IA générative et données confidentielles : les règles CNIL

La CNIL n'interdit pas l'IA générative aux entreprises : elle demande d'écrire, avant le premier usage, quelles données vos équipes ont le droit d'y saisir et lesquelles sont interdites. Dans ses questions-réponses publiées en juillet 2024, elle recommande d'« encadrer l'utilisation d'un système d'IA générative par des politiques ou chartes internes, définissant clairement les usages autorisés et les usages interdits ». La nuance est importante pour un dirigeant de TPE : le sujet n'est pas l'outil que vous choisissez, mais la nature de ce que vous y déposez et l'endroit où cela est traité.

Le mouvement est rapide. Selon l'Insee (2026), 18 pour cent des entreprises de 10 personnes ou plus implantées en France déclaraient utiliser au moins une technologie d'intelligence artificielle en 2025, contre 10 pour cent en 2024. Les entreprises de moins de 50 salariés sont à 15 pour cent, celles de 250 salariés et plus à 58 pour cent. Les structures de moins de dix personnes ne figurent pas dans le champ de cette enquête, alors qu'elles représentent une large part du tissu économique antillais : dans ces entreprises, l'IA entre le plus souvent sans décision formelle, par le téléphone d'un salarié.

Que recommande la CNIL sur les données confidentielles ?

Trois recommandations structurent sa position, et elles tiennent en quelques lignes.

D'abord, partir de besoins concrets plutôt que d'un outil à la mode, en tenant compte des risques, particulièrement lorsque le système aide à prendre des décisions vis-à-vis de clients ou de citoyens. Ensuite, interdire la fourniture de certaines données confidentielles, notamment celles relevant du secret industriel et commercial, ou de données personnelles, selon le contexte et le mode de déploiement. Enfin, examiner au cas par cas les situations où les données saisies sont susceptibles d'être réutilisées par le fournisseur du système.

Cette dernière condition mérite qu'on s'y arrête. La CNIL fait de la possibilité, pour le fournisseur, de réutiliser les données saisies un critère de choix du système. Autrement dit, deux outils qui produisent le même texte ne présentent pas le même risque selon ce que leurs conditions d'utilisation autorisent.

Un point de méthode pour finir : les fiches pratiques IA de la CNIL portent sur la phase de développement des systèmes, c'est-à-dire la constitution des bases d'entraînement. Pour l'usage quotidien dans une entreprise, ce sont les questions-réponses de juillet 2024 qui constituent le document de référence.

Quelles données ne doivent pas sortir de votre entreprise ?

La réponse dépend de votre activité, mais le classement peut se faire en une heure, avec trois catégories. Ce tableau est une méthode de travail, pas une liste officielle : il traduit en pratique le principe posé par la CNIL.

La règle que la CNIL adresse aux utilisateurs finaux est plus simple encore : ne soumettre au système que des informations qu'ils sont autorisés à partager. Formulée ainsi, elle se retient, et elle se contrôle.

Sur site, cloud ou API : quel déploiement choisir ?

La CNIL distingue trois approches : le déploiement sur site, le recours à une infrastructure cloud hébergée, et l'appel au système à la requête via des interfaces de programmation, les API.

Elle présente le déploiement sur site comme la voie adaptée aux données confidentielles, tout en reconnaissant son coût. L'infrastructure cloud reste accessible aux petites structures, à condition de garantir un niveau de sécurité approprié. L'usage par API appelle la vigilance la plus grande, en évitant autant que possible d'y faire transiter des données personnelles.

Un dirigeant en tire une conséquence pratique : le mode de déploiement se choisit par type de données, pas une fois pour toutes. Beaucoup d'entreprises que nous accompagnons combinent les deux, un outil grand public pour la rédaction courante et un environnement maîtrisé pour tout ce qui touche aux clients.

Nous ne promettons jamais, avant l'audit, que vos données resteront chez vous. Cette garantie dépend entièrement de l'architecture retenue, du modèle utilisé, de l'hébergeur et du contrat signé. C'est précisément ce que l'audit sert à trancher, en fonction de vos obligations et de votre budget.

Pourquoi le contrat compte autant que l'outil ?

Parce qu'un outil se change en une journée, alors qu'une donnée partie ne revient pas.

