IA et données : l'utiliser sans exposer vos informations

La crainte est légitime, mais souvent mal placée. Le risque, ce n'est pas «  l'IA  » en général : c'est ce que vos équipes collent dedans, et dans quelle version de l'outil. Un même assistant peut être parfaitement acceptable avec un compte entreprise bien configuré, et problématique en version gratuite grand public. La bonne nouvelle : avec un compte adapté et quelques règles tenues, une PME utilise l'IA sereinement. Voici comment.

Le scénario qui se produit vraiment

Oubliez le pirate informatique. Le scénario le plus courant est bien plus banal : un collaborateur consciencieux, pressé par une échéance, colle un fichier client ou un contrat dans un outil d'IA gratuit pour «  aller plus vite  ». Il gagne effectivement une heure. Personne ne le saura, et c'est précisément le problème : pas de malveillance, pas d'alerte, pas de trace côté entreprise. La donnée est sortie de chez vous sans que quiconque ait décidé qu'elle pouvait sortir. Et l'interdiction générale ne règle rien : l'usage continue, il devient juste invisible. La seule réponse qui tient, c'est un cadre clair.

Comprendre où va la donnée

Que devient un texte collé dans un outil d'IA ? Cela dépend entièrement de l'outil, et du compte utilisé. Selon les cas, la donnée peut servir à entraîner les modèles (et potentiellement ressortir, sous une autre forme, dans les réponses faites à d'autres), être conservée dans des journaux techniques ou un historique de conversations, et transiter ou être stockée hors d'Europe, chez des sous-traitants que vous ne connaissez pas. Rien de tout cela n'est caché : c'est écrit dans les conditions d'utilisation. Mais les versions gratuites grand public et les offres entreprise n'obéissent pas aux mêmes règles : les premières se réservent souvent le droit d'exploiter ce que vous leur donnez, les secondes s'engagent contractuellement à ne pas le faire. Même outil, même écran, régime très différent.

Les questions à poser avant d'adopter un outil

Avant d'ouvrir un outil d'IA à votre équipe, quatre questions au fournisseur suffisent à faire le tri :

• Mes données servent-elles à l'entraînement ? La réponse doit être non, par contrat, pas via une option enfouie dans les réglages que chacun doit penser à décocher.
• Combien de temps sont-elles conservées ? Historique de conversations, journaux techniques : quelle durée de rétention, et peut-on la réduire ou la désactiver ?
• Où sont-elles hébergées ? Dans quel pays, chez quels sous-traitants, avec quelles garanties contractuelles ?
• Puis-je le régler pour mon équipe ? Une console d'administration qui permet d'imposer les bons réglages à tous, plutôt que de compter sur la vigilance de chacun.

Un fournisseur sérieux répond à ces quatre questions par écrit, sans détour : elles figurent dans ses conditions ou sa documentation entreprise. S'il faut chercher longtemps la réponse, elle est dans le silence.

Les trois règles d'équipe

Une fois l'outil choisi, inutile d'empiler les procédures : trois règles, tenues dans la durée, couvrent l'essentiel des usages quotidiens. Elles se retiennent en une réunion d'équipe et ne demandent aucune compétence technique :

• Des comptes professionnels, ouverts par l'entreprise. Jamais de comptes personnels pour le travail : c'est le compte qui détermine les règles applicables à la donnée, pas la bonne volonté de l'utilisateur.
• Données nominatives ou sensibles : anonymiser ou s'abstenir. Un nom de client, un salaire, un litige en cours n'ont rien à faire dans un prompt. On remplace par «  client X  », ou on ne colle pas.
• Une liste courte d'outils validés. Deux ou trois outils vérifiés et fournis par l'entreprise valent mieux qu'une interdiction générale que tout le monde contourne sur son téléphone.

Mettez-le par écrit : une page suffit

Ces règles ne servent que si elles sont connues. Une page, pas trente : qui a le droit d'utiliser quoi, avec quel compte, et quelles données ne sortent jamais de l'entreprise. Datée, signée, remise à chaque arrivée. Une charte courte que tout le monde a lue protège infiniment mieux qu'un document juridique que personne n'ouvre. Et si le sujet dépasse l'IA (qui a accès à vos fichiers, vos sauvegardes, votre capacité à changer de prestataire), c'est la question plus large de la souveraineté, que nous traitons dans garder la main sur vos données.

Bien encadrée, l'IA rend de vrais services à une PME : nous en parlons dans l'IA utile pour une PME et dans 5 cas concrets d'IA en PME. C'est aussi la logique de nos systèmes IA gérés : des outils choisis, configurés et encadrés pour vous, avec les bonnes règles dès le départ. Pour situer votre entreprise, le plus simple reste le diagnostic gratuit : 20 minutes pour voir ce que vos équipes utilisent déjà, et poser le cadre qui manque.