Ce que vous pouvez confier à une IA — et ce que vous ne devez pas

C'est la question qui arrive toujours en fin de premier rendez-vous, souvent à voix plus basse : « et nos données, dans tout ça ? ». Elle est posée tard parce qu'elle fait peur, alors qu'elle devrait être posée en premier — c'est elle qui détermine ce qu'on a le droit de construire.

On me demande si tel assistant est « sécurisé ». La question n'a pas de réponse dans l'absolu. Un même outil peut être parfaitement acceptable pour reformuler un communiqué de presse et totalement exclu pour traiter un dossier de santé.

Ce qu'il faut trier, ce ne sont pas les outils : ce sont les informations que vos équipes vont y mettre. Et ce tri, personne ne peut le faire à votre place, parce qu'il dépend de votre métier.

La première pile : ce qui est déjà public ou sans enjeu. Un texte marketing, une offre d'emploi, une documentation publiée, un compte rendu anonymisé. Aucune raison de s'en priver, et c'est déjà 70 % des usages quotidiens.

La deuxième pile : ce qui est interne mais non sensible. Procédures, modèles de documents, notes de réunion sans nom. Acceptable dès lors que vous savez où part la donnée et que le fournisseur s'engage contractuellement à ne pas l'exploiter. C'est là que le choix de l'offre compte : une version grand public et une version professionnelle du même outil n'ont pas les mêmes engagements.

La troisième pile : ce qui ne sort pas. Données personnelles identifiantes de vos clients, données de santé, éléments sous secret des affaires, code propriétaire sensible, pièces d'un contentieux. Pour celle-là, soit on travaille sur des données anonymisées, soit on héberge le modèle chez vous, soit on ne le fait pas.

Cette pile-là est plus petite que les gens ne le croient. C'est souvent en la délimitant précisément qu'on débloque tout le reste.

La phrase est exacte mais incomplète. Elle signifie que vos contenus ne serviront pas à améliorer le modèle. Elle ne dit rien sur trois autres points : combien de temps ils sont conservés, qui peut y accéder chez le fournisseur en cas d'incident, et dans quel pays ils transitent.

Ce sont ces trois lignes du contrat qu'il faut lire, pas le bandeau marketing. Et si le fournisseur ne les donne pas clairement, c'est déjà une réponse.

L'hébergement européen simplifie la conformité, il ne la garantit pas à lui seul. Ce qui compte, c'est la combinaison : où la donnée est stockée, qui y a accès, et sous quelle juridiction se trouve la société qui exploite le service.

Côté RGPD, rien de nouveau : une IA est un traitement comme un autre. Vous devez pouvoir dire quelles données vous traitez, pourquoi, combien de temps, et permettre leur suppression. Si vous ne savez pas répondre pour un outil que vos équipes utilisent déjà, vous avez un problème qui n'attend pas l'IA.

Côté AI Act, la plupart des usages de bureau relèvent du risque minimal et ne demandent qu'une chose : dire aux gens quand ils parlent à une machine. Les obligations lourdes visent des usages précis — recrutement, notation, biométrie, accès à des services essentiels. Si vous touchez à l'un d'eux, ce n'est plus un sujet d'outil, c'est un sujet de projet.

Avant de brancher quoi que ce soit, j'écris une page. Pas dix : une. Ce qu'on peut mettre, ce qu'on ne met pas, à qui demander en cas de doute. Elle est affichée, elle tient en une lecture, et elle est écrite avec les équipes concernées.

Une règle que personne ne lit ne protège personne. Une règle d'une page que tout le monde connaît vaut mieux qu'une charte de quarante pages rangée dans un classeur.