Intelligence artificielle en entreprise : comment l’utiliser sans mettre vos données en danger ?

ChatGPT, Copilot et les autres outils d'intelligence artificielle font désormais partie du quotidien de nombreuses entreprises. Mais entre gain de temps, confidentialité des informations et nouvelles obligations réglementaires, quelques précautions s'imposent.

Un devis à rédiger, un courrier à reformuler, un compte rendu à synthétiser… En quelques secondes, l'intelligence artificielle peut nous faire gagner un temps précieux.

Et il faut reconnaître que c'est tentant ! Pour une petite entreprise, où les journées sont souvent bien remplies, disposer d'un assistant capable de faciliter certaines tâches représente une véritable opportunité.

Seulement voilà : à force de trouver ces outils pratiques, on peut finir par oublier ce qu'on leur confie. Un nom de client dans un courrier. Des informations financières dans un tableau. Des données concernant un salarié dans un document RH.

Ces gestes paraissent anodins. Pourtant, ils peuvent avoir des conséquences sur la confidentialité des informations et la protection des données personnelles.

Alors, faut-il se méfier de l'intelligence artificielle ? Non. Mais apprendre à l'utiliser avec discernement, certainement.

L'intelligence artificielle au travail : un outil formidable, à condition de garder la main

Imaginons une responsable administrative qui souhaite préparer un courrier délicat à destination d'un client. Elle copie son brouillon dans un assistant IA et lui demande de le reformuler dans un ton plus professionnel.

Jusque-là, rien de particulièrement inquiétant. Mais si le courrier contient le nom du client, ses coordonnées, des informations sur sa situation financière ou un litige en cours, la question change.

Ces questions ne signifient pas qu'il faut renoncer à l'IA. Elles montrent simplement que son utilisation mérite d'être encadrée.

Un assistant IA n'est pas un collègue auquel on peut transmettre n'importe quel dossier sans se poser de questions. C'est un service informatique, avec ses propres conditions contractuelles, ses fonctionnalités et ses risques.

RGPD et AI Act : pourquoi votre entreprise est-elle concernée ?

Deux réglementations européennes occupent une place importante dans cette réflexion. La première, vous la connaissez probablement : le Règlement général sur la protection des données (RGPD). La seconde est plus récente : le règlement européen sur l'intelligence artificielle, ou AI Act.

Le RGPD protège les données personnelles

Lorsqu'une entreprise utilise un outil d'intelligence artificielle pour traiter des informations concernant des personnes identifiables, elle doit respecter les règles applicables à ces traitements. Cela implique notamment de savoir pourquoi les données sont utilisées, sur quelle base légale, avec quelles garanties de sécurité et pour quelle durée.

Prenons le cas d'un organisme de formation qui souhaite analyser les réponses de ses apprenants à un questionnaire de satisfaction. L'IA peut l'aider à identifier les remarques récurrentes et les pistes d'amélioration.

Mais est-il nécessaire de transmettre les noms des participants, leurs adresses e-mail ou leurs commentaires comportant des informations personnelles ? Dans bien des cas, une synthèse dépourvue d'informations identifiantes suffit.

C'est précisément l'un des principes du RGPD : ne traiter que les données nécessaires à l'objectif poursuivi.

Attention toutefois : retirer un nom ne rend pas automatiquement les données anonymes. Une personne peut parfois rester identifiable grâce au contexte ou au croisement des informations.

L'AI Act encadre les risques liés aux systèmes d'intelligence artificielle

L'AI Act s'intéresse aux risques que peuvent présenter les systèmes d'intelligence artificielle pour la sécurité, les droits fondamentaux et les personnes concernées. Il ne traite pas toutes les utilisations de l'IA de la même manière.

Utiliser un assistant pour trouver des idées de titres n'est pas comparable à l'utilisation d'un système destiné à évaluer automatiquement des candidatures. Certains systèmes employés dans le recrutement ou la gestion des travailleurs peuvent être considérés comme des systèmes à haut risque et être soumis à des exigences spécifiques.

Le règlement prévoit aussi des obligations de transparence pour certains usages et des mesures destinées à développer la culture de l'IA au sein des organisations.

Le règlement s'applique progressivement. Certaines dispositions, notamment celles relatives à la culture de l'IA, s'appliquent depuis février 2025. D'autres obligations entrent en application selon un calendrier échelonné, avec des échéances spécifiques pour certaines catégories de systèmes à haut risque. Pour une TPE ou une PME, l'essentiel est d'identifier ses usages et de vérifier le calendrier applicable avant de déterminer ses obligations.

Ce n'est pas parce qu'une entreprise utilise ChatGPT qu'elle doit satisfaire à toutes les exigences prévues pour les systèmes d'IA à haut risque. En revanche, elle doit prendre au sérieux les règles qui correspondent à sa situation.

Le risque que l'on ne voit pas toujours : l'IA utilisée sans cadre

Dans une entreprise, les outils numériques ne sont pas toujours choisis ou déployés par la direction. Un collaborateur découvre une application qui lui permet de retranscrire des réunions. Un autre utilise une IA pour traduire des documents. Un troisième transmet un fichier Excel à un assistant pour obtenir une analyse.

Chacun cherche simplement à travailler plus efficacement. Mais lorsque ces pratiques se développent sans que l'entreprise en ait connaissance, il devient difficile de maîtriser les informations transmises et les risques associés.

Interdire tous les outils n'est pas forcément la meilleure réponse. Les ignorer encore moins. Il est généralement plus utile de comprendre comment les équipes travaillent, de choisir les outils adaptés et de préciser ce qui peut ou non être partagé.

