Niveau : Intermédiaire
Données de l'entreprise : quelle IA utiliser en toute confidentialité ?
Par La rédaction d'Info Agent IA ·
Pour utiliser l’IA sans exposer les données de votre entreprise, choisissez un outil dont l’offre exclut l’entraînement sur vos contenus, précise la durée de conservation et le lieu d’hébergement, puis limitez ce que vous y envoyez. Une offre professionnelle encadrée par un contrat, des réglages bien posés et quelques règles internes simples protègent bien mieux qu’un abonnement individuel choisi au hasard.
Cet article donne une information générale à jour au 22 octobre 2026. Il ne remplace pas l’avis de votre délégué à la protection des données (DPO) ou d’un avocat pour une situation précise.
Pourquoi la confidentialité pose question avec l’IA
Quand un salarié colle un contrat, un tableau de clients ou un compte rendu de réunion dans un assistant IA, ce texte quitte l’entreprise : il part sur les serveurs de l’éditeur. Quatre questions déterminent alors le niveau de risque.
- Entraînement. Vos échanges peuvent-ils servir de données d’entraînement pour améliorer les futurs modèles ? Si oui, une information confidentielle pourrait, en théorie, influencer des réponses données à d’autres.
- Conservation. Combien de temps les conversations sont-elles gardées, et peuvent-elles être relues par des personnes chez l’éditeur ?
- Hébergement. Dans quel pays les données sont-elles stockées et traitées ? Cela change le droit applicable et les éventuels transferts hors de l’Union européenne.
- Accès. Qui, dans votre entreprise et chez le prestataire, peut voir ces données ? Un compte personnel échappe à tout contrôle de l’employeur.
Le risque le plus courant n’est pas un piratage spectaculaire. C’est l’usage d’outils personnels non validés, souvent appelé « shadow AI » : des collaborateurs qui utilisent leur compte gratuit faute de solution officielle.
Ce que dit le cadre : RGPD et CNIL
Dès que des informations sur des personnes sont en jeu (clients, candidats, salariés, patients), le RGPD s’applique. Le règlement (UE) 2016/679 s’applique depuis le 25 mai 2018 dans toute l’Union européenne, y compris aux éditeurs américains ou chinois qui proposent leurs services à des personnes situées en Europe.
En pratique, l’entreprise qui décide d’utiliser un outil d’IA reste responsable de l’usage qu’elle fait des données. Les grands principes à garder en tête : une finalité claire, le minimum de données nécessaires, la sécurité, l’information des personnes concernées et un contrat de sous-traitance avec le prestataire quand il traite des données pour votre compte. Le règlement européen sur l’IA s’ajoute au RGPD sans le remplacer.
Offres grand public ou offres professionnelles : la vraie différence
La frontière la plus importante ne sépare pas le gratuit du payant, mais les offres individuelles des offres équipe et entreprise. Voici ce qu’indiquent les éditeurs, d’après les fiches du site relevées le 22 octobre 2026.
| Assistant | Offres individuelles | Offres pro |
|---|---|---|
| ChatGPT | Entraînement par défaut, refus possible dans « Améliorer le modèle pour tous » ; conversations temporaires conservées jusqu’à 30 jours | Business : pas d’entraînement par défaut ; résidence des données en Europe sur Enterprise et Edu |
| Claude | Entraînement désactivable ; mode incognito sans entraînement | Team et Enterprise : pas d’entraînement par défaut |
| Gemini | « Conserver l’activité » désactivé : conversations gardées 72 heures, sans entraînement | Non détaillé dans la fiche |
| Le Chat (Mistral Vibe) | Données hébergées dans l’UE par défaut ; entraînement activé sur Free, Pro et Student, désactivable | Team et Enterprise : conditions professionnelles distinctes |
| Lumo (Proton) | Pas d’entraînement, chiffrement « zero-access », serveurs en Europe | Non détaillé dans la fiche |
| DeepSeek | Données stockées en Chine, selon sa politique de confidentialité | Aucune offre payante pour l’assistant |
Deux autres points méritent l’attention des équipes techniques. Selon GitHub, depuis le 24 avril 2026, les données d’interaction des comptes GitHub Copilot Free, Pro et Pro+ servent à l’entraînement sauf refus dans les réglages. Côté Notion AI, l’éditeur indique ne pas entraîner de modèles sur les données clients sans accord explicite, avec une rétention zéro chez les fournisseurs de modèles sur l’offre Enterprise.
Les fiches Le Chat de Mistral AI et Lumo de Proton détaillent les deux options européennes. Pour comparer les fonctions des assistants, utilisez le comparateur d’assistants IA.
Choisir selon la sensibilité des données
Plutôt que de chercher « l’IA confidentielle » idéale, classez vos usages en trois niveaux. Chaque niveau appelle un outil et des précautions différents.
Niveau 1 : informations publiques ou sans enjeu. Reformuler une offre d’emploi déjà publiée, trouver des idées de titres, expliquer un concept. Un assistant grand public convient, entraînement désactivé par habitude.
