Données personnelles et IA en entreprise : 10 questions avant de tester

Copier un email client, un dossier RH ou un contrat dans un assistant IA paraît simple. Pour une entreprise, ce geste peut pourtant créer un nouveau traitement de données, un nouveau fournisseur, une nouvelle durée de conservation et de nouveaux accès.

Ce guide aide à préparer la discussion. Il ne remplace pas un DPO ou un conseil juridique. La CNIL publie quatre fiches pratiques destinées aux TPE et PME pour définir les usages, choisir une solution et prendre des précautions.

1. Quelle est la finalité exacte ?

« Utiliser l'IA » n'est pas une finalité. Résumer un compte rendu, classer une demande, retrouver une procédure ou préparer une réponse sont des finalités plus précises. Elles permettent de décider quelles informations sont réellement nécessaires.

2. Quelles données entrent, sortent et restent stockées ?

Dessinez la chaîne : document d'origine, personne qui l'envoie, outil, réponse produite, historique, export éventuel et système où le résultat est copié. Les pièces jointes, journaux et connecteurs comptent aussi.

3. Le compte est-il personnel ou professionnel ?

Les engagements peuvent varier entre une offre grand public, un espace professionnel et une API. OpenAI indique par exemple que les données de ChatGPT Business, Enterprise et de l'API ne servent pas à l'entraînement des modèles par défaut et sont chiffrées en transit et au repos. Il faut vérifier l'offre réellement utilisée, pas appliquer cette phrase à n'importe quel compte.

4. Quel contrat et quelles options s'appliquent ?

Vérifiez le sous-traitant, le DPA, les durées de conservation, la localisation prévue, la suppression, les journaux, l'authentification et les options d'administration. Une page marketing ne remplace pas les conditions liées au compte de l'entreprise.

5. Des applications ou sources sont-elles connectées ?

Un connecteur vers Drive, SharePoint, un CRM ou une messagerie étend le périmètre. Il faut contrôler les autorisations existantes, les actions activées, les comptes concernés et la politique propre au service connecté.

6. Peut-on réduire ou remplacer les données ?

Commencez avec des exemples fictifs, publics ou anonymisés. Retirez noms, coordonnées, identifiants, informations financières, données de santé et détails inutiles. Gardez à l'esprit qu'une combinaison de faits peut permettre de reconnaître une personne.

7. Qui peut voir les demandes et les réponses ?

Définissez les comptes, les rôles, le partage, les liens publics, les exports et le départ d'un collaborateur. Un assistant documentaire doit respecter les droits sur ses sources ; tous les utilisateurs ne doivent pas nécessairement interroger tous les dossiers.

8. Qui vérifie le résultat ?

Une réponse plausible peut être fausse, incomplète ou fondée sur le mauvais document. Précisez qui relit, quelles sources doivent être citées, quelles décisions restent interdites et quand transmettre le dossier à une personne compétente.

9. Que se passe-t-il en cas d'erreur ou d'indisponibilité ?

Prévoyez un retour manuel, la possibilité de suspendre la connexion, une trace suffisante pour comprendre l'incident et une personne responsable. Une automatisation sans bouton d'arrêt est difficile à maintenir.

10. Comment l'usage sera-t-il revu ?

Les outils, modèles, contrats et connecteurs évoluent. Programmez une revue : utilisateurs actifs, données envoyées, erreurs, coût, droits, documents sources et besoins qui ont changé.

Le protocole prudent pour un premier essai

1. choisir une tâche limitée et réversible ;
2. préparer des exemples fictifs ou fortement minimisés ;
3. vérifier l'offre, le contrat et les paramètres ;
4. tester les bonnes réponses, les erreurs et les refus attendus ;
5. faire valider le traitement avant d'utiliser des dossiers réels.

Si les données, le fournisseur ou les accès restent flous, commencez par un diagnostic IA. Le livrable technique peut cartographier les flux et les contrôles à examiner, sans se présenter comme une validation juridique.