Données confidentielles et IA : les précautions d’une PME

Une IA ne doit pas devenir une boîte noire de données

Copier un courriel client dans un assistant IA peut sembler anodin. Ce geste peut pourtant transmettre des informations personnelles, commerciales ou contractuelles à un service dont les règles d’utilisation ne sont pas comprises par l’équipe. La question n’est pas seulement de savoir si la réponse produite est bonne : il faut aussi savoir d’où viennent les données et qui peut y accéder.

La CNIL publie des recommandations sur le développement et l’utilisation des systèmes d’IA. Elles invitent à analyser les responsabilités, les traitements et les risques selon le système considéré.

1. Faire l’inventaire des données

Classez les données utilisées dans le processus : informations publiques, coordonnées de prospects, informations client, pièces jointes, données de salariés, données de santé ou informations confidentielles. Un cas d’usage peut commencer avec des données fictives ou anonymisées pour vérifier le fonctionnement.

Dans un formulaire de devis, par exemple, il peut être possible de classer une commune, une catégorie de service et une date sans transmettre le nom complet ni le contenu d’un document contractuel. La minimisation réduit le risque et simplifie le test.

2. Décrire la finalité

Écrivez pourquoi l’IA est utilisée : préparer un résumé interne, suggérer une catégorie, répondre à une question à partir d’un catalogue validé ou détecter une relance. Une finalité vague comme « améliorer l’entreprise » ne permet pas de décider quelles données sont nécessaires.

La finalité doit aussi préciser qui lit la sortie et si elle peut déclencher une action. Une suggestion interne n’a pas le même risque qu’un message envoyé automatiquement à un client ou qu’une décision qui affecte une personne.

3. Vérifier le fournisseur et les accès

Avant de connecter un outil, vérifiez les conditions contractuelles, la conservation, les sous-traitants, les droits d’accès, la localisation pertinente et la possibilité de supprimer les données. Documentez le compte utilisé, les rôles et la personne responsable.

Une petite entreprise peut commencer par une procédure interne : ne pas copier de données confidentielles dans un outil non approuvé, utiliser des exemples anonymisés, conserver les sorties utiles et signaler les incidents. Cette procédure doit être réaliste et expliquée à l’équipe.

4. Garder un humain dans le parcours

L’IA peut préparer une réponse mais ne doit pas inventer une disponibilité, un prix ou une condition. La personne qui valide doit pouvoir consulter la source, corriger la sortie et refuser l’envoi. Pour un cas risqué, la validation doit être obligatoire et traçable.

Le guide France Num destiné aux dirigeants de TPE-PME insiste sur l’accompagnement organisationnel. La conformité n’est donc pas une case technique ajoutée après le développement : elle fait partie de la conception du travail.

5. Adapter la méthode à la Guyane et à la Guadeloupe

Le territoire ne change pas les principes du RGPD, mais il peut changer les outils utilisés, les équipes, les prestataires et les flux de données. Décrivez le processus propre à l’entreprise. Ne supposez pas qu’une procédure conçue pour un siège métropolitain convient automatiquement à une petite équipe locale.

Un registre simple suffit pour commencer

Créez un tableau avec la donnée, sa source, sa finalité, les personnes qui y accèdent, la durée de conservation et la sortie produite par l’IA. Ajoutez le fournisseur, la date de vérification et le responsable interne. Cette trace est utile pour former l’équipe et pour retrouver la cause d’une erreur.

Si l’IA sert uniquement à préparer une réponse interne à partir d’informations publiques, le risque n’est pas le même que pour une décision automatisée ou un message contenant des informations personnelles. Adaptez les contrôles au cas réel et demandez un avis spécialisé lorsque la situation l’exige.

Lorsque plusieurs fournisseurs interviennent, identifiez leurs rôles : éditeur du modèle, outil d’intégration, hébergeur et prestataire qui configure le flux. Conservez les décisions importantes dans un dossier accessible.

Préparer l’équipe aux erreurs

Expliquez à l’équipe comment reconnaître une réponse douteuse, où signaler une erreur et quand demander une validation supplémentaire. Prévoyez une procédure de retrait si une donnée a été envoyée par erreur. Un contrôle simple et connu est plus utile qu’une politique longue que personne ne consulte.

N’utilisez pas la sortie d’un modèle comme une source. La source doit venir d’un document ou d’un système vérifié; l’IA ne fait que préparer ou classer. Cette distinction aide le responsable à décider rapidement si la réponse peut être utilisée.

Scénario hypothétique : classer une demande sans pièce jointe

Imaginons une agence fictive qui reçoit des demandes de réservation. Le premier essai retire le nom, le téléphone et toute pièce jointe; l’IA ne voit qu’une catégorie, une date et une commune. Elle propose une étiquette interne, puis un employé vérifie la fiche dans le logiciel métier. Si l’équipe constate qu’une donnée personnelle est nécessaire, elle documente la finalité et revoit le fournisseur avant de poursuivre. Le scénario illustre une règle de minimisation, pas un résultat client.

Grille d’usage avant activation

Questions fréquentes

Peut-on utiliser une IA grand public ? Seulement après avoir vérifié l’usage autorisé, les réglages de réutilisation et les données transmises. Commencez avec du contenu public ou fictif.

Le RGPD interdit-il toute IA ? Non. Il impose d’identifier le traitement, sa finalité, les responsabilités et les mesures adaptées au risque.

Qui valide une réponse générée ? Une personne désignée, capable de consulter la source, corriger la sortie et interrompre l’envoi.

La fiche CNIL pour les TPE et PME fournit des cas d’usage et des précautions pratiques. Pour encadrer un flux, voir l’accompagnement des agents IA et Kabatis IA en Guadeloupe.

Conclusion

Avant d’ajouter une IA à un formulaire, un CRM ou une boîte courriel, inventoriez les données, définissez la finalité, vérifiez le fournisseur et imposez une validation adaptée au risque. Le meilleur premier test est celui qui peut être expliqué à l’équipe et arrêté proprement.