Ce qu'il ne faut pas taper dans ChatGPT (ou toute IA) au travail

La fuite de données la plus fréquente en entreprise aujourd'hui ne vient pas d'une cyberattaque : elle vient de quelqu'un qui colle un e-mail, un contrat ou une liste de clients dans une fenêtre de discussion pour qu'une IA le résume. Aucune intention malveillante, et c'est justement pour cela que ce risque est le plus difficile à maîtriser. C'est aussi, presque littéralement, l'une des quatre connaissances que l'article 4 exige de votre personnel : savoir quelles données ne doivent jamais être saisies dans un outil.

Pourquoi la destination de votre texte compte

Quand vous saisissez quelque chose dans un service d'IA gratuit ou grand public, ce texte quitte votre entreprise et entre dans l'infrastructure d'un tiers, généralement hors de l'UE. Selon les conditions du service, ce texte peut être utilisé pour entraîner de futurs modèles, être conservé indéfiniment, ou être accessible au personnel du fournisseur lors de tâches de relecture. Ce n'est pas un scénario hypothétique : plusieurs entreprises ont déjà vu des fragments de conversations que leurs salariés croyaient privées exposés publiquement.

Cinq catégories qui ne doivent jamais quitter votre entreprise

• Données personnelles de clients ou de salariés : noms accompagnés de coordonnées, salaires, évaluations de performance, données de santé, ou toute information identifiant une personne précise.
• Secrets d'affaires et propriété intellectuelle : code source propre, formules, stratégie tarifaire, plans produit non publiés, ou toute information procurant un avantage concurrentiel.
• Informations soumises à confidentialité contractuelle : clauses d'accords avec clients ou fournisseurs, conditions d'un NDA, conditions économiques convenues.
• Identifiants et données d'accès : mots de passe, clés d'API, jetons d'accès à des systèmes internes, même pour demander à l'IA de simplement les « vérifier » ou les mettre en forme.
• Documents internes non publiés : projets de contrats, comptes rendus de réunions sensibles, communications juridiques avant leur envoi formel.

Le cas qui prête le plus à confusion : coller un CV ou une réclamation client

Demander à une IA de rédiger la réponse à une réclamation client paraît anodin, et peut l'être, si c'est fait correctement. La bonne technique consiste à décrire le type de cas, non le cas précis : le modèle n'a besoin ni du nom, ni du numéro client, ni des coordonnées pour rédiger une bonne réponse, seulement de la situation. Les données personnelles sont ajoutées ensuite, dans votre propre système, sur le texte déjà généré. Même logique pour un CV : on peut demander de l'aide pour évaluer le profil « d'un candidat avec 5 ans d'expérience en vente B2B », jamais en collant le document complet avec nom, numéro d'identité et parcours.

Et les outils payants ou d'entreprise ?

Les offres entreprise des principaux outils d'IA proposent généralement des garanties contractuelles selon lesquelles les données ne sont pas utilisées pour entraîner les modèles et sont traitées avec des mesures de sécurité renforcées. Cela réduit le risque, mais ne l'élimine pas : il reste nécessaire d'évaluer le fournisseur en tant que sous-traitant au sens de l'article 28 du RGPD, de signer le contrat correspondant et de vérifier où les données sont traitées. Une offre payante ne rend pas automatiquement l'usage conforme.

Questions fréquentes

Comment nous traitons cela dans la formation

Le module 3 de notre parcours est entièrement consacré à cela : comment les données circulent dans un prompt, des cas réels de fuite de secrets d'affaires via des outils publics, et la technique de pseudonymisation en trois étapes pour utiliser l'IA sans exposer de données personnelles. Pas de théorie abstraite : les mêmes exemples qu'ici, traités sous forme de défis interactifs avec correction réelle.