plus sûres ?
Souvent oui : les offres professionnelles s'engagent généralement par contrat à ne pas réutiliser vos données pour l'entraînement et offrent des réglages de confidentialité plus stricts. Cela reste à vérifier outil par outil.
Faut-il un délégué à la protection des données pour une entreprise ?
Un DPO est obligatoire notamment pour un organisme public, ou lorsque les activités de base de l'entreprise consistent en un suivi régulier et systématique de personnes à grande échelle, ou en un traitement à grande échelle de données sensibles (article 37 du RGPD). La plupart des petites entreprises n'en relèvent pas. Une charte d'utilisation claire, de bons réglages et une vigilance sur les données sensibles suffisent à couvrir l'essentiel du risque lié à l'IA.
Pour aller plus loin