Sécurité et conformité
IA et confidentialité : comment protéger les données de votre entreprise
Comptes personnels, entraînement des modèles, données sensibles, connecteurs : les bonnes pratiques pour utiliser l'IA sans exposer les informations de l'entreprise.
Par l'équipe Paris AIPublié le 4 min de lecture
En bref
Pour utiliser l'IA sans exposer vos données, fournissez des comptes professionnels plutôt que de laisser vos équipes utiliser des comptes personnels, vérifiez les conditions d'utilisation des données de chaque outil, interdisez l'envoi des données les plus sensibles, limitez les accès des connecteurs et documentez les traitements. Les offres professionnelles d'éditeurs comme Anthropic n'utilisent pas vos contenus pour l'entraînement par défaut.
Les points clés
- Le premier risque est l'usage de comptes personnels non encadrés.
- Les offres professionnelles apportent des garanties que les offres grand public n'ont pas toujours.
- Certaines données ne doivent jamais être envoyées sans cadre spécifique.
- Des règles simples, écrites et expliquées, protègent mieux qu'une interdiction.
Quel est le vrai risque pour les données de l'entreprise ?
Le risque le plus courant n'est pas un piratage spectaculaire, mais un usage ordinaire : un salarié colle un contrat client, une liste de prospects ou un bulletin de paie dans un assistant IA ouvert avec son compte personnel. L'entreprise ne sait pas où va cette donnée, sous quelles conditions elle est conservée, ni si elle peut servir à entraîner un modèle. Elle n'a aucun moyen de la supprimer ni de répondre à une demande d'un client.
Interdire l'IA ne règle pas le problème : l'usage se déplace simplement hors de tout contrôle. La réponse efficace consiste à fournir de bons outils, encadrés, et à expliquer les règles.
Offres grand public ou professionnelles : quelle différence ?
Les éditeurs distinguent généralement leurs offres grand public et leurs offres destinées aux entreprises. Anthropic indique ainsi que, par défaut, les contenus envoyés et générés via ses produits commerciaux (offres Team et Enterprise, et l'API) ne sont pas utilisés pour entraîner ses modèles, sauf si l'utilisateur transmet explicitement un retour ou un signalement. Pour ses offres grand public, des règles distinctes s'appliquent et se règlent dans les paramètres de confidentialité.
Les offres professionnelles apportent aussi l'administration centralisée des comptes, des contrats adaptés et parfois des options d'hébergement. Avant de choisir un outil, lisez ses conditions sur l'usage des données, la durée de conservation et la localisation. Notre comparatif Claude ou ChatGPT liste les points à vérifier.
Quelles données ne faut-il jamais envoyer sans cadre ?
- Les données de santé, sauf avec un hébergement et un cadre adaptés à ces données.
- Les données RH sensibles : bulletins de paie, dossiers disciplinaires, arrêts maladie (voir aussi notre article sur l'IA en recrutement).
- Les secrets d'affaires : prix de revient, stratégie, contrats en négociation.
- Les identifiants, mots de passe et clés d'accès.
- Les données personnelles de clients qui ne sont pas nécessaires à la tâche.
Pour les autres données, la règle est la minimisation : n'envoyer que ce qui est utile. Pour analyser des ventes par région, les noms des clients sont inutiles. Le cadre juridique est détaillé dans notre guide IA et RGPD.
Quelles précautions avec les connecteurs et les agents ?
Les connecteurs donnent à l'IA un accès direct à vos outils : messagerie, drive, CRM. Ils sont très utiles, mais chaque accès est une porte ouverte. Accordez des droits minimaux, en lecture seule par défaut, choisissez des connecteurs de sources fiables et limitez-les aux personnes qui en ont besoin. Notre article sur le MCP explique leur fonctionnement.
Pour les agents qui agissent, ajoutez une validation humaine avant tout envoi ou partage externe, et protégez-vous contre l'injection de prompt, qui peut pousser une IA à divulguer des informations.
Quelles règles donner aux équipes ?
- Utiliser uniquement les outils et comptes fournis par l'entreprise.
- Ne jamais envoyer les catégories de données interdites.
- Anonymiser ou retirer les données personnelles inutiles.
- Relire tout contenu avant de le partager à l'extérieur.
- Signaler immédiatement toute erreur d'envoi ou comportement anormal.
Ces règles tiennent en une page dans votre charte IA, et se transmettent lors des formations. Présentées comme un guide pour bien faire, elles sont bien mieux respectées qu'une liste d'interdits.
Quand faut-il aller plus loin ?
Pour des données très sensibles ou réglementées, plusieurs options renforcent la maîtrise : hébergement des modèles via une plateforme cloud dans une région choisie, solutions installées sur vos propres serveurs avec des modèles à poids ouverts, présentées dans notre article sur l'IA open source ou propriétaire, ou architectures qui anonymisent les données avant tout envoi.
Ces choix dépendent de votre secteur, de vos contrats et de vos risques. Nous les étudions avec vous dans le cadre de notre audit IA, avant tout déploiement d'agent ou d'outil connecté à vos données.
Questions fréquentes
Mes conversations avec Claude servent-elles à entraîner le modèle ?
Pour les produits commerciaux d'Anthropic, non par défaut ; pour les offres grand public, cela dépend de vos paramètres de confidentialité.
Faut-il interdire ChatGPT ou Claude aux salariés ?
Mieux vaut fournir des comptes professionnels encadrés : l'interdiction pousse à des usages cachés, sans contrôle.
L'IA est-elle compatible avec le RGPD ?
Oui, à condition de choisir des outils adaptés, de minimiser les données, d'informer les personnes et de documenter les traitements.
Sources
- Anthropic : utilisation des données pour l'entraînement (produits commerciaux)(nouvel onglet)
- CNIL : intelligence artificielle(nouvel onglet)
- OWASP : injection de prompt (LLM01)(nouvel onglet)
Cet article a une visée informative et ne constitue pas un conseil juridique.
Passer à l'action
Agence IA à Paris : intégration de l'IA en entreprise
Chatbots, agents IA et automatisations qui font gagner des heures à vos équipes et améliorent l'expérience client.
Découvrir l'offreRédigé par l'équipe de Paris AI, agence web et IA à Paris qui conçoit des sites, des applications et des solutions d'intelligence artificielle pour les entreprises. Qui sommes-nous ?
Nos services liés