Données Sensibles et IA : Les 5 Erreurs Fatales que Font les PME

Un collaborateur colle un contrat client dans ChatGPT pour en faire un résumé. Un RH utilise Copilot pour rédiger une fiche de poste avec des données salariales. Un dirigeant demande à une IA de préparer une offre commerciale confidentielle.

Ces trois scénarios se produisent chaque jour dans des milliers de PME françaises. Et dans les trois cas, des données sensibles viennent de quitter l'entreprise.

Le problème n'est pas l'IA. L'IA est un outil extraordinaire de productivité. Le problème, c'est de ne pas savoir quelles données on lui confie — et où elles atterrissent.

Qu'appelle-t-on "données sensibles" en entreprise ?

Avant d'aller plus loin, posons une définition claire. En droit européen, les données sensibles désignent les données dont la divulgation pourrait causer un préjudice à une personne ou à une organisation.

Les données personnelles sensibles au sens du RGPD

• Données de santé
• Opinions politiques, religieuses ou syndicales
• Données biométriques ou génétiques
• Origine ethnique ou raciale

Les données sensibles d'entreprise

• Contrats clients et fournisseurs
• Données RH et salariales
• Informations financières et comptables
• Stratégie commerciale, roadmap produit
• Propriété intellectuelle, brevets, code source
• Données de négociation en cours

Utiliser ChatGPT comme outil de travail principal

C'est l'erreur la plus répandue, et la plus dangereuse. ChatGPT est un outil grand public conçu pour collecter et traiter des données à grande échelle.

Ce qui se passe quand vous collez un document dans ChatGPT

Lorsque vous soumettez un texte à ChatGPT, ce contenu est transmis aux serveurs d'OpenAI — une entreprise américaine soumise au Cloud Act. Par défaut, OpenAI utilise les conversations pour améliorer ses modèles, sauf si vous désactivez explicitement cette option. Mais même avec l'option désactivée : vos données transitent par des serveurs étrangers, sont soumises aux lois américaines, et ne sont pas sous votre contrôle.

Les cas concrets à risque

• Coller un contrat de prestation pour en extraire les clauses clés
• Demander à l'IA d'analyser un bilan financier
• Utiliser ChatGPT pour rédiger un plan de licenciement avec des noms et salaires
• Soumettre une proposition commerciale confidentielle pour l'améliorer

Croire que "désactiver l'historique" suffit

OpenAI propose une option "Ne pas enregistrer l'historique des conversations". De nombreux responsables IT pensent que cette option suffit à protéger leurs données. C'est une illusion partielle.

Ce que cette option fait réellement

Désactiver l'historique signifie que vos conversations ne seront pas utilisées pour entraîner les modèles futurs d'OpenAI. Mais cela ne signifie pas que vos données ne transitent pas par leurs serveurs, ne sont pas temporairement stockées, ou ne sont pas accessibles dans le cadre d'une requête légale.

Le vrai problème

La désactivation de l'historique est une mesure de confidentialité relative à l'entraînement des modèles. Ce n'est pas une mesure de protection juridique contre le Cloud Act, ni une garantie que vos données ne seront pas consultées par des tiers.

Traiter les données RH avec des outils cloud

Les données RH sont parmi les plus sensibles qui existent en entreprise : noms, salaires, évaluations, arrêts maladie, situations familiales, historiques disciplinaires. Elles sont protégées par le RGPD et soumises à des obligations strictes de confidentialité.

Ce que font les PME sans le réaliser

• Utiliser Microsoft Copilot intégré à Word ou Excel pour analyser des tableaux RH
• Demander à une IA de rédiger des comptes rendus d'entretien annuel à partir de notes nominatives
• Soumettre des CV avec données personnelles à ChatGPT pour présélectionner des candidats
• Utiliser une IA pour analyser les données d'absence et détecter des tendances

Le risque réglementaire concret

La CNIL a le pouvoir de sanctionner ce type de pratiques. Et contrairement à ce que beaucoup pensent, l'ignorance n'est pas une circonstance atténuante. La responsabilité du traitement incombe au responsable de traitement — c'est-à-dire à votre entreprise, pas à OpenAI.

Penser que les données financières ne sont "pas si sensibles"

Les données financières sont systématiquement sous-estimées dans les politiques de sécurité des PME. On pense aux données clients, aux contrats, aux données RH — mais rarement aux données comptables et financières.

Pourquoi les données financières sont critiques

Vos données financières révèlent :

• La santé réelle de votre entreprise — bien au-delà de ce que vous communiquez publiquement
• Vos marges par client ou par produit — une information stratégique précieuse pour vos concurrents
• Vos capacités d'investissement — utile pour quiconque veut négocier contre vous
• Vos obligations contractuelles et dettes — exploitables dans un litige ou une acquisition hostile

Ce que font les PME avec l'IA

• Soumettre un bilan ou compte de résultat à ChatGPT pour obtenir une analyse
• Utiliser une IA pour préparer des tableaux de bord financiers à partir de données brutes
• Demander à une IA de comparer les offres fournisseurs avec les marges actuelles

Ne pas former les équipes aux bonnes pratiques IA

C'est souvent l'erreur la plus coûteuse, car elle démultiplie toutes les autres. Un collaborateur non formé va naturellement utiliser les outils les plus accessibles — c'est-à-dire les outils grand public comme ChatGPT — sans mesurer les risques.

Ce que révèlent les études

Plusieurs études récentes montrent que plus de 40% des employés qui utilisent des outils IA au travail ont déjà soumis des informations confidentielles à des services cloud sans en informer leur direction. Ce n'est pas de la malveillance — c'est de l'efficacité mal orientée.

Les trois niveaux de formation nécessaires

Niveau 1 — Sensibilisation basique (tous les collaborateurs) :

• Qu'est-ce qu'une donnée sensible ?
• Quels outils IA sont autorisés pour quels types de données ?
• Que faire en cas de doute ?

Niveau 2 — Pratiques avancées (managers et responsables) :

• Comment identifier les risques RGPD liés à l'IA ?
• Comment choisir un outil IA selon la criticité des données ?
• Comment documenter les traitements IA pour la conformité ?

Niveau 3 — Gouvernance IA (direction et IT) :

• Politique d'utilisation de l'IA en entreprise
• Cartographie des données sensibles et des outils autorisés
• Procédures en cas d'incident de données lié à l'IA

Une IA locale pour les données sensibles

La réponse à ces cinq erreurs est la même : déployer une IA qui reste dans votre entreprise pour tous les traitements impliquant des données sensibles. Concrètement, cela signifie :

• Un modèle IA comme Mistral ou LLaMA 3 installé sur votre serveur
• Une interface utilisateur comme Open WebUI accessible depuis votre réseau interne
• Aucune connexion vers des serveurs externes pour le traitement des données
• Une utilisation identique à ChatGPT pour vos collaborateurs — même interface, mêmes fonctionnalités

Vos équipes gardent toute la productivité de l'IA. Vos données sensibles ne quittent jamais votre réseau. C'est ce qu'on appelle la souveraineté numérique — et c'est accessible à une PME de 5 personnes aujourd'hui.

Questions fréquentes