Copier un courriel dans un assistant d’intelligence artificielle pour le résumer semble être une tâche anodine. Mais ce courriel peut contenir des noms, des adresses, des données d’un compte, des détails professionnels ou une conversation que l’autre personne ne s’attendait pas à voir sortir de son contexte d’origine. La décision importante se prend avant d’appuyer sur « envoyer ».
Utiliser l’IA et protéger les données personnelles ne sont pas des objectifs incompatibles. Le problème apparaît lorsque l’on partage des informations par habitude, sans se demander si elles sont nécessaires, qui pourra les traiter ou pendant combien de temps. Ce guide propose une méthode simple pour prendre cette décision avec plus de contrôle. Il ne remplace pas un conseil juridique : les obligations concrètes varient selon le pays, l’activité et le type d’information.
Idée clé : La question utile n’est pas seulement « l’IA peut-elle accomplir cette tâche ? », mais « de quelle quantité minimale d’informations a-t-elle besoin pour l’accomplir ? ».
D’abord : identifier le type d’information que vous avez sous les yeux
Une donnée personnelle est une information relative à une personne identifiée ou identifiable. Elle ne se limite pas au nom ou au numéro de pièce d’identité. Elle peut également inclure une adresse électronique, une photographie, un enregistrement vocal, la localisation, le parcours professionnel ou une combinaison de détails permettant de savoir de qui l’on parle.
Cette définition correspond, par exemple, à celle retenue par le Règlement général sur la protection des données de l’Union européenne. Elle sert de référence pratique, mais ne fait pas du régime européen une norme universelle. Chaque juridiction définit son propre champ d’application et ses propres obligations.
Il convient de distinguer trois groupes :
- Données personnelles : elles permettent de rattacher l’information à une personne de manière directe ou indirecte.
- Données sensibles : elles bénéficient d’une protection particulière dans de nombreuses législations, bien que les catégories exactes varient. Elles peuvent couvrir la santé, la biométrie, les convictions ou l’orientation sexuelle.
- Informations confidentielles : elles peuvent ne pas identifier une personne, mais révéler des secrets d’affaires, des stratégies, des identifiants d’accès ou des dossiers internes.
Le fait qu’une donnée soit publique ne signifie pas pour autant qu’elle soit exempte de limites. Une adresse professionnelle visible sur Internet conserve son contexte et peut être soumise à des règles relatives à la finalité, à la réutilisation ou aux droits de la personne. La disponibilité n’équivaut pas à une autorisation illimitée.
Un filtre en quatre questions avant de partager
Avant de coller du texte, de téléverser une image ou de joindre un document, arrêtez-vous quelques secondes et appliquez ce filtre :
- Quelle tâche souhaité-je accomplir ? Définissez une finalité concrète : résumer un texte, corriger le style ou comparer des clauses. « Voir ce que dit l’IA » ne justifie pas d’exposer des informations supplémentaires.
- Quelles données sont indispensables ? Séparez ce dont l’outil a besoin de ce que le fichier contient par hasard.
- Quelqu’un pourrait-il identifier la personne ? Prenez en compte non seulement les noms, mais aussi les fonctions, les dates, les lieux, les faits atypiques et les combinaisons d’indices.
- Existe-t-il une solution avec une moindre exposition ? Vous pouvez utiliser un extrait, un résumé, des valeurs fictives ou un environnement expressément autorisé.
Ce processus renvoie à deux principes utiles : la finalité, savoir à quoi sert l’information, et la minimisation, la limiter à ce qui est adéquat et nécessaire. Tous deux figurent dans le RGPD européen et dans des guides ibéro-américains, tels que le guide destiné aux entités publiques et privées de l’Agence d’accès à l’information publique d’Argentine.
Minimiser ne se résume pas à effacer le nom
Supposons que vous souhaitiez résumer le courriel d’un client. Supprimer sa signature est utile, mais le corps du message pourrait mentionner une petite entreprise, un poste unique, une date et un incident très spécifique. Réunis, ces éléments peuvent permettre de l’identifier.
Une version plus prudente remplacerait les noms par des rôles — « client », « fournisseur » —, supprimerait les coordonnées et les numéros de compte, généraliserait les dates et ne conserverait que l’extrait nécessaire. Si l’objectif est d’améliorer le ton de la réponse, il suffit peut-être de décrire la situation sans coller le message d’origine.
La pseudonymisation réduit le lien direct en séparant les identifiants, mais l’information demeure personnelle si une clé ou un contexte permet de reconstituer l’identité. L’anonymisation exige bien plus : que l’identification des personnes ou l’extraction de leurs données soit très improbable par des moyens raisonnables. Le Comité européen de la protection des données avertit que cette évaluation dépend des circonstances de chaque cas : supprimer une colonne de noms ne fournit pas, à soi seul, une telle garantie.
Avertissement : Si le contexte permet de reconnaître la personne, remplacer son nom par « Utilisateur A » ne transforme pas automatiquement les données en données anonymes.
La même logique s’applique aux fichiers. Avant de téléverser un contrat, vérifiez les en-têtes, les signatures, les annexes, les commentaires, les métadonnées visibles, les comptes bancaires et les données de tiers. Pour comparer une clause, isolez cette clause et remplacez les valeurs identifiables. Si l’identité est essentielle à la tâche, n’improvisez pas : utilisez un environnement validé ou transmettez la décision à la personne responsable.
