IA générative et RGPD : les réflexes à adopter en entreprise

L’IA générative peut aider à rédiger, résumer ou analyser des contenus. Son usage professionnel soulève toutefois une question immédiate : quelles informations peut-on transmettre à l’outil ? Le bon réflexe consiste à définir les usages autorisés avant de copier un document dans une interface.

La CNIL recommande aux organisations d’analyser les risques, d’établir une gouvernance claire et de former les utilisateurs. Elle rappelle aussi que les résultats générés peuvent être inexacts et doivent être vérifiés.

Identifier les données avant de les transmettre

Un prompt peut contenir des données personnelles, des informations commerciales ou des éléments couverts par une obligation de confidentialité. Un nom, une adresse email, une situation individuelle ou un dossier client ne doit pas être traité comme un simple texte.

Avant l’utilisation, demandez-vous : cette information est-elle nécessaire ? Suis-je autorisé à la partager ? Que prévoit le fournisseur sur la conservation et la réutilisation des données ?

Pour un premier essai, remplacez les informations réelles par des données fictives. Vous pouvez aussi anonymiser un exemple en supprimant les éléments permettant d’identifier une personne ou une entreprise.

Choisir un outil adapté à l’usage

Tous les services d’IA générative ne proposent pas les mêmes garanties. L’organisation doit examiner les conditions du service, la sécurité, la conservation des échanges, la localisation des traitements et les possibilités de paramétrage.

Le choix dépend du risque. La rédaction d’un texte public ne présente pas les mêmes enjeux que l’analyse d’un dossier individuel. Plus les données et les décisions sont sensibles, plus le cadre doit être exigeant.

Définir une charte d’utilisation

Une charte simple aide les collaborateurs à distinguer :

• les outils approuvés ;
• les usages autorisés et interdits ;
• les données qui ne doivent jamais être saisies ;
• les contrôles humains attendus ;
• la personne à contacter en cas de doute ou d’incident.

Cette charte doit être compréhensible et mise à jour avec les outils et les usages. Elle gagne à inclure quelques situations concrètes propres aux métiers de l’entreprise.

Vérifier systématiquement les résultats

Une réponse fluide peut être fausse. Vérifiez les noms, dates, chiffres, références juridiques et sources avant d’utiliser le résultat. Pour une décision concernant une personne, un contrôle renforcé est nécessaire et l’IA ne doit pas devenir une justification automatique.

La validation humaine ne consiste pas seulement à corriger l’orthographe. Elle doit confirmer la pertinence, l’exactitude, le ton et le respect des règles de l’organisation.

Informer et former les équipes

Interdire sans expliquer conduit souvent à des usages cachés. Une formation permet de comprendre le fonctionnement probabiliste de l’IA générative, ses limites et les données à protéger. Les collaborateurs apprennent aussi à signaler une réponse problématique et à demander conseil.

Une liste de vérification avant chaque usage

1. L’outil est-il autorisé par mon organisation ? 2. Les informations sont-elles nécessaires et partageables ? 3. Puis-je utiliser un exemple fictif ou anonymisé ? 4. Le résultat sera-t-il relu par une personne compétente ? 5. Les sources, chiffres et engagements seront-ils vérifiés ?

Développer un usage responsable de l’IA

La conformité s’intègre aux pratiques quotidiennes : choix de l’outil, préparation du prompt, contrôle de la sortie et traçabilité des décisions. Sprint Formation consacre une partie de son parcours RS6776 à la confidentialité, au RGPD, à l’IA Act et à l’utilisation responsable des contenus générés.

Sources : CNIL, « Les questions-réponses sur l’utilisation d’un système d’IA générative » ; CNIL, « Comment déployer une IA générative ? » ; page Sprint Formation RS6776.