IA et confidentialité au travail : ce que vos équipes ne doivent jamais faire

Ressources Capensia · Se former à l'IA · Publié le 15 septembre 2026

Dans la plupart des entreprises, l'IA générative n'est pas arrivée par une décision de direction. Elle est arrivée par un collaborateur qui a ouvert un onglet, collé un document et trouvé le résultat bluffant. Puis il l'a montré à un collègue. Le geste s'est répandu sans règle, sans que personne ne se demande où partait le document.

Le vrai risque est là, et il n'est presque jamais technique : ce sont des gestes ordinaires, faits de bonne foi, par des gens qui veulent bien faire leur travail plus vite. Voici ceux à proscrire, ce qu'on peut faire à la place — car interdire sans proposer d'alternative ne fonctionne jamais — et comment écrire une règle que vos équipes appliqueront.

Pourquoi une note de service ne suffit pas

La réaction classique, quand une direction prend conscience du sujet, est d'envoyer un message : « l'usage des outils d'IA grand public est interdit ». Cette réponse a deux défauts.

D'abord, elle ne change rien : les outils restent accessibles depuis n'importe quel navigateur, y compris un téléphone personnel. Une interdiction non accompagnée ne fait pas disparaître l'usage, elle le rend invisible. Ensuite, elle ne traite pas la cause : le collaborateur qui colle un document confidentiel ne cherche pas à contourner une règle, il ignore ce que devient ce document parce que personne ne le lui a expliqué. Tant que cette explication manque, la règle reste une contrainte incomprise, donc contournée dès qu'elle gêne.

Ce qui se passe réellement quand on colle un document

Le point de départ de toute formation sérieuse tient en une phrase : quand vous saisissez un texte dans un outil d'IA, vous le transmettez à un service extérieur à votre entreprise.

Ce que devient ce texte dépend ensuite de l'outil, de l'offre souscrite et des conditions d'utilisation acceptées. Selon les cas, les contenus saisis peuvent être conservés un certain temps, consultés pour des contrôles, ou réutilisés pour améliorer le service. Ces règles varient d'un fournisseur à l'autre, et aussi, chez un même fournisseur, entre une version gratuite et une offre professionnelle. D'où une conséquence simple : personne ne peut décider seul de ce qu'il envoie. C'est à l'entreprise de trancher en amont — quel outil, dans quelle offre, pour quels usages — et de le faire savoir.

Les gestes à proscrire

En attendant qu'un cadre existe, voici les situations où il faut s'abstenir, quels que soient l'outil et l'urgence.

• Coller un fichier de données clients ou salariés. Export de CRM, liste de contacts, tableau de paie, fichier de candidatures : ces documents contiennent des données personnelles dont l'entreprise est responsable, et les transmettre à un service extérieur engage l'entreprise, pas seulement le collaborateur.
• Soumettre un contrat ou une proposition en cours de négociation. Le réflexe « résume-moi ce contrat » est tentant sur quarante pages, mais ce contrat engage un tiers qui n'a jamais consenti à ce que son texte sorte du périmètre convenu.
• Faire relire un document couvert par une clause de confidentialité. S'il porte une mention de confidentialité, ou s'il vient d'un client qui vous a fait signer un engagement, le passer dans un outil externe viole cet engagement — même si le résultat ne sort jamais de votre écran.
• Décrire une situation individuelle identifiable. « Rédige un courrier pour un salarié de l'atelier qui a eu trois retards ce mois-ci » : le nom n'y est pas, mais dans une équipe de quinze personnes, la personne est reconnaissable. Ce qui vaut pour un salarié vaut pour un patient ou un élève.
• Transmettre des identifiants ou des extraits de configuration. Un mot de passe, une clé d'accès, une adresse de serveur n'ont rien à faire dans une fenêtre de conversation, même le temps d'un dépannage.
• Installer un outil sans validation. Extensions de navigateur, applications qui écoutent les réunions, assistants greffés sur la boîte mail : ils accèdent souvent à bien plus que ce que l'utilisateur imagine, et leur installation doit passer par la personne qui gère l'informatique.

Ce qu'on peut faire à la place

Une règle sans porte de sortie pousse au contournement. En pratique, presque tous les usages utiles se préservent moyennant une reformulation du geste.

