« J'ai collé le contrat du client dans ChatGPT pour qu'il me le résume… c'était grave ? » Cette question, on me la pose presque à chaque audit. Et la réponse n'est ni « tu es fichu » ni « aucun souci ». La vérité est plus simple, l'IA est un outil formidable, et tout ce que tu lui donnes part sur un serveur que tu ne contrôles pas. Le but de ce guide n'est pas de te faire peur ni de te noyer dans du juridique. C'est de te donner des règles claires pour profiter de l'IA tous les jours sans exposer tes données ni celles de tes clients (pour bien utiliser l'outil au quotidien, vois aussi mon guide Claude). Tu vas voir, c'est moins compliqué que ça en a l'air.
Une précision avant de commencer, je ne suis pas avocat et rien ici n'est un avis juridique. Pour un cas précis et engageant, parle à un juriste ou à ton DPO. Ce que je te donne, ce sont des réflexes pratiques, ceux que j'installe chez les dirigeants que j'accompagne dans Le Programme Ampliris, et qui couvrent l'immense majorité des situations du quotidien.
De la donnée brute au fichier terminé. 14 prompts à coller tels quels, et les trois erreurs qui font perdre le plus de temps.
Récupérer le guide →01Le vrai risque (et les faux)
Commençons par dégonfler la panique. Non, l'IA ne va pas « voler ton business ». Le risque réel est plus terre à terre, quand tu colles un texte dans un outil grand public, ce texte quitte ta boîte. Selon les réglages, il peut être conservé, relu par le fournisseur, voire utilisé pour entraîner le modèle. Si ce texte contient le nom d'un client, un salaire ou une clause confidentielle, tu viens de partager une donnée que tu étais censé protéger.
Les faux risques, eux, font perdre du temps. Non, utiliser l'IA n'est pas interdit par le RGPD. Non, tu n'as pas besoin d'un cabinet de conseil à 20 000 € pour être en règle sur tes usages courants. Le RGPD ne dit pas « pas d'IA », il dit « sache où vont les données personnelles et protège-les ». C'est gérable.
Le problème n'est presque jamais l'outil. C'est l'habitude de copier-coller sans se demander une seconde ce qu'il y a dans le presse-papier.
02Ce que tu ne dois jamais coller
Garde en tête une image, un outil d'IA grand public, c'est une carte postale. Ce que tu écris dessus peut être lu en chemin. Voici les catégories à ne jamais coller brut dans un outil que tu ne maîtrises pas.
- IDENTITÉS
- Noms, prénoms, e-mails, téléphones de clients ou de salariés.
- SECRETS
- Contrats, devis nominatifs, chiffres confidentiels, mots de passe, clés d'API.
- SENSIBLE
- Données de santé, RIB, numéros de sécu, tout ce qui touche à la vie privée.
La règle tient en une phrase, si une fuite de cette info te mettrait mal à l'aise face au client concerné, ne la colle pas telle quelle. Ça ne veut pas dire renoncer à l'IA. Ça veut dire la nettoyer d'abord, on y vient.
Avant chaque copier-coller, une seule question, « est-ce que je serais à l'aise si ce texte se retrouvait public demain ? » Si la réponse est non, tu anonymises.
03Choisir des outils qui respectent tes données
Tous les outils d'IA ne se valent pas sur la confidentialité. La bonne nouvelle, c'est que les fournisseurs sérieux proposent aujourd'hui des réglages qui changent tout. Avant d'adopter un outil pour ton travail, vérifie trois points.
- Le réglage « ne pas entraîner sur mes données ». Sur les offres pro de la plupart des grands outils, tu peux désactiver l'utilisation de tes échanges pour l'entraînement. Active-le, c'est souvent une simple case à cocher.
- Une offre pro ou entreprise plutôt que la version gratuite. Les versions payantes pour les pros offrent en général de meilleures garanties contractuelles sur tes données. C'est rarement très cher au regard de ce que ça protège.
- Une politique de confidentialité lisible. Si tu mets plus de deux minutes à trouver où vont tes données et combien de temps elles sont gardées, c'est déjà un signal.
Choisir un bon outil, c'est la moitié du travail. L'autre moitié, c'est ce que tu lui envoies. Et là, le meilleur réflexe du monde, c'est d'anonymiser.
