Gouvernance · 11 min
Quelles données transmettre
à une IA en entreprise ?
Une classification visuelle et douze questions pour décider avant de copier un document dans un outil.
Ce qu’il faut retenir.
- 01
L’outil autorisé dépend de la nature de la donnée, de la finalité et des garanties réellement configurées.
- 02
La minimisation reste un excellent réflexe : ne transmettre que ce qui est nécessaire au résultat attendu.
- 03
Une règle courte, des exemples métier et une procédure d’exception sont plus utiles qu’une interdiction impossible à appliquer.
Une règle en trois zones pour commencer.
Cette classification est un outil pratique de sensibilisation, pas une qualification juridique. Elle doit être adaptée à votre politique de sécurité, à vos contrats et à vos catégories de données.
Le point essentiel : une donnée « interne » ne devient pas anodine parce qu’elle est copiée dans une interface familière. Il faut connaître la destination, la conservation et les usages secondaires du fournisseur.
L’outil, la donnée et la finalité vont ensemble.
Pour des données personnelles, identifiez notamment la finalité, la base juridique applicable, les personnes concernées, la durée de conservation et les droits à organiser. Appliquez la protection des données dès la conception du cas d’usage.
Vérifiez aussi les réglages concrets : historique, entraînement, partage, connecteurs, comptes administrateurs et suppression. Une politique n’a de valeur que si la configuration lui correspond.
- Public ou synthétique : utilisable dans les outils approuvés, après vérification des droits de réutilisation.
- Interne : environnement validé, finalité explicite, accès et conservation maîtrisés.
- Sensible ou secret : traitement interdit par défaut hors dispositif spécifiquement conçu et autorisé.
Douze questions avant d’ouvrir un outil.
La fiche de validation doit pouvoir être comprise par les équipes métier, la sécurité, le juridique et l’exploitation.
- 01
Quel problème précis l’outil résout-il ?
✓ - 02
Quelles catégories de données lui seront transmises ?
✓ - 03
Peut-on retirer ou masquer les données non nécessaires ?
✓ - 04
Des données personnelles ou sensibles sont-elles concernées ?
✓ - 05
Les contenus servent-ils à entraîner ou améliorer le service ?
✓ - 06
Où les données et leurs sauvegardes sont-elles traitées ?
✓ - 07
Combien de temps les entrées et sorties sont-elles conservées ?
✓ - 08
Qui peut accéder au compte, aux historiques et aux journaux ?
✓ - 09
Quels connecteurs donnent accès à d’autres données ?
✓ - 10
Comment supprimer, exporter ou récupérer les contenus ?
✓ - 11
Comment un utilisateur signale-t-il une erreur ou un incident ?
✓ - 12
Qui revoit l’autorisation lorsque l’outil ou le cas d’usage change ?
✓
Former aux décisions, pas seulement aux prompts.
La culture IA attendue par le cadre européen ne se résume pas à savoir rédiger une consigne. Les personnes doivent comprendre les capacités, les limites, les risques du contexte d’usage et les règles internes.
Travaillez avec des exemples réels : un CV, un contrat, un export CRM, un compte rendu, une base documentaire. L’équipe apprend ainsi à reconnaître la donnée, choisir l’outil et vérifier le résultat.
POINT DE DÉCISIONCe guide est informatif et ne constitue pas un avis juridique. Faites valider les règles par vos responsables sécurité, données et juridique selon votre contexte.
Pour vérifier et aller plus loin.
Nous privilégions les textes officiels et les cadres de référence. Les recommandations de ce guide sont notre lecture opérationnelle de ces sources, à adapter à votre contexte.
- 01CNIL — Conformité des systèmes d’IA ↗
Repères pour intégrer les exigences de protection des données.
- 02CNIL — Protection des données dès la collecte ↗
Minimisation, information, conservation et sécurité.
- 03Commission européenne — Culture IA ↗
Questions-réponses officielles sur l’article 4 de l’AI Act.
- 04ANSSI — Sécurité des systèmes d’IA générative ↗
Recommandations pour une intégration prudente au SI.