Ce qui se passe quand vous écrivez dans un assistant d’IA
Un message envoyé à un assistant d’IA est transmis au fournisseur du service, traité sur ses serveurs, et souvent conservé pendant une certaine durée dans un historique. Selon l’offre et vos réglages, il peut aussi être utilisé pour améliorer les modèles. Écrire dans un assistant revient donc à confier une information à un prestataire.
La question n’est pas « l’IA est-elle sûre ? », mais : quel fournisseur, quelle offre, quels réglages, quelles données, et qui y a accès ?
Offres grand public et offres professionnelles : la vraie différence
OpenAI (ChatGPT) et Anthropic (Claude) proposent des offres pour les particuliers et des offres pour les entreprises, ainsi qu’un accès par API pour les développeurs. En règle générale, les offres entreprise et l’API prévoient par défaut que les données des clients ne servent pas à entraîner les modèles, et offrent des engagements contractuels et des outils d’administration. Pour les comptes individuels, cela dépend des réglages et des conditions en vigueur.
| Question à vérifier | Compte personnel | Offre entreprise ou API |
|---|---|---|
| Les données servent-elles à l’entraînement ? | Dépend des réglages et des conditions : à vérifier | En général non par défaut : à confirmer dans le contrat |
| Qui administre les comptes ? | Chaque utilisateur | L’entreprise (création, suppression, droits) |
| Existe-t-il un contrat de traitement des données ? | Rarement adapté à un usage professionnel | Oui en général, à lire et à signer |
| Durée de conservation | Selon les conditions du service | Souvent paramétrable ou encadrée |
| Départ d’un salarié | L’historique part avec lui | L’entreprise désactive le compte |
Les conditions d’utilisation, les politiques de confidentialité et les réglages changent régulièrement. Ce guide décrit des principes : vérifiez toujours les documents à jour du fournisseur avant de décider, et conservez-en une copie datée.
RGPD et hébergement : les points de contrôle
Dès que des données personnelles sont transmises (noms de clients, de salariés, de candidats, adresses e-mail), le RGPD s’applique. Le fournisseur agit en général comme sous-traitant, ce qui suppose un contrat conforme.
- Contrat de traitement des données : rôle de chacun, mesures de sécurité, sous-traitants ultérieurs.
- Localisation et transferts : où les données sont traitées, et quel cadre encadre les transferts hors de l’Union européenne. Certains fournisseurs proposent un traitement ou un stockage en Europe sur leurs offres professionnelles : vérifiez ce qui est réellement inclus.
- Conservation : durée de conservation des conversations et des fichiers, possibilité de suppression.
- Minimisation : n’envoyer que ce qui est nécessaire à la tâche.
- Information des personnes : si vous traitez des données de clients ou de salariés avec l’IA, votre information RGPD doit le prévoir.
Les recommandations de la CNIL sur l’intelligence artificielle sont un bon point de départ. Votre délégué à la protection des données ou votre avocat vous dira ce qui s’applique à vos usages.
Ce qu’il ne faut jamais envoyer, même avec une offre professionnelle
- Identifiants, mots de passe, clés d’API, codes d’accès : jamais, dans aucun outil.
- Données de santé et données sociales individuelles (arrêts maladie, salaires nominatifs, évaluations) : hors des assistants, sauf cadre spécifique validé.
- Informations couvertes par une clause de confidentialité envers un tiers (client, partenaire, cible d’acquisition) : vérifiez ce que le contrat autorise.
- Données bancaires et numéros d’identification.
| Au lieu de… | Envoyez plutôt… |
|---|---|
| Le fichier clients complet | Des données agrégées par segment |
| « Le client Dupont SA a 120 000 € d’impayés » | « Un client représentant 8 % du CA a trois mois de retard » |
| Le contrat signé avec un partenaire | Les clauses concernées, noms retirés |
| Les salaires nominatifs | La masse salariale par service |
Ces règles ont vocation à figurer dans une charte IA, courte et connue de tous.
