Assistant IA grand public au travail : que dit le RGPD ?

Le RGPD (règlement général sur la protection des données) n'interdit pas d'utiliser un assistant IA grand public au travail. Mais dès qu'un salarié y colle un document qui contient des données personnelles ou des informations confidentielles, l'entreprise doit pouvoir justifier ce traitement, et le cadre d'un compte grand public s'y prête mal.

Cette page vaut pour tous les assistants conversationnels ouverts au public, quel que soit leur éditeur. Elle dit ce que disent les textes et les autorités ; pour votre situation précise, voyez votre délégué à la protection des données ou un avocat.

Ce que dit la CNIL

Dans ses questions-réponses du 18/07/2024 sur l'IA générative, la CNIL (Commission nationale de l'informatique et des libertés) distingue deux situations :

• Usage non confidentiel : un service grand public peut être envisagé « avec des garanties appropriées », en évitant les comptes créés avec des adresses personnelles.
• Données personnelles ou confidentielles : elles doivent être exclues des requêtes, « en particulier » sur un service grand public. Les utilisateurs ne doivent soumettre que des informations qu'ils sont autorisés à partager.

La CNIL ajoute un point que beaucoup d'entreprises oublient : l'organisme utilisateur engage sa responsabilité légale en cas de mauvais usage par son personnel. Laisser faire n'est donc pas une position neutre.

Ce que dit l'ANSSI

Le guide de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) du 29/04/2024 est plus direct. Envoyer des textes, images ou documents à un service d'IA générative grand public revient, selon lui, à déposer ces informations sur un espace de stockage appartenant au prestataire. Le guide indique qu'à sa date de publication, dans la majorité des offres, les données envoyées étaient collectées et utilisées par le prestataire pour optimiser ses modèles.

Sa recommandation R34 : « Proscrire l'utilisation d'outils d'IA générative sur Internet pour un usage professionnel impliquant des données sensibles ». Le guide cite notamment les données personnelles, les données contractuelles, juridiques ou financières de l'entreprise, et les secrets informatiques comme les mots de passe.

Ce que dit le RGPD

Trois principes de l'article 5 sont en jeu quand un document part vers un service extérieur :

• Limitation des finalités : les données de vos clients ont été collectées pour un objet précis, pas pour alimenter un service tiers.
• Minimisation : seules les données nécessaires peuvent être traitées.
• Intégrité et confidentialité : une sécurité appropriée doit être garantie.

L'article 5 ajoute que l'entreprise doit être « en mesure de démontrer » qu'elle respecte ces principes. Et l'article 28 exige un contrat écrit dès qu'un prestataire traite des données personnelles pour votre compte. Avec un compte grand public ouvert par un salarié, ce contrat n'a pas été négocié par l'entreprise.

Que faire concrètement ?

1. Faire l'état des lieux : quels outils vos équipes utilisent déjà, pour quoi faire. La page shadow IA propose une méthode sans chasse aux sorcières.
2. Écrire la règle : ce qui peut aller dans un outil grand public (un texte sans nom, une question générale), ce qui ne le peut pas (un contrat, un dossier client, un fichier RH).
3. Proposer un outil encadré pour les usages qui ont besoin des documents de l'entreprise, avec un contrat, un hébergement connu et des droits d'accès. La checklist en 12 points sert de grille.
4. Vérifier les réponses : la CNIL recommande de ne jamais reprendre telles quelles les sorties de ces systèmes.

Exemple

Une assistante commerciale veut reformuler une relance de facture. Version sans risque : elle écrit « Reformule une relance polie pour une facture de 30 jours de retard » sans nom de client ni montant. Version à proscrire : coller l'échange complet avec le client, son adresse et le détail de la commande.