Décrire la situation au lieu de coller le document

Pour un courrier délicat, l'IA n'a pas besoin du dossier : elle a besoin de la situation. « Rédige un courrier de rappel à un fournisseur qui a livré en retard pour la deuxième fois, ton ferme mais qui préserve la relation » produit un excellent brouillon sans qu'aucune donnée réelle ne sorte. Vous réinsérez ensuite noms, dates et montants vous-même.

Anonymiser avant, réinjecter après

Quand le document est vraiment nécessaire — une longue synthèse, une analyse de verbatims — remplacez les éléments identifiants par des repères neutres : Client A, Salarié 1, Société X. Le travail porte sur la structure et la langue, pas sur l'identité.

Travailler sur vos propres productions

Reformuler un texte que vous venez d'écrire, structurer vos notes, vous entraîner à répondre à des objections : ces usages ne posent aucun problème et représentent, pour beaucoup de métiers, l'essentiel du gain de temps réel. C'est ce que nous détaillons fonction par fonction dans notre guide des usages de l'IA par métier.

Passer par l'outil que l'entreprise a choisi

Le meilleur garde-fou reste un outil validé, souscrit dans une offre professionnelle, avec des conditions lues et acceptées par l'entreprise. Une partie des interdits ci-dessus devient alors un usage encadré — mieux vaut avancer dans cette direction que laisser chacun improviser avec son compte personnel.

Le cas particulier des données personnelles

Dès qu'un traitement porte sur des informations concernant des personnes — clients, salariés, candidats —, le cadre du RGPD s'applique et ne disparaît pas parce que l'outil est nouveau : finalité définie, base légale, information des personnes, durée de conservation, encadrement du sous-traitant. L'IA n'est pas interdite sur ces sujets, mais la décision ne se prend pas au niveau d'un collaborateur isolé. Les services RH sont les plus exposés, presque toutes leurs données étant personnelles : nous leur avons consacré un guide entier sur l'IA dans les services RH.

Écrire une règle d'usage que les équipes appliquent

Une charte utile tient sur une page et répond à cinq questions.

• Quels outils sont autorisés, et dans quelle version. Nommez-les : une règle qui parle « des outils d'IA » ne se traduit en rien de concret.
• Ce qu'on n'y met jamais. Reprenez la liste ci-dessus en l'adaptant à vos données : les exemples doivent parler de votre métier.
• Ce qui est encouragé. Une charte qui n'énumère que des interdits se lit comme une méfiance. Nommez les usages que vous voulez voir se développer.
• Qui décide en cas de doute. Une personne identifiée et joignable, à qui poser la question sans avoir l'air de demander une autorisation.
• Ce qu'on fait des productions de l'IA. La règle la plus solide : rien ne sort de l'entreprise sans avoir été relu et validé par un humain qui en assume le contenu.

Faites-la relire par deux ou trois personnes qui utilisent déjà ces outils : elles vous diront quelles lignes sont inapplicables — et une charte inapplicable ne protège personne.

La formation fait ce que la charte ne peut pas faire

Une charte pose le cadre. Elle ne crée pas le réflexe. Entre lire une ligne sur les données personnelles et se dire, à 17 h, devant un dossier qu'on voudrait résumer en deux minutes, « attends, celui-là je ne le colle pas », il y a tout l'écart entre une information et une compétence.

Ce réflexe s'installe par la pratique, sur des cas réels : on prend un document que quelqu'un a voulu traiter, on regarde ensemble ce qui pose problème, on le reformule. C'est ce que permet un format intra-entreprise, où toute l'équipe apprend la même chose en même temps. Si vous partez de zéro, notre guide se former à l'IA pose les bases.

Côté financement : pour un salarié, la formation relève du plan de développement des compétences de l'entreprise, avec une prise en charge possible par l'OPCO dont elle dépend ; pour une personne en recherche d'emploi, une prise en charge par France Travail est à étudier avec son conseiller, notamment via l'aide individuelle à la formation — elle n'est jamais automatique. Une formation à l'IA orientée pratique professionnelle n'étant pas certifiante, elle n'est pas éligible au CPF. D'autres guides pratiques sont disponibles dans nos ressources.