Mettre un document dans un assistant IA fait-il perdre la protection du secret des affaires ?

Le texte ne le dit pas ainsi. Il exige que l'information fasse l'objet de « mesures de protection raisonnables ». Confier un document secret à un service sans engagement de confidentialité affaiblit cette démonstration : à apprécier avec un avocat.

Le RGPD protège-t-il mes tarifs et mes méthodes ?

Non, le RGPD ne vise que les données personnelles. Pour vos informations commerciales, c'est le contrat avec le fournisseur, et notamment sa clause de confidentialité, qui vous protège.

Secret des affaires et IA : protéger tarifs et savoir-faire

Le secret des affaires protège une information seulement si votre entreprise a pris des « mesures de protection raisonnables » pour la garder secrète (article L151-1 du Code de commerce). Avant de verser vos tarifs, marges, méthodes ou contrats dans un assistant IA, assurez-vous donc que l'outil choisi fait partie de ces mesures, et pas d'une fuite.

Cette fiche dit ce que prévoit le texte. Pour savoir si une information précise est protégée dans votre cas, consultez un avocat.

Ce que dit l'article L151-1

Une information est protégée au titre du secret des affaires si elle remplit trois conditions cumulatives :

Elle n'est pas généralement connue ni aisément accessible pour les personnes du secteur, « en elle-même ou dans la configuration et l'assemblage exacts de ses éléments ».
Elle a une valeur commerciale, réelle ou potentielle, du fait de son caractère secret.
Elle fait l'objet de mesures de protection raisonnables de la part de son détenteur légitime.

La troisième condition dépend de vous. Une grille tarifaire laissée en libre accès ou copiée dans n'importe quel outil sera plus difficile à défendre qu'une grille réservée à quelques personnes, marquée confidentielle et confiée à des prestataires tenus au secret.

Ce que disent l'ANSSI et la CNIL

Le guide de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) du 29/04/2024 indique qu'envoyer des documents à un service d'IA générative grand public revient à les déposer sur un espace de stockage appartenant au prestataire. Il range explicitement « les données contractuelles, juridiques ou financières de l'entreprise » parmi les données à ne jamais y envoyer (recommandation R34).

La CNIL (Commission nationale de l'informatique et des libertés), dans ses questions-réponses du 18/07/2024, demande d'exclure les données confidentielles des requêtes, en particulier sur les services grand public.

Quels documents sont concernés dans une PME

Type de document	Pourquoi il peut relever du secret	Précaution
Grilles tarifaires, remises par client	Valeur commerciale, non publiques	Accès limité aux commerciaux dans l'assistant
Coûts de revient, marges	Valeur commerciale forte	En général hors de la base
Modes opératoires, recettes, réglages machines	Savoir-faire	Accès limité aux équipes concernées
Contrats fournisseurs et clients	Conditions négociées	Versez des modèles vierges plutôt que les contrats signés
Réponses à appels d'offres	Méthode et prix	Base séparée, accès restreint

Les mesures qui comptent avec un assistant IA

Un contrat de confidentialité avec le fournisseur. Le contrat de sous-traitance du RGPD (règlement général sur la protection des données) ne couvre que les données personnelles ; vos informations commerciales ont besoin de leur propre clause.
Une interdiction écrite de réutilisation de vos documents pour entraîner ou améliorer les modèles. Voir la page réutilisation des données.
Des droits d'accès dans l'assistant calqués sur ceux de vos dossiers : si seul le service commercial voit les remises dans le serveur de fichiers, l'assistant ne doit pas les citer à l'atelier. Voir les recommandations de l'ANSSI.
Un marquage des documents secrets, qui facilite le tri et la preuve.
Une règle d'usage pour les salariés : pas de document secret dans un outil non validé par l'entreprise.

Un exemple

Une entreprise de fabrication veut que ses opérateurs interrogent les fiches de réglage des machines. Ces fiches sont son savoir-faire. Elle choisit un outil dont le contrat interdit la réutilisation des documents, limite l'accès aux équipes de production, et garde hors de la base les fiches de coûts. Elle consigne ces mesures : en cas de litige, ce sont elles qui montreront que le secret était protégé.