Sécurité des données et IA en entreprise : les bonnes pratiques
Sécurité des données et IA en entreprise : comment utiliser l’intelligence artificielle sans exposer ses données ?
L’intelligence artificielle s’installe rapidement dans les entreprises.
ChatGPT, Microsoft Copilot, Gemini, Claude et de nombreux outils intégrant désormais de l’IA permettent de rédiger des documents, analyser des fichiers, synthétiser des réunions, traiter des demandes clients ou encore automatiser certaines tâches administratives.
Mais cette adoption soulève une question essentielle :
que deviennent les données de l’entreprise lorsqu’elles sont transmises à une intelligence artificielle ?
Un collaborateur peut aujourd’hui copier en quelques secondes un contrat client, une base Excel, des informations commerciales, un document RH ou un compte rendu confidentiel dans un outil d’intelligence artificielle.
Pour une entreprise qui souhaite déployer l’IA sérieusement, la question n’est donc pas de choisir entre utiliser ou interdire l’intelligence artificielle.
L’enjeu consiste plutôt à déterminer :
quelles données peuvent être utilisées ;
dans quels outils ;
dans quelles conditions ;
par quels collaborateurs ;
avec quel niveau de sécurité.
Voici les principaux points à connaître pour sécuriser l’utilisation de l’IA en entreprise.
Pourquoi la sécurité des données devient-elle un enjeu majeur avec l’IA ?
Avant l’arrivée de l’IA générative, transmettre des informations sensibles à un logiciel demandait généralement une action relativement structurée : import dans un CRM, connexion à un logiciel métier, création d'un compte ou mise en place d'une intégration.
Avec ChatGPT et les autres assistants IA, la situation est différente.
Un collaborateur peut envoyer une information vers un service externe simplement en la copiant dans une conversation.
Cela peut concerner :
des informations sur des clients ;
des coordonnées personnelles ;
un contrat ;
une proposition commerciale ;
des données financières ;
des informations RH ;
une base fournisseurs ;
des documents techniques ;
des plans ;
du code informatique ;
une stratégie commerciale ;
des informations relevant du savoir-faire de l'entreprise.
Et ces usages peuvent se développer avant même que la direction en ait défini les règles.
On parle parfois de Shadow AI : l'utilisation d'outils d'intelligence artificielle par les collaborateurs sans véritable contrôle ou cadre établi par l'entreprise.
Le premier risque n'est donc pas nécessairement une cyberattaque sophistiquée.
Il peut simplement être :
un salarié qui transmet la mauvaise information au mauvais outil.
Peut-on mettre des données d'entreprise dans ChatGPT ?
La réponse est : cela dépend du type de données, du service utilisé et de sa configuration.
Il faut notamment distinguer les offres destinées au grand public des environnements spécifiquement conçus pour les entreprises.
Dans le cas d'OpenAI, par exemple, les données provenant de ChatGPT Business, ChatGPT Enterprise et de la plateforme API ne sont pas utilisées par défaut pour entraîner les modèles. OpenAI indique également que les données professionnelles sont chiffrées lorsqu'elles sont stockées et lorsqu'elles transitent entre les systèmes.
Cela ne signifie cependant pas qu'une entreprise peut envoyer n'importe quelle information dans n'importe quel outil IA sans réflexion préalable.
Avant d'autoriser un outil d'intelligence artificielle, une entreprise devrait notamment vérifier :
ses conditions d'utilisation ;
sa politique de confidentialité ;
l'utilisation éventuelle des données pour l'entraînement ;
les durées de conservation ;
les possibilités de suppression ;
la localisation ou résidence des données lorsqu'elle est pertinente ;
les mécanismes d'authentification ;
les contrôles disponibles pour les administrateurs ;
les engagements contractuels du fournisseur ;
ses éventuels sous-traitants.
Les conditions varient considérablement selon les solutions.
“Utiliser de l'IA” n'est donc pas une catégorie suffisamment précise pour déterminer si un usage est sécurisé.
Il faut examiner chaque outil et chaque cas d'usage.
Toutes les données d'entreprise ne présentent pas le même risque
L'une des premières étapes consiste à classifier les informations de l'entreprise.