04Anonymiser avant d'envoyer
Anonymiser, ça veut dire retirer ou remplacer tout ce qui permet d'identifier une personne ou de révéler un secret, avant d'envoyer le texte à l'IA. « Le client Dupont conteste la facture de 4 200 € » devient « le client [X] conteste la facture de [montant] ». L'IA fait exactement le même travail de rédaction ou d'analyse, mais sans jamais voir l'info sensible.
Pour une phrase, tu le fais à la main. Pour un contrat de douze pages ou un export de tableur, le faire à la main est pénible et tu vas en oublier. C'est là qu'un outil dédié change la donne.
- À NE JAMAIS COLLER
- « Bonjour, je vous écris au sujet de M. Martin (martin@société.fr), dossier n°4471, RIB FR76… »
- VERSION PROPRE
- « Bonjour, je vous écris au sujet de [client], dossier [n°], coordonnées bancaires [masquées]. »
C'est exactement le rôle de BlinDoc, tu déposes ton document, l'outil repère et masque automatiquement les informations sensibles (noms, e-mails, numéros, montants), et tu récupères une version propre à donner à l'IA. C'est hébergé en France et pensé pour le RGPD, donc le document ne fait pas le tour du monde avant d'être nettoyé. Tu travailles vite sans laisser filer la moindre donnée client.
Anonymiser, ce n'est pas se compliquer la vie. C'est gagner le droit d'utiliser l'IA sur tes vrais dossiers, l'esprit tranquille.
05Écrire une charte IA pour ton équipe
Tu peux être irréprochable, si ton équipe colle n'importe quoi dans n'importe quel outil, le risque revient par la fenêtre. La solution n'est pas un règlement de quarante pages que personne ne lit. C'est une charte IA d'une seule page, claire, que chacun peut comprendre en cinq minutes.
Une bonne charte répond à quatre questions simples, quels outils on a le droit d'utiliser, ce qu'on ne colle jamais, comment on anonymise, et qui contacter en cas de doute. Voici une trame que tu peux reprendre telle quelle.
- Outils autorisés. La liste des outils validés, avec leurs réglages de confidentialité déjà activés. Le reste est interdit par défaut.
- Données interdites. Noms de clients, données de santé, RIB, contrats, mots de passe. Jamais collés bruts.
- Réflexe anonymisation. Tout document client passe par l'outil d'anonymisation avant d'aller dans l'IA.
- En cas de doute. On demande à [la personne référente], et on ne devine jamais. Mieux vaut une question de trop qu'une fuite.
Affiche-la, fais-la signer, et reviens dessus une fois par trimestre. Ça transforme un risque diffus en réflexe partagé, sans alourdir le quotidien de personne.
06Héberger en France quand il faut
Pour beaucoup d'usages, anonymiser suffit largement. Mais sur certains dossiers, tu veux que la donnée reste en Europe, secteur sensible, clients exigeants sur la souveraineté, données qui restent identifiables malgré tout. Dans ces cas, le réflexe est de privilégier des outils hébergés en France ou en Europe.
L'intérêt est double. D'abord, tes données restent sous cadre européen, sans transfert flou vers d'autres pays. Ensuite, c'est un argument commercial, pouvoir dire à un client « vos documents ne sortent pas de France » rassure et te démarque. C'est l'une des raisons pour lesquelles je recommande un outil comme BlinDoc pour l'étape d'anonymisation, le nettoyage se fait avant tout départ, sur une infrastructure française.
Tu n'as pas besoin de tout héberger en France. L'idée, c'est d'adapter le niveau d'exigence au niveau de sensibilité du dossier. Un brouillon de post LinkedIn et un contrat de fusion ne demandent pas les mêmes précautions.
07Ta checklist de conformité
Tu n'as pas besoin de tout retenir. Garde cette checklist sous la main et coche-la quand tu installes l'IA dans ton activité. Si tout est vert, tu utilises l'IA sereinement, toi et ton équipe.
- Outils choisis. Offre pro, réglage « ne pas entraîner sur mes données » activé, politique de confidentialité vérifiée.
- Réflexe coller. Rien de sensible n'entre brut dans un outil grand public. La question « carte postale ? » est devenue automatique.
- Anonymisation en place. Un outil comme BlinDoc nettoie les documents clients avant qu'ils n'aillent dans l'IA.
- Charte IA. Une page, partagée, signée, revue chaque trimestre.
- Cas sensibles. Pour les dossiers les plus exposés, hébergement en France ou en Europe privilégié.
- Référent identifié. En cas de doute, l'équipe sait à qui poser la question.
