Une question ? Contactez-nous directement sur 
Ce qu'on ne saisit jamais dans un outil d'IA au travail
La question n’est pas de savoir si vos équipes utilisent l’IA générative — elles l’utilisent. La question est de savoir ce qu’elles y collent. Voici la liste de ce qui ne doit pas sortir de votre entreprise, les trois manières de contourner le problème sans renoncer à l’outil, et la note d’usage qui tient sur une page.
Mise à jour : septembre 2026 · Lecture : 8 minutes · Pour toutes les entreprises
À retenir
- Tout ce qui est saisi dans un outil en ligne quitte votre entreprise.
- La responsabilité ne se délègue pas au fournisseur de l'outil.
- Trois méthodes couvrent presque tous les besoins : anonymiser, travailler sur la structure, utiliser une offre professionnelle paramétrée.
- Tout élément vérifiable doit être vérifié avant de sortir.
- Une note d'usage d'une page vaut mieux qu'une charte que personne n'ouvre.
Le principe, en une phrase
Tout ce que vous saisissez dans un outil en ligne quitte votre entreprise. Selon le service et son paramétrage, ces données peuvent être conservées, consultées par des humains dans le cadre de contrôles, ou servir à améliorer le service. Partez de là, et le reste devient simple.
La responsabilité ne se délègue pas au fournisseur de l’outil. Si vos données clients sortent, c’est votre entreprise qui répond, devant vos clients et devant la CNIL.
Un point souvent mal compris : le risque n’est pas seulement que l’information « ressorte » un jour dans la réponse faite à quelqu’un d’autre — ce scénario est devenu rare. Le risque juridique est en amont, dans le transfert lui-même : confier à un tiers des données que vous n’aviez pas le droit de lui confier constitue déjà le manquement, même si rien ne fuite ensuite.
La liste de ce qui ne doit pas y entrer
- Les données personnelles de vos clients : nom associé à une adresse, un numéro de téléphone, un historique d'achat, une réclamation. Un fichier client collé dans une fenêtre de discussion est un transfert de données, avec tout ce que cela implique.
- Les documents sous clause de confidentialité : contrats, accords-cadres, réponses à appels d'offres en cours, cahiers des charges d'un client. Vous avez signé quelque chose qui vous l'interdit, même si vous ne vous en souvenez plus.
- Les données de santé, sous quelque forme que ce soit, y compris un simple arrêt de travail.
- Les éléments de paie et les dossiers du personnel : bulletins, entretiens, courriers disciplinaires, candidatures reçues.
- Les identifiants et les secrets techniques : mots de passe, clés d'accès, configurations de serveur. On les colle par réflexe en demandant de l'aide sur un bug.
- Ce qui appartient à un tiers : le fichier d'un partenaire, les visuels d'un fournisseur, le code d'un prestataire.
- Les informations couvertes par le secret professionnel, pour les métiers qui y sont soumis. Aucun aménagement n'est possible de ce côté-là.
Deux cas se glissent presque toujours à travers les mailles : la capture d’écran, qu’on ne perçoit pas comme une saisie de données alors qu’elle en est une, et la pièce jointe déposée « juste pour résumer ». Nommez-les explicitement dans votre note d’usage.
Comment travailler quand même
Interdire sans proposer d’alternative revient à pousser les équipes à contourner la règle en silence. Trois méthodes couvrent la quasi-totalité des besoins réels.
- Anonymiser avant de coller. Remplacez les noms par Client A, Client B, les montants par des ordres de grandeur, les dates par des repères relatifs. Dans neuf cas sur dix, l'outil n'a pas besoin de l'information identifiante pour produire ce que vous attendez.
- Travailler sur la structure, pas sur le contenu. Demandez un plan de réponse, une trame de courrier, une liste de questions — puis remplissez vous-même avec les données réelles.
- Utiliser une offre professionnelle correctement paramétrée. Les versions destinées aux entreprises permettent en général de désactiver la réutilisation des contenus et d'encadrer la conservation. Il faut lire les conditions, et les relire quand elles changent.
Et pour les documents qui ne doivent vraiment pas sortir, il existe des outils qui s’exécutent sur votre propre poste. C’est plus lent, moins puissant, et parfaitement suffisant pour une synthèse.
Le test des dix secondes
Avant de coller quoi que ce soit : seriez-vous à l'aise si ce texte s'affichait sur l'écran d'un prestataire extérieur que vous n'avez jamais rencontré ? Si la réponse hésite, anonymisez. Ce test attrape la quasi-totalité des situations à risque, et il se transmet en une phrase à une équipe.