Un contenu déjà disponible publiquement sur le site internet de l'entreprise ne présente évidemment pas le même niveau de sensibilité qu'un fichier contenant les données personnelles de milliers de clients.
On peut, de manière simplifiée, distinguer plusieurs catégories.
1. Les données publiques
Par exemple :
textes présents sur votre site ;
brochures commerciales publiques ;
communiqués de presse ;
informations produits déjà diffusées.
Le niveau de risque est généralement limité.
2. Les données internes
Par exemple :
procédures internes ;
comptes rendus ;
documents de travail ;
tableaux de suivi.
Elles ne sont pas nécessairement critiques, mais leur utilisation doit déjà être encadrée.
3. Les données clients et fournisseurs
Par exemple :
noms ;
emails ;
numéros de téléphone ;
commandes ;
contrats ;
historique commercial.
Ces données peuvent notamment relever du RGPD lorsqu'elles permettent d'identifier une personne physique.
4. Les informations stratégiques
Par exemple :
marges ;
prix négociés ;
stratégie commerciale ;
prévisions financières ;
projets d'acquisition ;
données de prospection ;
informations contractuelles confidentielles.
Leur exposition pourrait directement porter préjudice à l'entreprise.
5. Les informations particulièrement sensibles
On peut notamment retrouver :
certaines données RH ;
données de santé ;
informations financières sensibles ;
secrets industriels ;
propriété intellectuelle ;
documents juridiques confidentiels.
Dans ces situations, l'utilisation d'une IA doit être analysée beaucoup plus rigoureusement.
L'objectif n'est donc pas de produire une règle simpliste comme :
“Il est interdit de mettre des informations dans une IA.”
Il s'agit plutôt de déterminer quelles informations peuvent être utilisées, pour quels usages et dans quels environnements.
IA et RGPD : quelles obligations pour une entreprise ?
L'utilisation d'une intelligence artificielle ne fait pas disparaître les règles existantes concernant les données personnelles.
Lorsqu'un système d'IA collecte ou utilise des données permettant d'identifier une personne, le RGPD peut s'appliquer au traitement réalisé.
La CNIL rappelle notamment l'importance de définir clairement la finalité d'un traitement, de disposer d'une base légale appropriée et de respecter le principe de minimisation des données.
La minimisation consiste à n'utiliser que les données réellement nécessaires pour atteindre l'objectif poursuivi.
Prenons un exemple.
Un directeur commercial souhaite identifier les clients présentant un risque de départ.
Il exporte son CRM et transmet à une intelligence artificielle :
le nom de chaque client ;
ses coordonnées ;
son historique d'achat ;
les échanges commerciaux ;
les commentaires des commerciaux ;
le montant des commandes.
La question n'est plus uniquement :
“L'IA peut-elle prédire quels clients risquent de partir ?”
Il faut également se demander :
“Avons-nous réellement besoin de transmettre l'ensemble de ces données pour obtenir le résultat recherché ?”
Dans certains cas, supprimer les noms, les coordonnées ou certaines informations permet déjà de réduire considérablement le niveau de risque.
7 risques liés à l'utilisation de l'IA avec les données d'une entreprise
1. L'utilisation d'outils non validés par l'entreprise
Un collaborateur découvre un nouvel outil IA et crée un compte avec son adresse professionnelle.
Il commence ensuite à lui transmettre des documents internes.
La direction ignore :
que l'outil est utilisé ;
quelles informations lui sont transmises ;
où les données sont conservées ;
quelles sont les conditions contractuelles applicables.
C'est probablement l'un des risques les plus fréquents.
2. L'envoi involontaire de données personnelles
Un fichier Excel peut contenir bien plus d'informations que nécessaire.
Une simple analyse demandée à une IA peut ainsi entraîner la transmission de centaines ou milliers de données personnelles.
La bonne pratique consiste à se demander :
“Quelles sont les données strictement nécessaires pour réaliser cette tâche ?”
3. La transmission d'informations confidentielles
Contrats, tarifs négociés, stratégies commerciales, budgets, documents juridiques...
Un assistant IA est tellement facile à utiliser qu'il peut rapidement devenir un réflexe.
Mais une information confidentielle reste confidentielle même lorsqu'elle est utilisée pour obtenir un résumé ou reformuler un document.