Et si l'intelligence artificielle se trompait ?

Il y a un autre point que je trouve essentiel : la confiance que nous accordons aux réponses produites par l'IA.

Un texte bien rédigé donne facilement une impression de sérieux. Pourtant, une intelligence artificielle peut se tromper, inventer une référence juridique, utiliser une information dépassée ou produire une conclusion qui semble logique, mais qui ne tient pas compte de toute la situation.

Imaginez un responsable RH qui demande à une IA de lui indiquer la durée de conservation d'un document présent dans le dossier d'un salarié. La réponse est claire, structurée et formulée avec assurance.

Mais est-elle exacte ? Tient-elle compte du document concerné, des obligations légales et de la finalité de conservation ? C'est là que la vigilance humaine reste indispensable.

L'intelligence artificielle peut nous aider à travailler. Elle ne nous dispense pas de réfléchir, de vérifier et d'assumer nos décisions.

Plus les conséquences d'une erreur sont importantes, plus le niveau de vérification doit être élevé.

Une charte IA : quelques règles pour éviter bien des problèmes

Lorsqu'on parle de conformité, on imagine parfois un document interminable, rempli de références juridiques. Pourtant, encadrer l'utilisation de l'IA peut commencer beaucoup plus simplement.

Une charte interne permet de répondre à des questions très concrètes. Quels outils les collaborateurs peuvent-ils utiliser ? Peuvent-ils transmettre des documents contenant des données clients ? Qui vérifie les contenus générés ? Que faire si une information confidentielle a été communiquée par erreur ?

Une petite structure n'a pas besoin de reproduire l'organisation d'un grand groupe pour commencer à maîtriser ses usages. Elle peut définir des règles proportionnées à son activité, aux informations traitées et aux risques identifiés.

Cette charte n'est pas une obligation générale imposée sous cette forme par l'AI Act. Elle constitue néanmoins un moyen pratique de clarifier les responsabilités et de diffuser les bonnes pratiques. Elle peut également s'intégrer aux procédures existantes en matière de protection des données et de cybersécurité.

L'important est qu'elle soit connue, comprise et réellement utilisée. Une charte soigneusement rangée dans un dossier, que personne ne consulte, n'apporte pas grand-chose !

Sensibiliser les collaborateurs : une priorité souvent sous-estimée

Nous avons tendance à penser qu'une personne qui sait utiliser ChatGPT maîtrise l'intelligence artificielle. Or, savoir formuler une demande et comprendre les risques associés à son utilisation sont deux choses différentes.

Un salarié peut parfaitement savoir obtenir un excellent résultat sans mesurer les conséquences de la transmission d'un document confidentiel. Il peut aussi ne pas savoir reconnaître une réponse erronée ou un contenu biaisé.

Depuis le 2 février 2025, l'article 4 de l'AI Act demande aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour assurer, dans la mesure du possible, un niveau suffisant de culture de l'IA aux personnes qui utilisent ces systèmes pour leur compte. Cela n'impose pas une certification individuelle ni une formation identique pour tous.

Les mesures doivent tenir compte des connaissances, de l'expérience et du contexte d'utilisation. Pour une petite entreprise, une sensibilisation fondée sur les situations de travail peut donc être particulièrement pertinente.

Une secrétaire médicale, un responsable commercial et un formateur n'utilisent pas les mêmes informations. Ils ne rencontrent pas non plus exactement les mêmes risques. C'est pourquoi les exemples pratiques sont souvent plus parlants qu'une présentation purement théorique de la réglementation.

Par où commencer dans votre entreprise ?

Avant de rédiger une charte ou de multiplier les procédures, je conseille de commencer par une question très simple :

Aujourd'hui, comment utilisons-nous réellement l'intelligence artificielle dans notre entreprise ?

La réponse peut réserver quelques surprises. Prenez le temps d'échanger avec vos collaborateurs. Identifiez les outils qu'ils utilisent, les tâches qu'ils leur confient et les informations qu'ils transmettent.

Ensuite, examinez les situations qui nécessitent des précautions particulières. Les données clients et salariés sont-elles concernées ? Les outils disposent-ils de garanties adaptées ? Les résultats sont-ils vérifiés ? Certains usages peuvent-ils avoir des conséquences importantes pour les personnes ?

À partir de cet état des lieux, vous pourrez déterminer les règles utiles, les éventuelles vérifications RGPD à réaliser et les besoins de sensibilisation de vos équipes.

Il n'existe pas de solution universelle. Un artisan qui utilise une IA pour améliorer ses descriptions de produits n'a pas les mêmes enjeux qu'un cabinet médical ou qu'une entreprise qui souhaite automatiser une partie de son recrutement.

C'est précisément pour cette raison qu'une démarche adaptée à l'activité de l'entreprise est préférable à une charte générique récupérée sur Internet.

Utiliser l'IA de manière responsable, c'est aussi protéger la confiance

L'intelligence artificielle continuera d'évoluer. Les outils deviendront plus performants, plus accessibles et probablement encore plus présents dans notre travail quotidien.

Mais la rapidité ne doit pas nous faire oublier l'essentiel. Derrière les données que nous manipulons, il y a des clients, des salariés, des apprenants, des partenaires. Des personnes qui nous confient des informations et qui attendent, à juste titre, que nous en prenions soin.

La protection des données, la cybersécurité et l'encadrement des usages de l'IA ne sont pas trois sujets indépendants. Ils participent d'une même démarche : utiliser les outils numériques en connaissant leurs possibilités, mais aussi leurs limites.