Ce que dit le paramétrage, et ce qu'il ne dit pas
Les options de confidentialité des outils grand public ont beaucoup progressé, et il est aujourd’hui possible, dans la plupart d’entre eux, de désactiver la réutilisation des conversations pour l’entraînement. C’est utile, et ce n’est pas suffisant.
- Désactiver l'entraînement n'efface pas les données : elles restent conservées un certain temps, chez le fournisseur.
- Un compte personnel utilisé pour le travail échappe à tout contrôle de l'entreprise le jour où la personne s'en va.
- Les conditions changent, parfois d'une version à l'autre : ce que vous avez vérifié il y a un an n'est plus nécessairement vrai.
- L'hébergement hors Union européenne appelle des garanties particulières, qui relèvent du responsable de traitement — c'est-à-dire de vous.
La conséquence pratique est simple : donnez à vos équipes des comptes professionnels, sous le contrôle de l’entreprise, plutôt que de laisser chacun utiliser le sien. Cela coûte quelques dizaines d’euros par personne et par mois, et cela règle la moitié du problème.
La règle qui manque toujours : la vérification
Un outil d’IA générative produit un texte plausible, pas un texte vrai. Il invente des références d’articles de loi, des chiffres de marché et des citations avec le même aplomb que le reste. Tout élément vérifiable doit être vérifié avant de sortir de l’entreprise.
La règle à faire passer aux équipes tient en une ligne : si vous n’avez pas le temps de vérifier, ne demandez pas.
Cette règle a une conséquence utile sur le choix des usages : privilégiez les tâches où vous apportez la matière et où l’outil se contente de la mettre en forme. Le risque d’invention y est presque nul, et le gain de temps y est le plus élevé. Les sept règles pour écrire un bon prompt
Ce qu'il faut écrire, et à qui le dire
Une note d’usage d’une page, connue de tous, vaut mieux qu’une charte de quinze pages que personne n’ouvre. Elle indique les outils autorisés, les tâches pour lesquelles ils le sont, la liste ci-dessus, et le nom de la personne à qui poser une question en cas de doute.
Prévenez aussi vos clients lorsque l’IA intervient dans une prestation qui les concerne. La transparence coûte une phrase et évite une conversation difficile. Certains donneurs d’ordre l’exigent désormais contractuellement ; mieux vaut l’avoir anticipé que le découvrir dans un cahier des charges.
Enfin, si l’introduction de ces outils change la manière de travailler, informez et, le cas échéant, consultez les représentants du personnel. Le sujet touche à l’organisation du travail autant qu’à la technique. Les obligations qui accompagnent l’usage de l’IA
Questions fréquentes
Peut-on coller un devis client pour le faire reformuler ?
Pas tel quel s'il contient le nom du client, ses coordonnées ou des conditions négociées. Remplacez l'identité par Client A et les montants par des ordres de grandeur : la reformulation sera tout aussi bonne.
Les versions payantes sont-elles conformes au RGPD ?
Aucune version n'est conforme en soi : la conformité dépend de ce que vous en faites et des garanties contractuelles obtenues. Les offres professionnelles apportent des engagements plus solides, mais le responsable du traitement reste votre entreprise.
Que risque-t-on vraiment en cas de manquement ?
Selon la gravité : une plainte d'un client ou d'un salarié, une mise en demeure de la CNIL, et le cas échéant une sanction financière. Dans une TPE, le coût le plus probable est d'abord commercial et réputationnel.
Faut-il inscrire ces outils au registre des traitements ?
Dès qu'un traitement de données personnelles est en jeu, oui : le registre doit refléter la réalité des outils utilisés. C'est aussi l'occasion de constater ce qui circule réellement dans l'entreprise.
Un salarié a collé un fichier client. Que faire ?
Traitez-le comme un incident : identifiez ce qui est parti, demandez la suppression au fournisseur, documentez la chaîne, appréciez le besoin de notification à la CNIL. Puis formez, plutôt que de sanctionner un réflexe que rien n'avait encadré.
Faire le tri sur vos propres usages
En une demi-journée, nous passons en revue ce que vos équipes font déjà avec ces outils, ce qui doit s’arrêter, et ce qui peut au contraire être généralisé sans risque. Vous repartez avec votre note d’usage écrite.
Stratégies Formations — 8 rue Henri Matisse, 34420 Portiragnes. Téléphone : 06 60 27 32 25. Entreprise de formation déclarée, Activateur France Num (DGE).