L'essentiel en 30 secondes
- Classez les données en trois niveaux : publiques, internes, confidentielles.
- Utilisez des comptes professionnels dont les conditions excluent l'entraînement sur vos données.
- Ne saisissez jamais de données personnelles ou confidentielles dans un outil grand public.
- Une charte d'une page, connue de tous, vaut mieux qu'une interdiction ignorée.
Les trois risques principaux
- La fuite de données : un contrat, une base clients ou un mot de passe saisi dans un outil grand public.
- L'erreur : une réponse inventée reprise sans vérification dans un document client.
- La non-conformité : un traitement de données personnelles sans base légale, contraire à la législation applicable (en Tunisie, la loi organique de 2004 sur la protection des données personnelles ; le RGPD pour les données de résidents européens).
Classer les données
| Niveau | Exemples | Usage IA |
|---|---|---|
| Public | Site web, brochures, articles publiés | Autorisé |
| Interne | Procédures, modèles, comptes rendus anonymisés | Outils professionnels validés |
| Confidentiel | Données personnelles, contrats, prix, données financières | Interdit hors outil validé et encadré |
Choisir les bons outils
Les offres professionnelles des principaux éditeurs (ChatGPT Enterprise ou Team, Microsoft 365 Copilot, Gemini pour Google Workspace) prévoient des engagements contractuels sur la confidentialité et sur l'absence d'entraînement des modèles avec vos données. Vérifiez les conditions de chaque offre, la localisation des données et les possibilités d'administration avant de les généraliser.
La charte d'usage en dix lignes
- Outils autorisés et comptes à utiliser.
- Données interdites de saisie.
- Vérification obligatoire de tout contenu destiné à un client.
- Mention de l'usage de l'IA quand c'est pertinent.
- Personne à contacter en cas de doute ou d'incident.
Accompagnez-la d'une courte formation : la plupart des fuites viennent d'un manque d'information, pas d'une mauvaise intention.
Les risques techniques à connaître
- L'injection de consignes : un document ou une page web contenant des instructions cachées peut détourner un assistant IA connecté à vos outils.
- Les extensions et connecteurs : chaque connexion à la messagerie, au CRM ou aux fichiers élargit l'accès de l'outil ; n'activez que ce qui est nécessaire.
- Les comptes personnels : un salarié qui utilise un compte gratuit pour un usage professionnel échappe à tout contrôle.
- Les droits d'accès : un assistant qui interroge les fichiers de l'entreprise peut révéler des documents que l'utilisateur n'aurait pas dû voir si les droits sont mal configurés.
Mettre en place la gouvernance
Nommez un responsable de l'usage de l'IA, souvent le responsable informatique ou un membre de la direction. Il tient la liste des outils autorisés, valide les nouveaux usages, suit les incidents et met à jour la charte. Prévoyez une revue trimestrielle des usages réels : ce que les équipes font vraiment avec l'IA est souvent différent de ce qui avait été prévu.
Former les équipes
Une formation de deux heures suffit pour l'essentiel : ce que l'IA fait bien et mal, les trois niveaux de données, les outils autorisés, la vérification des réponses et les bons réflexes. Ajoutez des exemples concrets tirés de votre activité : rédiger une réponse client sans y coller le contrat, résumer une réunion sans y inclure de données personnelles, préparer une analyse à partir de chiffres anonymisés.
Vérifier un fournisseur d'IA
| Question | Ce qu'il faut obtenir |
|---|---|
| Vos données servent-elles à entraîner les modèles ? | Un engagement contractuel écrit que non |
| Où sont hébergées les données ? | La région d'hébergement et les sous-traitants |
| Combien de temps sont-elles conservées ? | Une durée précise et la possibilité de suppression |
| Qui peut y accéder ? | Les règles d'accès du fournisseur et de vos administrateurs |
| Quelles certifications ? | Par exemple ISO 27001 ou SOC 2 |
Que faire en cas d'incident
- Identifier les données exposées et l'outil concerné.
- Supprimer la conversation ou le fichier si l'outil le permet, et révoquer les accès éventuels.
- Informer le responsable désigné et, si des données personnelles sont touchées, évaluer l'obligation de notification à l'autorité compétente.
- Prévenir les personnes concernées si nécessaire.
- Corriger la cause : formation, réglage, changement d'outil.
Notez chaque incident dans un registre : c'est la meilleure base pour améliorer les règles.
Concilier sécurité et productivité
Interdire l'IA ne protège pas l'entreprise : les salariés utilisent alors des outils grand public sans contrôle. La bonne approche consiste à fournir des outils professionnels adaptés aux usages réels, avec des règles simples. Les gains de temps sont importants sur la rédaction, la synthèse et l'analyse, à condition que le cadre soit clair. Voir notre guide sur Microsoft Copilot en PME pour un exemple d'outil intégré.
Se faire accompagner
Un audit d'usage de l'IA recense les outils utilisés, les données concernées et les risques, puis propose une charte et une feuille de route. C'est souvent la première étape d'un projet plus large d'automatisation. Notre accompagnement en IA et transformation digitale couvre ces deux volets.
Le cadre légal à suivre
Les règles de protection des données s'appliquent aussi à l'IA. En Tunisie, la loi organique de 2004 encadre le traitement des données personnelles et prévoit des déclarations auprès de l'instance nationale compétente. Pour les données de résidents européens, le RGPD impose une base légale, une information des personnes et des garanties en cas de transfert hors de l'Union. Dans le Golfe, plusieurs pays ont adopté leurs propres lois sur les données personnelles. Avant de confier des données à un outil d'IA, vérifiez avec votre conseil juridique les règles applicables aux pays de vos clients.
Questions fréquentes
Peut-on utiliser ChatGPT avec des données d'entreprise ?
Oui, avec une offre professionnelle dont les conditions excluent l'entraînement sur vos données, et dans le respect d'une charte qui interdit la saisie de données personnelles ou confidentielles hors cadre validé.
Faut-il interdire l'IA générative aux salariés ?
Une interdiction est rarement respectée. Il est plus efficace de fournir des outils professionnels validés, une charte claire et une formation courte.
Quelle loi s'applique aux données personnelles utilisées avec l'IA ?
La législation sur la protection des données du pays concerné, par exemple la loi organique de 2004 en Tunisie, et le RGPD pour les données de résidents européens.
Peut-on utiliser ChatGPT gratuitement au travail ?
Pour des contenus publics, oui. Pour des données internes ou confidentielles, utilisez une offre professionnelle dont les conditions excluent l'entraînement sur vos données et permettent l'administration des comptes.
Faut-il informer les clients de l'usage de l'IA ?
C'est recommandé quand l'IA intervient dans un livrable ou une relation client, par exemple un agent conversationnel. La transparence renforce la confiance.