IA et données confidentielles : la checklist en 12 points

Avant de confier des documents confidentiels à un assistant IA, vérifiez douze points : ce que vous mettez dedans, qui y a accès, où les données sont traitées, ce que le fournisseur a le droit d'en faire, et ce que dit le contrat. Les textes de référence sont le RGPD (règlement général sur la protection des données), les recommandations de la CNIL (Commission nationale de l'informatique et des libertés) et le guide de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) du 29/04/2024.

Cette liste ne remplace pas l'avis de votre délégué à la protection des données ou d'un avocat. Elle vous aide à arriver à ce rendez-vous avec les bonnes questions.

Avant tout : de quel assistant parle-t-on ?

La CNIL distingue plusieurs façons d'utiliser une IA générative : un service grand public, un outil hébergé dans le nuage par un prestataire, un accès par interface de programmation, ou une installation « sur site ». Plus vous déléguez, plus la maîtrise repose sur le fournisseur et sur le contrat.

Un assistant d'équipe qui répond à partir de vos procédures, contrats ou catalogues ajoute une particularité : il s'appuie sur une base de documents. Selon la CNIL, l'entreprise qui connecte un système d'IA à une base de connaissances contenant des données personnelles devient responsable de ce traitement.

Les 12 points à vérifier

Le détail, point par point

1. Le besoin. La CNIL demande de partir d'usages identifiés, pas de déployer l'outil « pour voir ». Un assistant qui aide à rédiger des réponses internes présente moins de risques qu'un système qui aide à décider sur des clients ou des candidats.

2 à 5. Le contenu. Faites la liste des dossiers que vous comptez verser. L'ANSSI demande de cartographier toutes les données utilisées, y compris les questions des utilisateurs et les réponses produites. Le détail est sur la page données personnelles dans les documents et sur la page secret des affaires.

6. Les accès. Si le dossier « contrats de travail » ou « contentieux » est dans la base, l'assistant risque d'en citer des extraits à quelqu'un qui n'y a pas accès dans le serveur de fichiers. L'ANSSI parle de « besoin d'en connaître » et recommande de revoir les droits dès l'activation, puis régulièrement. Voir la page recommandations de l'ANSSI.

7 et 8. Le contrat. Quand un prestataire traite des données personnelles pour votre compte, l'article 28 du RGPD exige un contrat écrit avec des clauses précises. La page contrat de sous-traitance les reprend une par une.

9. La réutilisation. La CNIL demande de vérifier si le fournisseur peut réutiliser les données fournies, et d'adapter l'usage en conséquence. Voir la page dédiée.

10. L'hébergement. Un transfert hors de l'Union européenne n'est pas interdit, mais il doit reposer sur une base prévue au chapitre V du RGPD. Voir hébergement des données en Europe.

11. L'analyse d'impact. Elle est obligatoire quand le traitement est susceptible d'engendrer un risque élevé. La page analyse d'impact explique comment l'appliquer à un assistant.

12. Les règles d'usage. La CNIL recommande une charte qui liste les usages autorisés et interdits, et la vérification des réponses avant toute reprise.

Un exemple concret

Une entreprise de maintenance veut que ses techniciens interrogent les notices et les procédures d'intervention. Bonne nouvelle : ces documents contiennent peu de données personnelles. Point d'attention : les rapports d'intervention, eux, citent des clients et des adresses. Décision possible : verser les notices et procédures, garder les rapports hors de la base au démarrage, et rouvrir la question avec le délégué à la protection des données.

Ce que cette liste ne couvre pas

Les obligations propres à votre métier (secret professionnel, règles d'un ordre, données de santé) s'ajoutent à ces points. Le règlement européen sur l'IA ajoute aussi une obligation d'information quand l'assistant parle à des personnes : voir la page sur le règlement IA. Pour préparer la discussion avec un prestataire, gardez sous la main les questions à poser au fournisseur.