Connecter un assistant à vos outils : le cas des connecteurs MCP
Plutôt que de copier-coller des chiffres dans une conversation, on peut relier un assistant à un logiciel de l’entreprise par MCP (Model Context Protocol), un standard ouvert. L’assistant interroge alors le logiciel, qui ne lui renvoie que ce qui est demandé, avec les droits de l’utilisateur.
Bien configuré, ce mode est plus sûr que le copier-coller : pas de fichier exporté qui circule, des accès limités et traçables. Mal configuré, il ouvre un accès large à des données sensibles. Les bons réglages :
- Lecture seule chaque fois que c’est suffisant.
- Accès personnel à chaque utilisateur, jamais une clé partagée.
- Double authentification sur le compte du logiciel.
- Révocation simple et journal des accès.
- Périmètre minimal : seules les données utiles à l’usage prévu.
Le serveur MCP de usepilot applique ces principes : lecture seule, double authentification obligatoire, accès révocable et journalisé. Il permet d’interroger vos indicateurs de pilotage depuis un assistant compatible, comme Claude Desktop, sans exporter vos fichiers.
Check-list avant de déployer un assistant d’IA dans l’entreprise
- Choisir une offre professionnelle ou l’API, avec comptes administrés par l’entreprise.
- Lire et archiver les conditions : entraînement, conservation, localisation, sous-traitants.
- Signer le contrat de traitement des données si des données personnelles sont concernées.
- Classer les données : autorisées, à anonymiser, interdites.
- Activer la double authentification et définir qui administre les comptes.
- Rédiger une charte d’usage d’une page et la présenter aux équipes.
- Pour les connecteurs : lecture seule, accès personnels, révocables, journalisés.
- Revoir le dispositif une fois par an, et à chaque changement de conditions du fournisseur.
Les usages de direction (préparer un comité, analyser des écarts, structurer une décision) manipulent les données les plus sensibles. Le guide IA pour dirigeant de PME détaille les usages utiles et les précautions associées.
Tableau de bord, objectifs budget / réel, trésorerie, risques et rapports mensuels, avec un conseiller IA. Essai gratuit 14 jours, sans carte bancaire.
Questions fréquentes
Mes données sont-elles utilisées pour entraîner ChatGPT ou Claude ?
Cela dépend de l’offre et des réglages. En règle générale, les offres entreprise et l’API prévoient par défaut que les données des clients ne servent pas à l’entraînement, tandis que pour les comptes individuels cela dépend des réglages. Vérifiez les conditions en vigueur de la version que vous utilisez.
Peut-on utiliser ChatGPT ou Claude en respectant le RGPD ?
Oui, à condition d’encadrer l’usage : offre professionnelle avec contrat de traitement des données, minimisation des données envoyées, vérification des transferts hors Union européenne, information des personnes concernées et inscription au registre des traitements.
Quelles données ne faut-il jamais mettre dans un assistant d’IA ?
Les identifiants et mots de passe, les clés d’accès, les données de santé, les données sociales individuelles, les données bancaires et les informations couvertes par une clause de confidentialité envers un tiers.
Un compte gratuit suffit-il pour un usage professionnel ?
Ce n’est pas recommandé : l’entreprise ne contrôle ni les comptes, ni les réglages, ni l’historique, et le cadre contractuel est rarement adapté. Une offre professionnelle ou l’API donnent un cadre plus clair.
Est-il plus sûr de connecter l’assistant à ses logiciels que de copier-coller ses données ?
Souvent oui, si le connecteur est bien configuré : lecture seule, accès personnels, double authentification, révocation et journal des accès. Le copier-coller multiplie les copies de données non maîtrisées.
Faut-il prévenir ses salariés et ses clients de l’usage de l’IA ?
Les salariés doivent connaître les règles d’usage, idéalement par une charte. Si des données personnelles de clients ou de salariés sont traitées avec l’IA, l’information RGPD doit le prévoir. Faites valider votre situation par un conseil.
Tableau de bord, objectifs budget / réel, trésorerie, risques et rapports mensuels, avec un conseiller IA. Essai gratuit 14 jours, sans carte bancaire.