Glossaire · Règles et conformité
Données personnelles
Les données personnelles sont des informations qui concernent une personne physique identifiée ou identifiable. Il peut s’agir d’un nom, d’une photographie ou d’éléments qui permettent de reconnaître quelqu’un par recoupement, même si son identité n’apparaît pas directement dans le document que vous utilisez.
Données personnelles : l'explication
Une information peut permettre une identification directe, comme un nom associé à une adresse. Elle peut aussi contribuer à identifier une personne lorsqu’elle est combinée avec d’autres éléments. Dans une conversation avec un agent, un lieu de travail, une fonction et le récit d’un événement peuvent ainsi devenir révélateurs. Vous devez donc regarder le contexte, les possibilités de recoupement et les informations disponibles, plutôt que chercher uniquement les noms dans les fichiers transmis.
Cette notion sert à déterminer quand les règles de protection des données peuvent s’appliquer. Elle concerne autant les informations que vous saisissez que celles contenues dans des pièces jointes ou récupérées par un outil connecté. Un agent autorisé à lire votre agenda peut rencontrer des données sur vos collègues et vos proches. La Commission européenne présente cette définition et ses limites ici : https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/application-gdpr_en. L’information peut être personnelle même lorsqu’elle est accessible publiquement.
Les données personnelles ne sont pas toutes soumises exactement aux mêmes règles. Certaines catégories, notamment des informations sur la santé, bénéficient d’une protection particulière. Remplacer un nom par un code ne rend pas nécessairement un fichier anonyme : une identification peut rester possible. De même, une donnée chiffrée reste personnelle si elle peut être rattachée à quelqu’un. Pour utiliser une IA, il faut donc examiner le contenu, le contexte et les possibilités réelles de reconnaissance.
Un exemple concret
Vous demandez à un assistant de résumer une réclamation client. Vous retirez le nom, mais le message contient encore une adresse, une référence de commande et une description précise de la livraison. Ces éléments peuvent permettre de retrouver la personne. Vous préparez alors un extrait limité au problème à résoudre et vérifiez si les informations restantes sont nécessaires avant de les transmettre à l’outil.
Pourquoi c'est important
Repérer les données personnelles permet de mieux choisir ce que vous confiez à un agent et les accès que vous lui accordez. Un document professionnel peut aussi contenir des informations sur des tiers. Avant de connecter une messagerie ou un stockage partagé, examinez les données accessibles, leur utilité pour la tâche et leur conservation. Cette vérification compte même si vous ne saisissez aucun nom.
Idées reçues
- Une information disponible sur Internet peut rester une donnée personnelle, car son caractère public ne supprime pas son lien avec une personne identifiable ni, à lui seul, les règles qui encadrent sa collecte et son utilisation.
- Retirer les noms ne suffit pas toujours à anonymiser un document, car une combinaison de lieux, de dates, de fonctions ou d’autres détails peut permettre de reconnaître une personne à partir des informations qui restent accessibles.
Autres termes : règles et conformité
- RGPD
- Le RGPD est le règlement général sur la protection des données, un texte européen qui encadre le traitement des données personnelles.
- AI Act (règlement européen sur l'IA)
- L’AI Act, ou règlement européen sur l’IA, est un texte qui encadre certains systèmes d’intelligence artificielle et modèles d’IA à usage général.
Où le site en parle
Le terme apparaît dans 518 pages du site. Quelques-unes :
- AI Act : la checklist de conformité pour les entreprises qui utilisent des agents et des outils IA Guide
- Agents vocaux : fonctionnement, plateformes, latence, coûts et cas d'usage Guide
- Rédiger la charte d'usage de l'IA de son entreprise : contenu, exemples de règles, déploiement Guide
- Écrire les instructions d'un agent IA : prompt système, fichiers AGENTS.md et CLAUDE.md, exemples Guide
- Déployer des agents IA en entreprise : cas d'usage, choix, pilote, gouvernance, mesure Guide
- Sécuriser un agent IA : permissions, secrets, bac à sable, validation humaine, journalisation Guide
- Surveiller un agent IA en production : journaux, traces, alertes, outils d'observabilité Guide
- Agents IA et RGPD : quelles données partent, et où ? Article
Pour aller plus loin
Questions fréquentes
Une adresse professionnelle est-elle concernée ?
Une adresse professionnelle qui permet d’identifier une personne constitue généralement une donnée personnelle. Une adresse générique peut présenter une situation différente. Vous devez regarder à qui elle renvoie et si son contexte permet d’identifier quelqu’un.
Une donnée inventée peut-elle être personnelle ?
Une information fausse ou produite par une IA peut rester une donnée personnelle si elle concerne une personne identifiable. L’inexactitude ne supprime pas ce lien. Vous devez donc examiner aussi les réponses générées par l’outil.
Que signifie pseudonymiser ?
Pseudonymiser consiste à remplacer ou séparer certains éléments identifiants pour réduire le lien direct avec une personne. Une identification reste possible avec des informations supplémentaires. Cela apporte une protection, mais ne transforme pas automatiquement les données en informations anonymes.
Neutralité. Aucun lien d'affiliation. Aucun éditeur ne paie pour être évalué, noté ou classé. Les évaluations sont dirigées par François Chollet, neutres et factuelles, et chaque donnée est datée et sourcée. Comment nous notons