La CNIL recommande de sécuriser le recours à une infrastructure externe par un contrat de sous-traitance qui précise les périmètres de responsabilité et les accès autorisés aux données traitées. Cette exigence vaut aussi lorsque les données personnelles sont susceptibles d'être transférées en dehors de l'Union européenne.

Ce contrat n'a rien d'exotique. Il s'agit du contrat de sous-traitance prévu par l'article 28 du règlement général sur la protection des données, dont la CNIL rappelle le contenu obligatoire : objet et durée du traitement, catégories de données, engagement de confidentialité des personnes autorisées, mesures de sécurité, conditions de recours à un autre sous-traitant, information sur la localisation des données et encadrement des transferts hors Union européenne.

Trois questions écrites suffisent souvent à éclairer le sujet auprès d'un fournisseur : où mes données sont-elles stockées, qui peut y accéder, et servent-elles à entraîner un modèle ? Une réponse orale ne vaut rien. Une réponse dans les conditions contractuelles vaut beaucoup.

Que doit contenir votre charte d'usage de l'IA ?

Une page suffit, et elle est plus utile qu'un document de trente pages que personne ne lit.

Écrivez la liste des outils autorisés, nominativement. Ajoutez les trois catégories de données du tableau ci-dessus, avec vos propres exemples. Posez la règle de saisie, ne transmettre que ce que l'on est autorisé à partager. Rendez la relecture humaine obligatoire avant tout envoi à un client. Indiquez qui appeler en cas de doute, avec un nom et un numéro. Précisez enfin la marche à suivre en cas d'erreur, car un salarié qui craint la sanction cachera l'incident.

La CNIL insiste sur deux compléments. Les utilisateurs finaux doivent être familiarisés avec le fonctionnement et les limites de ces systèmes, ce qui passe par une formation avant l'usage. Ils doivent également porter un regard critique sur les résultats produits, car une IA générative formule avec aisance des réponses inexactes.

La sécurité s'arrête-t-elle à la protection des données ?

Non, et c'est le second volet du sujet. L'ANSSI a publié le 29 avril 2024 un guide de recommandations de sécurité pour les systèmes d'IA générative, qui invite à une posture de prudence lors du déploiement et de l'intégration dans un système d'information existant. Le guide alerte notamment sur les bibliothèques et modules externes non maîtrisés, sur les sources de données non maîtrisées, et recommande des tests de robustesse et de sécurité.

Le contexte général justifie cette prudence. Selon la CNIL (2026), 6 167 violations de données lui ont été notifiées en 2025, soit 9,5 pour cent de plus qu'en 2024, et une violation sur deux relève d'un piratage. Une TPE n'est pas hors d'atteinte : c'est souvent par un prestataire ou un compte mal protégé que le problème arrive.

Par où commencer quand on dirige une petite structure ?

En deux semaines, sans budget, avec cinq étapes.

Demandez d'abord à votre équipe quels outils d'IA sont déjà utilisés, sans reproche : vous serez surpris. Classez ensuite vos données selon les trois catégories du tableau, en vous limitant à vos dix documents les plus courants. Rédigez la charte d'une page et faites-la signer. Choisissez pour finir un seul usage à valeur immédiate, par exemple la réponse aux demandes de devis ou la préparation des comptes rendus, et traitez-le proprement plutôt que d'ouvrir dix chantiers.

La cinquième étape est celle que l'on oublie : relisez, un mois plus tard, ce que l'IA a réellement produit et ce qui a été saisi. C'est le même principe que le relevé d'appels que nous recommandons aux garages dans notre article sur le standard téléphonique et les appels manqués : une mesure simple vaut mieux qu'une intuition.

En Martinique comme en métropole, les structures qui s'en sortent le mieux ne sont pas celles qui ont acheté l'outil le plus complet. Ce sont celles qui ont écrit, en une page, ce qu'elles s'autorisent.

Et maintenant ?

Commencez par l'inventaire : quels outils d'IA circulent déjà dans votre entreprise, et pour quelles données. Classez ensuite vos dix documents les plus courants en trois niveaux, puis écrivez la charte d'une page qui en découle. Si vous voulez aller plus loin, l'audit permet de décider quel mode de déploiement convient à chaque usage, sur site, dans un environnement hébergé ou par API.

Réserver un audit gratuit de 30 minutes