Le but, c'est la tranquillité réelle au quotidien, bien plus que la conformité parfaite sur le papier. Une fois ces réflexes en place, tu arrêtes d'hésiter à chaque tâche et tu te sers de l'IA à plein régime, sans cette petite voix qui te demande si tu n'es pas en train de faire une bêtise. C'est exactement ce qu'on cadre ensemble pendant un audit.
Les repèresCe qui passe, et ce qui ne passe pas
| Type de contenu | Offre grand public | Offre professionnelle | Le réflexe |
|---|---|---|---|
| Texte public, plaquette, page web | Oui | Oui | Aucun risque particulier. |
| Document interne sans nom de personne | Prudence | Oui | Vérifier qu'aucun nom ne traîne en signature. |
| Compte rendu nommant des personnes | Non | Oui, anonymisé | Remplacer les noms par des initiales. |
| CV et candidatures | Non | Oui, avec précaution | Le tri assiste, il ne décide pas. |
| Contrats, données bancaires | Non | Au cas par cas | Anonymiser identités et montants. |
| Données de santé | Non | Non, hors hébergement certifié | Régime spécifique. Le dossier ne sort pas. |
| Identifiants, mots de passe, clés d'API | Jamais | Jamais | Aucune exception. |
La ligne la plus rentable du tableau est la troisième. Anonymiser prend trente secondes, ne dégrade en rien la qualité de l'analyse, et supprime la question dans la grande majorité des situations d'un dirigeant. C'est un geste, pas un projet.
FAQQuestions fréquentes
J'ai collé un document client dans une IA, c'est grave ?
C'est le cas le plus fréquent et il n'appelle aucune panique. Trois réflexes, identifier ce qui est parti et pour quelles personnes, vérifier dans les conditions du service si les contenus servent à l'entraînement et s'il existe une option pour le désactiver, puis écrire la règle qui manquait. C'est l'absence de cadre qui est en cause, jamais la personne.
Quelle est la différence entre une offre gratuite et une offre professionnelle ?
Elle porte moins sur la puissance que sur le traitement de tes contenus. Les offres professionnelles de la plupart des éditeurs prévoient contractuellement de ne pas entraîner leurs modèles sur ce que tu transmets, ce que les offres gratuites ne garantissent pas. C'est la seule différence qui compte vraiment ici.
Que ne faut-il jamais transmettre ?
Des identifiants, mots de passe ou clés d'accès, sans aucune exception. Des données de santé, hors infrastructure certifiée. Et, plus généralement, tout ce dont une fuite te mettrait en difficulté vis-à-vis d'un client ou d'un salarié. Le test qui tranche les cas limites, que se passerait-il si ce contenu devenait public ?
Comment anonymiser efficacement ?
Remplacer les noms par des initiales ou des étiquettes, retirer les adresses, les numéros et les dates de naissance. Attention à la réidentification, un ensemble de détails peut suffire à reconnaître quelqu'un sans son nom. La bonne question, c'est « quelqu'un du métier pourrait-il deviner de qui il s'agit ».
Faut-il une charte d'usage ?
Dès que vous êtes plusieurs, oui, et une page suffit. Une règle non écrite n'existe pas. Six lignes à trancher, les outils autorisés nommément, les données interdites dans les mots du métier, qui relit quoi, ce qu'on dit au client, qui répond aux questions non prévues, et une date de révision.
Un outil hébergé en France est-il plus sûr ?
Il simplifie la question des transferts hors Union européenne. Il ne répond ni à la question de savoir qui, chez le prestataire, accède à tes contenus, ni à celle de l'entraînement du modèle. Ce sont trois questions indépendantes, à poser séparément et à faire figurer par écrit.
Interdire l'IA est-il une solution ?
Non, et c'est même le scénario le plus risqué. Une interdiction sans alternative produit un usage clandestin sur des comptes personnels, avec des offres gratuites, sans aucune visibilité. Tu troques un risque encadré contre un risque que tu ne vois pas.
- CNIL, Les fiches pratiques IA, sur l'application du RGPD aux systèmes d'intelligence artificielle.
- INSEE, Les technologies de l'information et de la communication dans les entreprises en 2025, Insee Première n° 2120, juillet 2026.
On sécurise tes usages de l'IA ?
20 minutes, gratuit, sans engagement. On regarde tes outils et tes habitudes, et on installe les bons réflexes pour que tes données restent chez toi.
