Dès qu'une entreprise envisage sérieusement l'IA, la question des données arrive, souvent formulée de façon trop vague pour être traitée : « est-ce que c'est sécurisé ? ». Cette question n'a pas de réponse générale. Trois questions précises, en revanche, en ont une.

Question 1 : qu'est-ce qui sort de chez vous ?

Tout ce qui est envoyé à un service extérieur sort de votre périmètre. Cela ne pose pas problème en soi : une adresse professionnelle publique ou un texte marketing n'a rien de sensible. Un fichier client complet, des données de santé, des pièces contractuelles, oui.

Le bon réflexe consiste à classer avant d'automatiser : ce qui peut sortir librement, ce qui doit être anonymisé, ce qui ne sort jamais. Ce tri prend une demi-journée et évite l'essentiel des accidents.

Le risque ne vient pas de l'IA. Il vient de ce qu'on lui envoie sans y avoir réfléchi.

Question 2 : sur quel compte l'exécution tourne-t-elle ?

Faire tourner les traitements sur vos propres accès change trois choses : vous voyez exactement ce qui est consommé, vous n'avez aucune marge cachée sur l'usage, et vous pouvez tout couper en une manipulation. C'est une position de maîtrise, pas une contrainte technique.

À l'inverse, un prestataire qui exécute tout sur ses propres accès vous rend dépendant : vous ne savez ni ce qui est consommé, ni ce qui est conservé, ni ce qu'il advient du dispositif si la relation s'arrête.

Question 3 : qui peut lire quoi ?

Un agent branché sur vos documents hérite des droits qu'on lui donne. S'il a accès à tout, il pourra restituer à n'importe quel utilisateur une information que celui-ci n'aurait pas dû voir. Le sujet n'est pas la confidentialité vis-à-vis de l'extérieur : c'est le cloisonnement interne.

  • Donner l'accès au strict nécessaire pour la mission, et rien de plus.
  • Conserver une trace de ce qui a été consulté et produit.
  • Prévoir explicitement ce qui se passe quand un collaborateur part.

Ce que le cadre réglementaire impose déjà

Les obligations existantes en matière de données personnelles s'appliquent sans changement : information des personnes, finalité déterminée, durée de conservation, sous-traitance encadrée. L'IA n'a créé aucune exception. Une entreprise déjà rigoureuse sur ce point n'a pas de révolution à mener, seulement une ligne de plus à son registre.

Concrètement

Avant de brancher quoi que ce soit, écrivez sur une page : les catégories de données concernées, celles qui ne doivent jamais sortir, sur quels accès l'exécution tourne, et qui peut consulter quoi. Cette page vaut tous les engagements verbaux, et elle rend le sujet discutable au lieu de le rendre anxiogène.

La maîtrise ne se promet pas. Elle se constate dans l'architecture.