Examiner l’outil fait également partie de la décision
Réduire le contenu n’est qu’un premier niveau de précaution. L’autre consiste à comprendre les conditions d’utilisation du service. Les pratiques peuvent varier selon le fournisseur, le produit, l’abonnement et la configuration ; il ne convient donc pas de présumer que tous les outils s’entraînent sur les conversations, ni qu’aucun ne le fait.
Avant d’introduire des données qui ne sont pas anodines, vérifiez dans la documentation en vigueur :
- quelles informations le service recueille et à quelles fins ;
- si les données d’entrée peuvent être utilisées pour améliorer ou entraîner des systèmes, et quels contrôles existent ;
- combien de temps il conserve les données et comment demander leur suppression ;
- qui peut accéder aux conversations ou aux fichiers ;
- quelles options d’administration, de sécurité et d’audit il propose ;
- dans quelles juridictions les informations peuvent être traitées ou stockées.
L’Agence espagnole de protection des données recommande aux utilisateurs de limiter les informations personnelles exposées, de consulter les politiques de confidentialité et de ne pas se fier aveuglément à l’exactitude des réponses. Une politique claire aide à décider, mais elle ne remplace pas l’autorisation de partager les informations de tiers.
La vie privée et la sécurité ne sont pas non plus synonymes. La sécurité vise à réduire les accès, les pertes ou les divulgations indues. La protection de la vie privée examine en outre si l’utilisation est légitime, proportionnée et cohérente avec ce à quoi la personne pouvait s’attendre. Un outil techniquement sûr peut tout de même être employé pour une finalité inappropriée.
Quand vous agissez pour une organisation, le seuil d’exigence est plus élevé
Une personne qui expérimente avec des informations fictives se trouve dans une situation différente de celle d’un employé qui téléverse des dossiers de clients, de patients ou de salariés. Au sein d’une organisation, il ne suffit pas que l’outil soit pratique ni que l’utilisateur en ait accepté les conditions.
Avant d’utiliser des données réelles, l’équipe devrait savoir :
- quels outils et quels usages sont autorisés ;
- qui décide de la finalité et répond du traitement ;
- quelles catégories de données sont exclues ;
- quels contrôles contractuels, techniques et d’accès s’appliquent ;
- comment sont documentés les incidents et les demandes relatives aux données ;
- qui examine le résultat avant qu’il ne produise des effets.
Par exemple, pour rédiger une fiche de poste, il n’est pas nécessaire de coller de vrais curriculum vitæ : des profils fictifs sont souvent suffisants. Si l’on utilise l’IA pour appuyer une décision relative à l’emploi, à la santé, au crédit ou à des droits, une personne responsable doit pouvoir examiner, contester et corriger le résultat. La révision humaine améliore le contrôle, mais elle n’annule pas une divulgation qui a déjà eu lieu.
Cette répartition claire des responsabilités protège l’autonomie individuelle et limite le pouvoir informationnel des entreprises et des autorités. Accepter volontairement un service ne devrait pas devenir un renoncement indéfini au contrôle de ses propres données ou de celles d’autrui. Quiconque décide de partager des données doit aussi être en mesure d’expliquer pourquoi il l’a fait et quelles garanties il a appliquées ; ce critère est lié aux droits individuels.
Idée clé : Les conditions du fournisseur régissent une relation avec le service ; elles ne confèrent pas automatiquement l’autorisation de divulguer les données de clients, de collègues ou de citoyens.
Que faire si vous avez déjà partagé des informations que vous n’auriez pas dû transmettre
Ne cherchez pas à dissimuler le problème. Agissez rapidement et conservez les éléments nécessaires pour décrire ce qui s’est passé sans accroître l’exposition des données.
- Interrompez tout nouveau téléversement et notez quelles informations ont été partagées, à quel moment, avec quel compte et dans quel outil.
- Examinez les options disponibles pour supprimer la conversation ou le fichier, sans présumer que cette action efface toutes les copies ou tous les journaux.
- Modifiez immédiatement vos identifiants si le contenu incluait des mots de passe, des clés d’accès ou des jetons.
- Informez le responsable interne de la protection des données, de la sécurité ou de la conformité si vous agissiez pour le compte d’une organisation.
- Consultez les obligations applicables dans votre juridiction. Les délais et les procédures de notification varient selon les pays.
La réponse appropriée dépendra de la sensibilité des données, du nombre de personnes concernées et de la possibilité d’utilisation abusive. Un nom isolé ne présente pas le même risque qu’un dossier médical ou qu’une base d’identifiants.
Liste de contrôle avant d’appuyer sur « envoyer »
Procédez à une dernière vérification :
- La tâche et la finalité sont claires.
- Le contenu ne comporte pas de données superflues concernant des tiers.
- Vous avez retiré les identifiants directs et examiné les identifiants indirects.
- Vous avez envisagé l’usage d’un résumé, d’un extrait ou d’un exemple fictif.
- Vous avez vérifié les pièces jointes, les signatures et les données dissimulées au premier regard.
- Vous connaissez les règles en vigueur concernant l’utilisation, la conservation, l’accès et l’entraînement du service.
- Vous disposez de l’autorisation nécessaire si vous agissez pour le compte d’une organisation.
- Une personne compétente vérifiera tout résultat pertinent.
- Vous savez vers qui vous tourner en cas d’incident.
L’objectif n’est pas de priver l’IA de son utilité ni de la fuir par crainte. Il s’agit de préserver notre capacité de choix. Partager moins, vérifier davantage et maintenir une responsabilité humaine identifiable permet de tirer parti de ces outils sans traiter les informations personnelles comme une ressource disponible par défaut.
Partager