Une politique “ne mettez rien de confidentiel dans l’IA” est juste mais difficile à appliquer. Pour agir, l’équipe a besoin d’exemples, d’outils autorisés et d’une voie sûre pour les cas légitimes impliquant des données internes.
Classez avant de saisir
La catégorie dépend du contenu, pas du format. Une capture d’écran ou une transcription peut être aussi sensible qu’un fichier client.
La checklist AI Act complète ce classement du point de vue réglementaire.
- Public : contenu déjà publié et réutilisable
- Interne : procédures non sensibles, dans un outil professionnel validé
- Confidentiel : contrats, marges, stratégie ou secrets — environnement dédié uniquement
- Personnel ou sensible : données clients, salariés, santé ou finance — analyse RGPD et sécurité préalable
Minimisez et pseudonymisez
Retirez les noms, coordonnées, identifiants et détails inutiles. Remplacez-les par des rôles ou des codes lorsque la tâche reste possible. Attention : une combinaison de contexte peut parfois permettre de réidentifier une personne.
Vérifiez le fournisseur et les réglages
Documentez la réutilisation éventuelle des requêtes, la durée de conservation, les lieux de traitement, les sous-traitants, les contrôles d’accès et la suppression. Utilisez des comptes professionnels, l’authentification multifacteur et les réglages limitant l’entraînement lorsque disponibles.
Ces éléments figurent parmi les critères de choix d’un outil d’IA et méritent d’être tranchés avant la souscription, pas après.
Préparez l’incident
Indiquez à qui signaler une saisie accidentelle, comment supprimer la conversation, révoquer un accès et évaluer les personnes concernées. Une réaction rapide vaut mieux qu’un incident caché par peur de la sanction.
À faire maintenant
- 1Créer quatre niveaux de données
- 2Publier des exemples autorisés et interdits
- 3Valider les comptes professionnels
- 4Ajouter une procédure d’incident