PIPELINEGuide
RGPD et outils IA : ce que les collaborateurs ont le droit de saisir
Les outils IA sont utilisés dans pratiquement toutes les entreprises — la plupart du temps sans règles. La distinction qui aide réellement au quotidien.
Les outils IA sont utilisés dans pratiquement toutes les entreprises, la plupart du temps sans règles claires. Ce qui est décisif, c'est la distinction entre les accès consommateurs gratuits sans garantie contractuelle et les accès professionnels avec contrat de sous-traitance et traitement européen. Une règle simple en trois catégories type feu tricolore se mémorise de manière fiable par une équipe ; une interdiction générale ne conduit qu'à une utilisation invisible sur des appareils personnels.
01
Le véritable risque
Il s'agit rarement d'intention malveillante. Quelqu'un fait résumer un e-mail client, quelqu'un d'autre y insère un projet de contrat. Les deux sont compréhensibles et les deux peuvent être problématiques, selon l'outil et la situation des données.
02
La distinction décisive
Les accès consommateurs gratuits sans garantie contractuelle sont inappropriés pour les données à caractère personnel ou confidentielles. Les accès professionnels avec contrat de sous-traitance, formation exclue et traitement européen sont une autre affaire. Cette distinction fait partie de toute directive d'utilisation, car elle devient constamment pertinente au quotidien.
03
Ce qui fonctionne pratiquement
Un feu tricolore : vert pour les tâches générales sans caractère personnel, jaune pour les contenus internes dans l'outil sécurisé, rouge pour les données de santé, données du personnel, contenus de mandats et de patients. Une équipe mémorise trois catégories, pas douze.
04
Ce qui doit figurer dans la directive
Quels outils sont autorisés, quelles données peuvent y être saisies, qui décide en cas de doute, et que faire si quelque chose y a été saisi malgré tout. Le dernier point manque presque toujours et est le plus important.
05
Interdire n'aide pas
Une interdiction générale conduit à l'utilisation sur des appareils personnels — c'est le pire de tous les états, car il est invisible. Un accès sécurisé avec des règles claires est plus praticable et plus sûr.
06
Un exemple du quotidien
Une collaboratrice résume une réclamation client dans un outil IA gratuit pour répondre plus rapidement — sans intention malveillante, mais avec des données à caractère personnel dans un accès sans garantie contractuelle. Une règle claire type feu tricolore aurait évité cela au préalable, une interdiction a posteriori arrive trop tard.
Questions
Questions fréquentes
Un contrat de sous-traitance suffit-il ?
Il est nécessaire, mais pas suffisant à lui seul. Cela comprend le fondement juridique, la limitation de finalité, le concept d'effacement, l'information des personnes concernées et la vérification de l'existence d'un transfert vers des pays tiers.
Avons-nous le droit de faire traiter des dossiers de candidature ?
Pour une saisie structurée sous conditions oui. Pour la décision de sélection, des exigences nettement plus strictes s'appliquent en vertu de l'EU AI Act — les systèmes qui décident de l'accès à l'emploi sont classés comme à haut risque.
Qu'en est-il des modèles exécutés localement ?
Les modèles sur infrastructure propre résolvent le problème de transmission, car aucune donnée ne quitte l'entreprise. Ils exigent davantage de mise en place et fournissent souvent des résultats plus faibles pour les tâches complexes — pour les domaines sensibles, c'est malgré tout souvent la bonne voie.
Prochaine étape
Parlons brièvement de savoir si cela vaut le coup pour vous.
Une conversation de vingt minutes suffit généralement pour clarifier si un projet a du sens. Sinon, nous le disons — c'est moins cher pour les deux parties qu'une offre dont personne n'a besoin.