En 2023, chez Samsung Semiconductor, trois ingénieurs ont voulu gagner du temps. Le premier a collé du code source dans ChatGPT pour corriger un bug(1). Le deuxième y a fait relire des notes de réunion. Le troisième a demandé à l'outil d'optimiser des données de test de puces électroniques. Trois gestes anodins, faits en moins d'un mois, chacun avec la meilleure intention du monde : travailler plus vite .
Le problème, c'est que ce code, ces notes et ces données de fabrication n'appartenaient plus seulement à Samsung après ça. Ils avaient atterri sur les serveurs d'un outil grand public, hors du contrôle de l'entreprise. Samsung a réagi en interdisant purement et simplement ChatGPT en interne, puis a fini par se doter de son propre outil maison, des mois plus tard.
Ce qui frappe dans cette histoire, ce n'est pas la malveillance : aucun des trois ingénieurs n'a rien fait de mal intentionnellement. Ce qui frappe, c'est la banalité du geste. Personne n'a piraté personne. Quelqu'un a juste copié-collé un texte dans une case, comme il l'aurait fait sur n'importe quel moteur de recherche.
Et ce n'est pas un cas isolé. Une étude menée en 2025 par LayerX Security(2) sur les usages réels en entreprise a montré que 77 % des employés qui utilisent des outils d'IA générative y collent des données sensibles de l'entreprise, et que 82 % de ces gestes passent par des comptes personnels, invisibles pour les équipes informatiques . Ce n'est donc pas un problème de quelques imprudents : c'est devenu un réflexe de travail ordinaire, chez énormément de monde.
77 % des employés qui utilisent des outils d'IA générative y collent des données sensibles.
Je vous raconte ça parce que la question n'est pas de savoir si vos équipes utilisent l'IA, elles le font probablement déjà, avec ou sans vous. La vraie question, c'est ce qui se passe une fois que l'information est partie.
Cet article s'adresse aux dirigeants de TPE et PME, pas aux juristes ni aux informaticiens. Vous n'avez besoin d'aucune compétence technique pour ce qui suit, juste de trois réflexes, que je vous donne à la fin.
Le vrai risque n'est pas où le modèle est hébergé
Beaucoup de dirigeants abordent le sujet par la mauvaise porte. Ils se demandent où est hébergée l'IA, quel pays, quel serveur. C'est une question légitime, mais ce n'est pas la première à se poser. La vraie question, plus simple, est celle-ci : est-ce que je peux perdre le contrôle d'une information confidentielle en la donnant à cet outil ?
Concrètement, ça ressemble à ça dans une TPE ou une PME :
- Un contrat client collé dans un chatbot pour en faire un résumé rapide avant un rendez-vous, alors que ce contrat contient des clauses de confidentialité, des tarifs négociés, parfois des données personnelles.
- Des données RH dictées à voix haute à un assistant IA pour préparer un entretien annuel, nom, salaire, évaluation, tout ce qu'un salarié n'a jamais autorisé à sortir de l'entreprise.
- Un fichier de comptabilité uploadé pour se faire aider sur une déclaration ou une analyse, avec, dedans, des informations bancaires et parfois les salaires de toute l'équipe.
Aucun de ces gestes n'est fait avec une mauvaise intention. C'est exactement pour ça qu'ils sont difficiles à encadrer : ils ne ressemblent pas à une faute, ils ressemblent à de l'efficacité.
Apprenez les bons réflexes dans notre Formation IA pour dirigeants
Est-ce que ça vous parle ? Si c'est votre cas, la bonne nouvelle, c'est qu'il ne vous manque pas un diplôme d'informatique. Il vous manque juste trois réflexes simples, j'y arrive.
Écartons vite la fausse bonne solution
Face à ce risque, la première idée qui vient est souvent : « il faut héberger notre propre IA, en interne, pour tout garder chez nous. » Sur le papier, ça rassure. Dans les faits, une IA « maison » ou hébergée en interne (ce qu'on appelle le on-premise) coûte largement au-delà du budget d'une TPE ou d'une PME classique, entre l'infrastructure, la maintenance et les compétences techniques nécessaires pour la faire tourner correctement.
