Accueil / Blog / Chatbots et assistants

Sécurité des données avec les outils d'IA : ce qu'il ne faut pas coller dans un chatbot

Classer les données selon leur sensibilité, savoir quoi vérifier dans la politique d'un fournisseur et suivre des règles pratiques pour que particuliers et petites entreprises utilisent l'IA plus sûrement.

Rédaction : PickYourToolMis à jour : 2026-10-266 min de lecture

Coller un contrat dans un chatbot pour en obtenir un résumé est très pratique, et peut facilement causer des ennuis si vous ne savez pas où vont ces données. Cet article ne cherche pas à vous faire renoncer à l'IA, mais à vous aider à fixer des limites claires : ce qui peut y entrer, ce qui ne le peut pas, et ce qu'il faut vérifier avant de faire confiance à un outil.

Où vont vos données quand vous appuyez sur Envoyer

Lorsque vous saisissez du contenu dans un service d'IA en ligne, il est envoyé aux serveurs du fournisseur pour traitement. Selon le service et l'offre, le fournisseur peut :

• conserver l'historique des conversations dans votre compte ;
• permettre à des relecteurs humains de voir certaines conversations pour améliorer la qualité ou enquêter sur des abus ;
• utiliser les conversations pour entraîner des modèles, sauf si vous désactivez cette option ou utilisez une offre qui s'engage à ne pas entraîner ;
• transmettre des données à des sous-traitants d'infrastructure (cloud, stockage).

Les conditions précises diffèrent d'un fournisseur à l'autre, entre offres gratuite, personnelle et entreprise, et entre l'application et l'API. La réponse exacte se trouve donc toujours dans la politique de confidentialité et les conditions d'utilisation en vigueur de l'offre précise que vous utilisez, et non dans un article comme celui-ci.

Classer les données en trois niveaux

Niveau 1 : publiques. Contenus déjà publiés sur un site web, communiqués de presse, produits déjà en vente. Vous pouvez les utiliser librement.

Niveau 2 : internes. Plans marketing, devis non encore envoyés, processus de travail, e-mails internes ne contenant pas de données personnelles. Utilisez-les après avoir lu la politique, désactivé l'option d'utilisation de vos données pour l'entraînement s'il y en a une, et supprimé les noms propres lorsqu'ils ne sont pas nécessaires.

Niveau 3 : sensibles. Cela comprend les données personnelles des clients et des employés (nom complet avec numéro de téléphone, adresse, numéro de pièce d'identité, compte bancaire), les informations de santé, les contrats comportant des clauses de confidentialité, le code source propriétaire, les clés d'API et les mots de passe. Ne les mettez pas dans des outils d'IA publics. Si c'est vraiment nécessaire, utilisez uniquement une offre entreprise ou un service déployé en privé et évalué par une personne compétente.

Cinq points à vérifier dans la politique

1. Entraînement : vos données servent-elles à entraîner des modèles, et pouvez-vous le désactiver ?
2. Conservation : combien de temps sont-elles gardées, comment sont-elles supprimées, sont-elles vraiment effacées des systèmes ?
3. Lecteurs : une personne lit-elle le contenu des conversations, et dans quels cas ?
4. Localisation et transferts : où les données sont-elles traitées, sont-elles transférées à l'étranger ?
5. Certifications et engagements contractuels : existe-t-il un accord de traitement des données (DPA) et une certification de sécurité indépendante pour l'offre entreprise ?

Si vous ne trouvez pas de réponse claire pour ces cinq points, considérez l'outil comme non sûr pour les données de niveau 2 et plus.

Des risques au-delà du stockage

La sécurité de l'usage de l'IA ne se limite pas à ce que le fournisseur conserve. L'OWASP, organisation spécialisée dans la sécurité des applications, recense des risques propres aux applications qui utilisent des modèles de langage, notamment :

• L'injection de prompt (prompt injection) : un contenu caché dans une page web ou un document pousse le modèle à suivre les instructions d'un attaquant. C'est particulièrement préoccupant quand l'assistant a le droit d'agir, par exemple envoyer des e-mails ou lire des fichiers.
• La fuite d'informations sensibles par les réponses.
• Les permissions excessives : donner à un agent d'IA plus d'accès que nécessaire.
• La confiance excessive dans les résultats, par exemple exécuter du code écrit par l'IA sans le lire.

Pour les outils dotés de fonctions d'« agent » (navigation web autonome, envoi d'e-mails, manipulation de fichiers), le principe de sécurité est d'accorder le minimum de permissions, de séparer les comptes de test des comptes réels et d'exiger une confirmation avant les actions irréversibles.

Règles pratiques pour les particuliers et les petites entreprises

• Anonymisez avant de coller. Remplacez les vrais noms par « Client A » et les montants précis par des fourchettes.
• Séparez les comptes. Utilisez un compte professionnel dédié et activez l'authentification à deux facteurs.
• Désactivez l'historique ou l'entraînement si le service le permet et que vous n'avez pas besoin de l'historique.
• Ne mettez jamais de mots de passe, de clés d'API ou de codes à usage unique dans un chatbot, même « juste pour qu'on vous aide à corriger une erreur ». Si c'est déjà fait, changez la clé tout de suite.
• Rédigez une règle d'une page pour votre équipe : ce qui est autorisé, ce qui est interdit, quels outils sont approuvés.
• Vérifiez les extensions et applications tierces. De nombreuses extensions « IA » pour navigateur demandent l'autorisation de lire toutes les pages que vous ouvrez.
• Relisez la politique quand un avis de modification arrive. Les conditions peuvent changer avec le temps.

Quand les données concernent d'autres personnes

Si vous traitez des données personnelles de clients ou d'employés, vous pouvez avoir des obligations légales, par exemple disposer d'une base légale, informer les personnes concernées ou limiter les transferts à l'étranger. Les règles précises dépendent du pays et du secteur. Au Vietnam, la nouvelle loi sur la protection des données personnelles est en vigueur depuis 2026 ; en Europe, il y a le RGPD. Cet article ne constitue pas un conseil juridique ; si votre activité traite de grandes quantités de données personnelles, consultez un avocat ou un spécialiste de la conformité.

Si vous avez envoyé des données sensibles par erreur

1. Supprimez la conversation et, si possible, retirez-la de l'historique ou de la mémoire de l'outil.
2. S'il s'agissait d'un mot de passe, d'une clé d'API ou d'un jeton, révoquez-le et créez-en un nouveau immédiatement.
3. Notez ce qui a été envoyé et à quel moment.
4. S'il s'agissait de données de clients, prévenez le responsable et examinez les obligations de notification.
5. Mettez à jour vos règles internes pour éviter que cela se reproduise.

Conclusion

Utiliser l'IA en sécurité n'exige pas d'être expert en sécurité. Classez vos données, lisez la politique de l'offre exacte, anonymisez ce que vous pouvez et ne mettez pas de secrets dans un chatbot. Pour les travaux importants, choisissez une offre entreprise assortie d'engagements écrits. Enfin, rappelez-vous que toute politique peut changer ; votre habitude de prudence compte donc plus que n'importe quelle promesse.

Cet article est une référence générale et ne remplace pas un conseil juridique ou professionnel. Voir aussi la politique éditoriale, d'affiliation et d'avis.