4. Des droits d'accès trop larges
Le problème devient encore plus important lorsqu'une intelligence artificielle est directement connectée aux outils de l'entreprise.
Imaginez un assistant IA connecté simultanément :
au CRM ;
aux emails ;
au Drive ;
à l'ERP ;
aux documents internes.
Techniquement, il peut devenir extrêmement performant.
Mais une question devient essentielle :
à quelles informations chaque utilisateur peut-il accéder ?
L'IA ne doit pas permettre à un collaborateur d'obtenir indirectement des informations auxquelles il n'aurait normalement pas accès.
5. Des automatisations mal configurées
L'intelligence artificielle est désormais intégrée dans de nombreux workflows automatisés.
Par exemple :
email reçu → analyse IA → extraction d'informations → création dans le CRM → rédaction automatique d'une réponse.
Chaque étape ajoute potentiellement :
un logiciel ;
une API ;
un stockage ;
des logs ;
des identifiants ;
des droits d'accès.
La sécurité ne dépend donc plus uniquement du modèle d'intelligence artificielle.
Elle dépend de l'ensemble de l'architecture.
6. Le stockage involontaire de données dans les logs
Lorsqu'une entreprise développe un outil utilisant une API d'intelligence artificielle, les données peuvent également apparaître dans :
les journaux techniques ;
les historiques d'automatisation ;
les outils de monitoring ;
les bases de données ;
les systèmes de debugging.
Une architecture sécurisée doit donc prendre en compte tout le parcours de la donnée.
7. L'absence de formation des collaborateurs
Une politique de sécurité parfaite sur le papier ne sert à rien si les équipes ne savent pas l'appliquer.
Un collaborateur doit être capable de savoir rapidement :
“Est-ce que je peux envoyer ce document dans mon outil IA ?”
Si la réponse nécessite de consulter 40 pages de politique informatique, le dispositif est probablement trop complexe.
Une IA interne est-elle forcément plus sécurisée ?
Pas nécessairement.
Il existe une confusion fréquente entre :
IA interne et IA sécurisée.
Une entreprise peut par exemple développer :
un chatbot interne ;
un assistant connecté à sa documentation ;
un système RAG ;
un agent IA ;
un outil utilisant une base vectorielle ;
une automatisation connectée à un LLM.
Ces architectures peuvent permettre de mieux contrôler les données et les accès.
Mais elles doivent être correctement conçues.
Il faut notamment vérifier :
où sont stockées les données ;
qui peut accéder aux documents ;
comment sont gérées les authentifications ;
comment sont stockées les clés API ;
quels services tiers reçoivent les informations ;
quelles traces sont conservées ;
comment sont gérés les droits utilisateurs ;
quelles données l'intelligence artificielle peut récupérer.
Un chatbot connecté à l'ensemble des documents de l'entreprise sans règles d'autorisation peut même créer un nouveau risque d'accès aux données.
La sécurité doit donc être pensée dès la conception du cas d'usage IA.
Comment sécuriser l'utilisation de ChatGPT et de l'IA dans une entreprise ?
Voici une approche simple en sept étapes.
1. Recenser les outils IA déjà utilisés
Avant d'établir une politique, il faut savoir ce qui existe réellement.
Interrogez les équipes :
utilisez-vous ChatGPT ?
Copilot ?
Claude ?
Gemini ?
des outils de transcription ?
des outils de génération de présentations ?
des extensions intégrant de l'IA ?
des fonctionnalités IA présentes dans vos logiciels métiers ?
Le résultat réserve parfois des surprises.
2. Identifier les cas d'usage
L'utilisation d'un assistant pour reformuler un email n'a rien à voir avec l'analyse d'une base clients.
Listez les principaux usages :
rédaction ;
synthèse ;
analyse documentaire ;
traitement des emails ;
prospection ;
analyse de données ;
support client ;
automatisation ;
génération de documents ;
recherche interne.
3. Classifier les données
Pour chaque usage, déterminez quelles catégories d'informations sont concernées.
Par exemple :
Vert : informations publiques.
Orange : informations internes pouvant être utilisées uniquement dans certains outils approuvés.
Rouge : informations confidentielles ou sensibles nécessitant une validation spécifique.
