IA et confidentialité des données : ce qui sort vraiment de l'entreprise

Un salarié colle un contrat dans un assistant d'IA pour en obtenir un résumé : où partent ces données, qui peut les lire, et qui en est responsable ? La réponse dépend moins de l'outil que de la façon dont il est utilisé. Voici ce que disent les textes et les autorités françaises, et les précautions qui suffisent dans la plupart des cas.

Qui est responsable des données saisies

Quand l'entreprise utilise un outil d'IA avec des données personnelles, elle en est le responsable de traitement au sens du RGPD. La CNIL ajoute que dans le cas général, c'est l'organisme utilisateur qui engage sa responsabilité légale en cas de mauvaise utilisation de l'IA par son personnel. Autrement dit : l'outil peut être américain, la responsabilité reste chez vous.

Ce qui sort réellement de l'entreprise

Tout ce qui est saisi dans un outil en ligne quitte votre système d'information pour celui du fournisseur. Selon l'offre et les réglages, ces données peuvent être conservées, analysées ou réutilisées pour améliorer le service. Avec une utilisation par API, la CNIL note que la maîtrise du système est presque entièrement entre les mains du fournisseur.

Le risque n'est pas seulement juridique. Dans sa synthèse de la menace publiée en février 2026, le CERT-FR de l'ANSSI relève que l'utilisation de comptes d'IA par les salariés dans un cadre professionnel peut exposer des informations sensibles en cas de compromission de ces comptes, et cite plus de 100 000 comptes ChatGPT compromis entre 2022 et 2023.

Ce que disent le RGPD et la CNIL

Cinq précautions qui suffisent souvent

• Des comptes professionnels dédiés, jamais une adresse personnelle, et la réutilisation des données par le fournisseur désactivée quand c'est possible.
• Rien de confidentiel dans un outil grand public : ni données clients, ni contrats, ni chiffres stratégiques. C'est la règle que rappellent les fiches France Num conçues avec la CPME et la CNIL.
• Une offre professionnelle pour les usages sensibles, avec un contrat de sous-traitance et une localisation des données connue.
• L'anonymisation avant la saisie quand elle est possible : un nom, une adresse ou un numéro de dossier n'est presque jamais nécessaire pour obtenir un résumé.
• Une règle écrite et partagée : quels outils, quelles données, qui décide. C'est l'objet d'une charte d'utilisation de l'IA.

La question utile n'est pas « cet outil est-il sûr ? », mais « quelles données nos équipes y mettent-elles ? ».

Commencer par un état des lieux

Dans beaucoup d'entreprises, personne ne sait précisément quels outils d'IA sont utilisés, ni avec quelles données. Avant d'interdire ou d'acheter quoi que ce soit, il faut le savoir. Un audit IA le fait : il regarde les outils réellement utilisés, les données concernées, les droits d'accès et les exigences du RGPD, avant de recommander quoi que ce soit.

Les obligations propres à l'AI Act, qui s'ajoutent au RGPD, sont détaillées dans notre article sur ce que l'AI Act impose déjà à une PME.

Questions fréquentes

Peut-on mettre des données clients dans ChatGPT ?

Pas dans un outil grand public. Les fiches France Num conçues avec la CPME et la CNIL recommandent de ne pas y introduire de données confidentielles, personnelles ou stratégiques. Pour des données sensibles, la CNIL privilégie une solution déployée sur site ou une offre professionnelle encadrée par un contrat.

Le RGPD s'applique-t-il à l'IA générative ?

Oui. Dès que des données personnelles sont saisies dans un outil d'IA, l'entreprise est responsable de traitement : base légale, contrat avec le prestataire, encadrement des transferts hors de l'Union et, si le risque est élevé, analyse d'impact.

Qui est responsable si un salarié fuite des données dans un outil d'IA ?

Selon la CNIL, dans le cas général, c'est l'organisme utilisateur qui engage sa responsabilité légale en cas de mauvaise utilisation de l'IA par son personnel. D'où l'intérêt de règles écrites et d'une sensibilisation des équipes.