Données à ne pas saisir dans un assistant d'IA

La première règle d'un assistant d'intelligence artificielle (IA) est la plus simple à énoncer et la plus difficile à tenir : ne pas coller dans l'outil ce que l'on ne peut pas partager. Ce guide donne la liste des données à ne jamais saisir, les repères de la CNIL pour les définir, et une checklist à passer avant chaque envoi. Il ne remplace pas l'avis d'un professionnel du droit ou de la protection des données, mais il évite la plupart des erreurs courantes.

Ce qu'est une donnée personnelle

La CNIL définit une donnée personnelle comme « toute information se rapportant à une personne physique identifiée ou identifiable ». Elle cite comme identifiants directs le nom et le prénom, et comme identifiants indirects le numéro de téléphone, la plaque d'immatriculation, un identifiant comme le numéro de sécurité sociale, l'adresse postale ou l'adresse électronique. La voix et l'image sont aussi concernées. Les coordonnées génériques d'une entreprise ne sont en principe pas des données personnelles.

Cette définition est large. Une personne peut être identifiée par une seule donnée, ou par le croisement de plusieurs données qui, prises ensemble, la désignent.

Les données sensibles

La CNIL classe à part les données sensibles. Il s'agit des informations qui révèlent l'origine raciale ou ethnique, les opinions politiques, les croyances religieuses ou philosophiques, l'appartenance syndicale, les données génétiques, les données biométriques permettant d'identifier une personne, les données de santé, et celles relatives à la vie ou à l'orientation sexuelle.

Dans une entreprise, ces données peuvent apparaître dans un dossier de salarié, une fiche de candidat, une demande de client ou une note de visite. Elles ne doivent pas être saisies dans un assistant d'IA sans un cadre validé par un professionnel.

La liste pratique à ne jamais saisir

• noms, prénoms, adresses, numéros de téléphone et adresses électroniques de clients, de salariés ou de candidats ;
• numéros de sécurité sociale, numéros de pièce d'identité, coordonnées bancaires ;
• données de santé, y compris un arrêt de travail ou une allergie d'un client ;
• contrats, devis et documents internes portant une information confidentielle ou couverte par le secret des affaires ;
• mots de passe, codes d'accès et clés d'accès à un logiciel ;
• photos de personnes prises sans leur accord.

La CNIL recommande de ne soumettre que les informations que l'on est autorisé à partager. C'est le critère le plus simple : si vous n'avez pas le droit de transmettre cette information à une personne extérieure, vous n'avez pas le droit de la donner à un outil.

Trois moyens de réduire le risque

Retirer les identifiants. Remplacez le nom par une fonction (« le client », « le salarié »), supprimez les adresses et les numéros. Relisez le texte : un détail précis peut suffire à reconnaître la personne.

Travailler sur des modèles. Un courrier type, une fiche produit générique ou un compte rendu sans noms peuvent être travaillés sans données personnelles. C'est souvent là que l'IA apporte le plus, pour un risque faible.

Régler l'outil. Créez le compte avec une adresse professionnelle. Désactivez la réutilisation des données d'usage quand l'option existe, et lisez la politique de l'offre utilisée. Pour l'offre grand public de Claude, par exemple, la politique d'Anthropic indique que les entrées et les sorties peuvent servir à entraîner les modèles, sauf désactivation dans les paramètres du compte, avec des exceptions : les conversations signalées pour sécurité, et les contenus notés par l'utilisateur. Cette politique précise qu'elle ne couvre pas les contenus traités pour les clients des offres professionnelles. Ce sont alors les contrats qui s'appliquent. Le guide choisir un assistant détaille ces critères.

La checklist avant chaque envoi

1. Le texte contient-il un nom, une adresse, un numéro, une photo ou une date de naissance ?
2. Contient-il une information de santé, une opinion, une appartenance ou une donnée sensible ?
3. Contient-il une information confidentielle de l'entreprise ou d'un client ?
4. Ai-je le droit de transmettre ces informations à un tiers ?
5. L'offre utilisée est-elle celle de l'entreprise, avec les paramètres réglés ?

Si une seule réponse est « oui » à la première ou à la deuxième question, retirez l'information avant d'envoyer, ou ne faites pas la tâche avec cet outil.

Et après une erreur ?

Une donnée interdite saisie par erreur doit être signalée au référent de l'équipe sans délai, décrite par écrit, et ne doit pas être cachée. La suite dépend de la nature de la donnée. Le guide règles simples pour l'équipe prévoit cette procédure. Pour l'obligation de notification éventuelle et les démarches, voir un professionnel de la protection des données, sans attendre.

Pour le reste des règles d'usage, lisez aussi le guide erreurs fréquentes des débutants.