C’est l’objection qu’on entend à chaque premier rendez-vous IA, et c’est la bonne
objection : « si je mets mes devis, mes contrats et mes données clients là-dedans, où ça
va ? ». La réponse honnête : ça dépend entièrement de COMMENT vous utilisez
l’IA — et l’écart entre le pire et le meilleur usage est énorme. Le vrai risque aujourd’hui
n’est d’ailleurs pas l’outil déployé par l’entreprise : c’est le « shadow AI », vos
salariés qui collent déjà des documents internes dans des comptes gratuits grand public, sans cadre.
Interdire ne marche pas ; encadrer, oui. Voici la grille que nous utilisons.
Ce qui se passe vraiment avec vos données : les 4 niveaux
Niveau 1 — les comptes grand public gratuits : le vrai danger
Sur les offres gratuites grand public, les conversations peuvent être utilisées pour
entraîner les modèles (selon les réglages et les éditeurs) et sont conservées par défaut.
Un salarié qui y colle un contrat client, un fichier de paie ou un code source fait
de facto sortir des données de l’entreprise — sans DPA, sans maîtrise de la conservation.
C’est le niveau à proscrire pour tout document interne, et c’est pourtant le plus répandu :
c’est l’angle mort des 55 % de dirigeants de TPE-PME qui déclarent utiliser l’IA générative
(Bpifrance Le Lab, 01/2026) — souvent via des comptes personnels.
Niveau 2 — les offres professionnelles et les API : le standard raisonnable
La différence n’est pas marketing, elle est contractuelle : sur les offres entreprise et les
accès API des grands fournisseurs, vos données ne servent pas à l’entraînement des
modèles — c’est un engagement écrit, avec des durées de conservation définies et un accord
de traitement des données (DPA) signable. C’est le socle minimal que nous exigeons pour tout
déploiement : même outil en apparence, statut juridique de vos données radicalement
différent.
Niveau 3 — le cadre RGPD complet : pour les données personnelles
Dès que des données personnelles (clients, salariés, patients…) transitent, le RGPD
s’applique pleinement : base légale, information des personnes, DPA avec chaque
sous-traitant, encadrement des transferts hors UE, durées de conservation, et — pour les
traitements à risque — analyse d’impact (AIPD). La CNIL a publié une série de recommandations
dédiées aux systèmes d’IA : le message central est que le RGPD n’interdit pas l’IA, il impose
de savoir répondre à « quelles données, pour quoi faire, chez qui, combien de temps ».
En pratique, on privilégie les options d’hébergement européen quand elles existent, et on
minimise : l’IA qui pré-rédige vos relances n’a pas besoin du numéro de
sécurité sociale du client.
Niveau 4 — l’IA locale ou auto-hébergée : rien ne sort
Pour les données les plus sensibles (R&D, santé, juridique, défense), les modèles open
source qui tournent sur vos propres machines ont atteint un niveau largement
suffisant pour la synthèse, la classification et l’assistance documentaire. Aucune donnée ne quitte
votre infrastructure — en contrepartie d’un coût matériel et d’une exigence de maintenance. Ce n’est
pas le premier niveau à viser pour une TPE, mais c’est une option réelle, plus accessible qu’on ne
le croit, et parfois la seule acceptable pour certains métiers réglementés.
Les 5 règles qu’on écrit dans toute charte IA d’entreprise
- →Comptes professionnels obligatoires, fournis par l’entreprise — jamais de compte personnel pour un usage professionnel. C’est la règle qui tue le shadow AI.
- →Classification simple des données : public / interne / confidentiel / données personnelles — et pour chaque classe, ce qui est autorisé et à quel niveau (2, 3 ou 4).
- →Minimisation systématique : on anonymise ou pseudonymise ce qui peut l’être avant envoi (noms remplacés, montants arrondis quand le détail n’apporte rien à la tâche).
- →Relecture humaine avant tout engagement : rien de généré par l’IA ne part vers un client, un salarié ou une administration sans validation — le RGPD comme l’AI Act convergent vers ce principe de supervision humaine.
- →Registre à jour : les outils IA utilisés rejoignent le registre des traitements, avec leur DPA. Dix lignes suffisent pour une TPE — mais elles doivent exister.
Et l’AI Act ? Le règlement européen s’applique par paliers depuis 2025. Pour l’immense majorité des usages TPE/PME (assistance, rédaction, tri, synthèse), vous êtes en risque « minimal » ou « limité » : les obligations se résument pour l’essentiel à la transparence (dire qu’une IA intervient, notamment face à un chatbot) et à la formation des utilisateurs. Les obligations lourdes visent les systèmes à haut risque — recrutement automatisé, scoring de crédit, biométrie — pas votre assistant de rédaction de devis.
Ce que ça change dans nos déploiements
Concrètement, quand nous intégrons l’IA chez un client, la question des données est traitée
avant la première ligne de configuration : choix du niveau (2, 3 ou 4) par cas
d’usage, DPA signés, options de non-conservation activées, charte diffusée aux équipes. C’est
10 % du temps du projet, et c’est ce qui permet aux 90 % restants d’exister
sereinement — car le scénario le plus coûteux n’est pas l’absence d’IA, c’est l’IA sauvage. Pour la
démarche complète, du choix des cas d’usage au déploiement :
par où commencer — et
pour voir ce que ces cas d’usage donnent en pratique :
nos 15 exemples concrets.
🤖 Vous voulez profiter de l’IA sans faire sortir ce qui ne doit pas sortir ? EVICO identifie les cas d’usage IA rentables pour votre entreprise et les intègre à vos outils : découvrez notre accompagnement IA — audit de vos processus offert. Ou contactez-nous directement.
Sources : CNIL, recommandations sur le développement et l’usage des systèmes
d’IA ; RGPD (art. 28 — sous-traitance, art. 35 — AIPD) ; AI Act européen (approche par
niveaux de risque, obligations de transparence) ; politiques de données publiées par les
grands fournisseurs d’IA (offres entreprise et API : non-entraînement contractuel) ;
Bpifrance Le Lab, 01/2026 ; pratique de déploiement EVICO.