Pour une petite structure, ce n'est donc pas une option réaliste à court terme. La bonne nouvelle, c'est que ce n'est pas non plus nécessaire : l'essentiel du risque ne se joue pas dans la technologie, mais dans les habitudes de travail. C'est là-dessus qu'il faut concentrer son énergie.
Les 3 réflexes qui suffisent
Voici la partie qui compte vraiment, celle qui ne coûte rien à mettre en place, à part un peu de discipline. Je les appelle mes 3 réflexes, parce qu'il n'y en a pas plus à retenir.
Réflexe n°1 : la règle des dix secondes. Avant de coller un texte dans une IA, remplacez les noms par « Client A », les montants précis par des ordres de grandeur, les dates exactes par des périodes. Dix secondes, et ça change tout. Les données qui méritent particulièrement ce traitement : les données clients nominatives, les données RH (salaires, évaluations, arrêts maladie), les données financières précises, les clauses contractuelles sensibles, et bien sûr, aucun mot de passe ou identifiant ne devrait jamais y passer, même anonymisé.
Réflexe n°2 : choisir le compte, pas juste le prix. C'est là que se cache une confusion très répandue. Beaucoup de dirigeants pensent que payer un abonnement individuel (ChatGPT Plus, Claude Pro) suffit à protéger leurs données. Ce n'est pas le cas. Sur ces plans personnels, vos conversations peuvent être utilisées pour entraîner les modèles, sauf si vous désactivez l'option manuellement dans les réglages de confidentialité et beaucoup de salariés ne sont pas au courant de cette fonctionnalité indispensable.
Un exemple concret de ce qui se joue à votre insu : sur Claude, le simple fait de laisser un avis via le pouce vers le haut ou vers le bas déclenche la conservation de toute la conversation associée pendant cinq ans, quel que soit votre réglage d'entraînement du modèle(3). Un geste qui semble anodin, presque un réflexe de politesse envers l'outil, et qui suffit à prolonger la durée de vie d'une donnée que vous pensiez éphémère.
Chez OpenAI, c'est presque l'inverse, et tout aussi piégeux : les comptes professionnels (ChatGPT Team, Enterprise, API) sont exclus de l'entraînement par défaut. Mais donner un avis sur une réponse suffit, à lui seul, à réactiver volontairement le partage de cette conversation précise avec OpenAI, même sur un compte pro normalement protégé(4). Dans les deux cas, le point commun est le même : c'est le geste de feedback, presque un réflexe, qui change silencieusement la règle du jeu.
Un abonnement payant individuel n'est donc pas, en soi, une protection : c'est le type de compte, personnel ou professionnel, qui fait la différence. L'ANSSI, l'agence française de cybersécurité (5), va dans le même sens : elle déconseille explicitement d'utiliser des outils d'IA générative grand public pour un usage professionnel impliquant des données sensibles.
Concrètement, il s'agit de privilégier un outil approuvé par l'ensemble de l'équipe, plutôt que de laisser chaque utilisateur recourir à son propre compte personnel. Cette absence de gouvernance est précisément à l'origine de 82 % des fuites de données recensées dans l'étude citée précédemment (2).
Réflexe n°3 : signaler rapidement, même maladroitement. Si une donnée sensible est partie par erreur, le geste à faire immédiatement est de supprimer la conversation et de prévenir la personne responsable de la sécurité ou de la conformité dans l'entreprise, même si aucune règle formelle n'existe encore. Mieux vaut un signalement maladroit qu'un silence qui laisse le problème grandir.
Téléchargez notre charte de bonnes pratiques : les 3 réflexes ci-dessus, mis en règles simples, prêtes à imprimer et à faire signer par toute votre équipe.
Le cadre légal, comme filet, pas comme épouvantail
Deux textes encadrent tout ça, et il faut les voir comme un filet de sécurité, pas comme une liste de sanctions à redouter.
Le RGPD, via les recommandations de la CNIL (6), s'applique dès qu'une IA traite des données personnelles, ce qui est le cas dès qu'on y met un nom, un salaire ou une adresse. La CNIL a publié depuis 2024 un corpus de fiches pratiques sur l'IA, qui posent des principes simples : ne collecter que les données nécessaires (minimisation), avoir une raison légale claire de traiter une donnée, et documenter ses choix .
