Sécurité des données
IA et RGPD au bureau : ce que vous avez le droit de mettre dans un outil d'IA
La question arrive dans toutes les équipes : « j'ai le droit de mettre ça dans ChatGPT ? ». Voici la réponse en trois couleurs, utilisable telle quelle dans votre règlement interne.
- publié()
- lecture()
- 6 min
- auteur()
- TROIE Studio
Le RGPD ne dit pas un mot sur ChatGPT, et pourtant il répond très bien à la question que tout le monde se pose. Le raisonnement tient en deux étapes : est-ce qu'il y a des données personnelles dans ce que je m'apprête à envoyer ? Et si oui, l'outil dans lequel je l'envoie offre-t-il un cadre de traitement ? Trois couleurs suffisent à en faire une règle d'équipe.
Feu vert : ce qui peut y aller sans se poser de question
- Vos propres contenus sans données personnelles : un argumentaire à reformuler, une notice produit, un texte de site.
- Les informations publiques factuelles : un texte de loi, une documentation technique, un article public.
- Les données réellement anonymisées : chiffres agrégés, exemples fictifs, gabarits avec des variables ([CLIENT], [MONTANT]) à la place des vraies valeurs.
Feu orange : possible, mais seulement avec un cadre
Dès qu'une personne est identifiable (un nom, un email, mais aussi un poste dans une petite structure, un dossier reconnaissable), c'est une donnée personnelle : le RGPD s'applique, et vous en restez responsable. L'usage devient possible quand trois conditions sont réunies : une offre professionnelle avec un accord de traitement des données (DPA), une base légale pour ce traitement, et des personnes informées de vos usages. C'est exactement la différence entre l'offre grand public et les offres Business, Enterprise ou l'API des grands fournisseurs.
Feu rouge : ce qui n'entre jamais dans un outil grand public
- Les données sensibles : santé, opinions, appartenance syndicale, données biométriques.
- Les données de tiers sans base légale : le CV d'un candidat, le dossier d'un client, la liste des salariés.
- Les secrets d'affaires et documents confidentiels : contrats, marges, code propriétaire, dans un outil sans cadre contractuel.
Le piège du faux anonymat
Retirer le nom ne suffit pas. « Notre directeur commercial à Lyon, en poste depuis mars » est identifiable par recoupement : c'est de la pseudonymisation, pas de l'anonymisation, et le RGPD s'applique toujours. Le test honnête : si un collègue peut deviner de qui il s'agit, la donnée est personnelle. La parade simple : des gabarits à variables, et les vraies valeurs remplies hors de l'outil.
Qui est responsable si un salarié colle quand même ?
L'entreprise, en tant que responsable de traitement : c'est elle qui répond des données de ses clients et de ses salariés, y compris quand la fuite vient d'un usage individuel non encadré. D'où les deux mesures qui comptent : une règle écrite en trois couleurs comme celle-ci, et des équipes formées à l'appliquer. C'est le cœur de la littératie IA que demande l'article 4, et c'est ce que couvre notre formation Données du campus.