Niveau 2 : informations internes. Notes de réunion, procédures, chiffres non publiés, documents commerciaux. Utilisez une offre professionnelle validée par l’entreprise, avec un engagement de non-entraînement et des comptes gérés par l’organisation. Retirez ce qui n’est pas utile à la tâche.
Niveau 3 : données personnelles sensibles ou secrets. Données de santé, dossiers RH, informations bancaires, secrets d’affaires, code source critique. Ici, la décision revient à la direction et au DPO. Les options vont de l’offre entreprise avec hébergement maîtrisé à un modèle à poids ouverts installé sur vos propres serveurs, qui ne transmet rien à l’extérieur. Parfois, la bonne réponse est de ne pas utiliser l’IA pour cette tâche.
Vérifiez-vous Une collègue veut faire résumer par une IA les 40 CV reçus pour un poste. Quelle est la bonne démarche ?
Les CV contiennent des données personnelles : on est au niveau 2, voire 3. Elle doit utiliser un outil validé par l’entreprise, avec une offre qui exclut l’entraînement, et retirer si possible noms, coordonnées et photos avant l’envoi. Les candidats doivent avoir été informés de ce traitement, et la décision finale doit rester humaine. Le DPO peut confirmer le cadre à respecter.
Mettre en place des règles simples en 6 étapes
Une politique d’usage de l’IA n’a pas besoin de faire cinquante pages. Pour une PME ou une équipe, ces six étapes posent l’essentiel.
- Faire l’inventaire. Demandez, sans sanction, quels outils sont déjà utilisés et pour quoi. Vous découvrirez souvent des usages utiles à officialiser.
- Choisir un ou deux outils officiels. Comparez les conditions d’entraînement, de conservation, d’hébergement et les certifications annoncées, en lisant les pages officielles de l’éditeur, pas seulement sa publicité.
- Lire le contrat. Vérifiez l’existence d’un accord de traitement des données (souvent appelé DPA), les sous-traitants cités et le lieu de traitement. Faites-vous aider par votre DPO ou un juriste.
- Configurer les comptes. Comptes gérés par l’entreprise, entraînement désactivé, durée de conservation réglée au plus court utile, accès retiré au départ d’un salarié.
- Écrire une charte courte. Une page suffit : outils autorisés, les trois niveaux de données, ce qui est interdit, qui contacter en cas de doute.
- Former et revoir. Expliquez les règles avec des exemples concrets, puis réexaminez-les tous les six mois : les offres et les réglages changent souvent.
Pour l’accompagnement des équipes, consultez notre guide pour former son équipe à l’IA. Si vous travaillez seul ou dans une très petite structure, notre article sur l’IA pour les indépendants et les TPE propose une version allégée de ces règles.
Le cas particulier des agents IA
Un agent IA ne se contente pas de répondre : il lit vos e-mails, ouvre des fichiers, se connecte à vos outils et agit. Il voit donc beaucoup plus de données qu’un simple chatbot, et pendant plus longtemps.
Deux précautions s’imposent. D’abord, donnez-lui le moins d’accès possible : un dossier précis plutôt que tout le disque, la lecture plutôt que l’écriture. Ensuite, méfiez-vous de l’injection de prompt : une consigne cachée dans une page web ou un document peut détourner l’agent et lui faire envoyer des informations ailleurs. Une confirmation humaine avant tout envoi ou paiement limite ce risque. Nos cas d’usage des agents IA en entreprise montrent où ils apportent vraiment quelque chose.
Pour replacer ces règles dans une démarche plus large, notre guide pratique de l’IA au travail présente les usages qui font gagner du temps au quotidien.
Questions fréquentes
Peut-on utiliser ChatGPT ou Gemini avec des données de l'entreprise ?
Avec des informations publiques ou sans enjeu, oui, en coupant l'entraînement dans les réglages. Pour des données internes, clients ou personnelles, privilégiez une offre professionnelle validée par votre structure, avec un contrat qui exclut l'entraînement. En cas de doute, demandez d'abord à votre responsable ou à votre DPO.
Une offre payante individuelle suffit-elle pour protéger les données ?
Pas forcément. Payer un abonnement Plus ou Pro ne change pas toujours les règles d'entraînement ou de conservation. Ce sont les offres équipe et entreprise (Business, Team, Enterprise) qui prévoient en général l'absence d'entraînement par défaut et des engagements contractuels.
Une IA hébergée en Europe est-elle automatiquement conforme au RGPD ?
Non. L'hébergement dans l'Union européenne simplifie certaines questions, notamment les transferts de données, mais la conformité dépend aussi de la finalité, de la minimisation des données, de la sécurité et de l'information des personnes. C'est un critère utile, pas une garantie.
Qui contacter pour une question juridique précise sur l'IA et les données ?
Dans une structure qui en a désigné un, le délégué à la protection des données (DPO) est le premier interlocuteur. La CNIL publie des ressources pratiques sur son site. Pour une situation particulière, un avocat spécialisé reste le bon recours : cet article donne une information générale, pas un conseil juridique.