Le second texte, l'IA Act européen (7), est plus récent et sera appliqué progressivement. Pour une TPE ou une PME qui utilise un chatbot ou un outil d'IA générative classique, l'essentiel est le suivant : à partir du 2 août 2026, l'entreprise devra informer clairement ses clients ou ses visiteurs lorsqu'ils échangent avec une intelligence artificielle, par exemple via un chatbot sur son site internet.
Les règles les plus strictes concernent les systèmes d'IA dits « à haut risque », comme ceux utilisés pour le recrutement automatisé, l'évaluation des salariés ou le scoring de crédit. Leur mise en application a été repoussée à la fin de l'année 2027 dans le cadre d'un projet de simplification européen, qui était encore en cours de publication officielle au moment de la rédaction de cet article (8). Il est donc recommandé de vérifier les informations les plus récentes si cet article est consulté après cette période, car le calendrier de mise en œuvre de l'IA Act peut encore évoluer.
Consultez également notre article : L'IA la plus douée du monde a quand même coulé un business. Voici pourquoi.
À retenir
- Aucune solution n'offre une protection totale de vos données sensibles, l'objectif est un risque maîtrisé, pas nul.
- Le danger vient des habitudes de travail, pas de l'endroit où l'IA est hébergée.
- Un abonnement payant ne protège pas vos données : c'est le type de compte (personnel ou professionnel) qui importe.
Sources
- Cas Samsung Semiconductor documenté notamment par Forbes, ChatGPT Security Risks for Enterprise Teams — https://www.forbes.com/sites/siladityaray/2023/05/02/samsung-bans-chatgpt-and-other-chatbots-for-employees-after-sensitive-code-leak/?utm_source=chatgpt.com
- LayerX Security, Enterprise AI and SaaS Data Security Report 2025, relayé par The Register — https://www.theregister.com/2025/10/07/gen_ai_shadow_it_secrets
- Anthropic Privacy Center, Is my data used for model training? — https://privacy.claude.com/en/articles/10023580-is-my-data-used-for-model-training
- OpenAI, How your data is used to improve model performance — https://openai.com/policies/how-your-data-is-used-to-improve-model-performance/
- ANSSI, Recommandations de sécurité pour un système d'IA générative (avril 2024) — https://cyber.gouv.fr/publications/recommandations-de-securite-pour-un-systeme-dia-generative
- CNIL, Les fiches pratiques IA — https://www.cnil.fr/fr/les-fiches-pratiques-ia
- Commission européenne, Navigating the AI Act (obligations de transparence, article 50, applicables au 2 août 2026) — https://digital-strategy.ec.europa.eu/en/faqs/navigating-ai-act
- Gibson Dunn, EU AI Act Omnibus Agreement — Postponed High-Risk Deadlines (état au moment de la rédaction, à revérifier selon la date de lecture) — https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/
Au delà de la sécurité des données sensibles, utilisez l'IA à sa juste place. Nos conseils dans cet article : L'IA ne remplacera pas les dirigeants.
Questions fréquentes
Oui, à condition de ne jamais y coller de données confidentielles sur un compte personnel, et d'utiliser si possible un plan professionnel plutôt que gratuit ou individuel.
Non, dans la grande majorité des cas. C'est un investissement disproportionné pour une petite structure ; une bonne gestion des données suffit pour la plupart des usages courants.
Supprimer la conversation immédiatement et prévenir le responsable sécurité ou conformité de l'entreprise, même en l'absence de procédure formelle, le signalement rapide limite les dégâts.
Oui, dès qu'une IA traite une donnée personnelle (nom, salaire, contact client). La CNIL a publié des recommandations spécifiques pour aider les entreprises à s'y conformer.
Pour un usage standard (chatbot, assistant de rédaction), l'essentiel est d'informer vos utilisateurs qu'ils interagissent avec une IA, et cela à partir d'août 2026. Les obligations plus lourdes ne concernent que des usages spécifiques comme le recrutement automatisé.
Oui, ChatGPT peut être utilisé dans un cadre conforme au RGPD avec les bonnes configurations. Il est recommandé d’éviter de partager des données personnelles sensibles.
Claude met l’accent sur la sécurité et la confidentialité, mais le niveau de protection dépend surtout de l’usage, des réglages et des données traitées.
Il faut supprimer ou remplacer les données personnelles (noms, emails, coordonnées…) avant de l’envoyer à une IA, avec des outils d’anonymisation si nécessaire.