Vos équipes utilisent probablement déjà une IA générative, avec ou sans votre accord. La question n'est donc plus de savoir s'il faut l'autoriser, mais ce qui a déjà quitté l'entreprise, et ce que vous pouvez encore décider.
Qu'est-ce qui part exactement ?
Tout ce qui est collé dans la fenêtre de conversation, sans exception : le contrat qu'on fait résumer, le tableau de chiffres qu'on fait commenter, le courrier d'un client mécontent qu'on fait reformuler, l'extrait de code qui contient une chaîne de connexion. S'y ajoute ce qu'on ne pense pas à compter - le nom des personnes citées dans le document, les montants, les adresses. Une conversation d'apparence anodine emporte souvent plus d'informations qu'un fichier qu'on aurait hésité à envoyer par courriel.
« Mais l'éditeur dit qu'il n'entraîne pas sur mes données »
C'est souvent vrai, et ce n'est pas la seule question. Ne pas entraîner un modèle sur un contenu n'empêche ni de le stocker, ni de le faire transiter hors de l'Union européenne, ni de le conserver pendant une durée qu'on ne fixe pas soi-même, ni de le rendre accessible à des équipes de modération. Surtout, cet engagement est une clause contractuelle : il vaut ce que vaut la politique de l'éditeur au moment où vous la lisez, et elle change sans vous demander votre avis. Une architecture où la donnée ne sort pas, elle, ne dépend d'aucune politique.
Ce que ça implique côté RGPD
Dès qu'un document contient une donnée personnelle - le nom d'un salarié, celui d'un client, un CV, un courrier - l'envoyer à une plateforme extérieure fait de cet éditeur un sous-traitant au sens de l'article 28. Cela suppose un contrat de sous-traitance signé, une mention dans votre registre des traitements, une information des personnes concernées, et la justification du transfert s'il sort de l'Union. Peu d'entreprises l'ont fait pour un usage arrivé par le bas, sans décision formelle. Ce n'est pas une faute morale, c'est un angle mort courant - mais c'est un angle mort qui se voit lors d'un contrôle.
Ce qu'il faut faire, dans l'ordre
D'abord constater, sans chercher de coupable : demandez qui utilise quoi, et pour quoi faire. Vous découvrirez presque toujours des usages utiles, et c'est une bonne nouvelle. Ensuite tracez une ligne claire sur ce qui ne doit jamais être collé ailleurs que dans un outil interne : données personnelles, contrats, éléments financiers, code propriétaire. Enfin, donnez un outil qui rend cette ligne tenable - une interdiction sans alternative est contournée en trois jours, et vous perdez alors la visibilité en plus des données.
Ce que change une IA installée chez vous
Le raisonnement s'inverse. La question n'est plus « qu'est-ce que j'ai le droit d'envoyer », mais « qui a le droit d'y accéder » - une question à laquelle votre annuaire répond déjà. Le registre des traitements se simplifie puisqu'il n'y a plus de sous-traitant à déclarer ni de transfert à justifier. Et l'usage cesse d'être clandestin : vos équipes n'ont plus de raison de contourner un outil qui fait le travail sans faire sortir les documents.
À retenir
- Tout ce qui est collé dans la conversation sort de l'entreprise, y compris ce qu'on ne pense pas à compter
- « Nous n'entraînons pas sur vos données » ne dit rien du stockage, de la durée ni du lieu
- Un document contenant une donnée personnelle fait de l'éditeur un sous-traitant au sens de l'article 28
- Interdire sans donner d'alternative fait perdre la visibilité en plus des données