Cette classification simple est souvent beaucoup plus efficace qu'une interdiction générale.
4. Sélectionner les outils autorisés
L'entreprise peut ensuite établir une liste des solutions IA validées.
Pour chacune, il faut vérifier notamment :
les conditions de traitement des données ;
les fonctionnalités de sécurité ;
les contrôles administrateurs ;
les conditions contractuelles ;
la conformité avec les exigences de l'entreprise.
Dans un contexte professionnel, utiliser un environnement conçu pour les organisations peut apporter des garanties supplémentaires par rapport à des comptes individuels.
OpenAI précise par exemple que les données des espaces ChatGPT Business ne servent pas à entraîner ses modèles et sont chiffrées au repos comme en transit.
5. Rédiger une charte d'utilisation de l'IA
La charte doit rester courte et opérationnelle.
Elle peut répondre à quelques questions essentielles :
quels outils sont autorisés ?
quelles données peuvent être transmises ?
quelles données sont interdites ?
comment anonymiser certaines informations ?
quand demander une validation ?
quelles règles appliquer aux documents clients ?
quels usages nécessitent une vérification humaine ?
Une bonne charte IA doit pouvoir être comprise par un collaborateur en quelques minutes.
6. Former les collaborateurs
La formation ne doit pas uniquement apprendre à écrire de meilleurs prompts.
Elle doit également expliquer :
ce qu'il ne faut pas mettre dans un prompt.
Des exemples métiers réels sont particulièrement efficaces.
Par exemple :
Mauvaise pratique :
Importer intégralement une base clients contenant noms, emails et commentaires commerciaux pour obtenir une segmentation.
Meilleure pratique :
Déterminer d'abord quelles informations sont réellement nécessaires, supprimer ou anonymiser celles qui ne le sont pas, puis utiliser l'environnement IA validé par l'entreprise.
7. Auditer les intégrations IA avant leur mise en production
Dès qu'une intelligence artificielle est connectée au système d'information de l'entreprise, il faut analyser son fonctionnement global.
Par exemple :
CRM → automatisation → base de données → IA → email.
Pour chaque étape, posez quatre questions :
Quelles données entrent ?
Où sont-elles envoyées ?
Où sont-elles stockées ?
Qui peut y accéder ?
Cette approche permet d'identifier une grande partie des risques avant le déploiement.
Faut-il interdire ChatGPT dans son entreprise ?
Dans la majorité des PME, une interdiction totale risque surtout de déplacer les usages.
Les collaborateurs continueront potentiellement à utiliser des outils d'IA avec :
leurs comptes personnels ;
leurs téléphones ;
des solutions gratuites ;
des outils non contrôlés par l'entreprise.
Il est souvent plus pertinent de créer un cadre d'utilisation de l'intelligence artificielle.
L'objectif peut être résumé simplement :
autoriser les usages utiles, limiter les usages risqués et donner aux collaborateurs des règles compréhensibles.
Sécurité des données : faut-il renoncer à l'IA ?
Non.
Sécurité et adoption de l'intelligence artificielle ne sont pas incompatibles.
La CNIL elle-même souligne que la protection des données et l'innovation en intelligence artificielle peuvent être conciliées, à condition d'intégrer ces problématiques dès la conception des systèmes et des traitements.
Une PME peut parfaitement utiliser l'intelligence artificielle pour :
automatiser son administratif ;
analyser ses documents ;
assister ses commerciaux ;
améliorer son service client ;
exploiter ses données ;
accélérer la rédaction ;
créer des assistants métiers.
Mais le déploiement doit être structuré.
La vraie question n'est donc plus :
“Peut-on utiliser l'intelligence artificielle dans notre entreprise ?”
Elle devient :
“Comment utiliser l'IA efficacement tout en gardant le contrôle sur nos données ?”
Les bonnes pratiques à retenir
Pour mettre en place une IA sécurisée en entreprise, retenez sept principes :
Identifier les outils IA réellement utilisés par les équipes.
Cartographier les données manipulées.
Différencier données publiques, internes, personnelles et confidentielles.
Valider les outils pouvant être utilisés professionnellement.
Limiter les informations envoyées à ce qui est réellement nécessaire.
Former les collaborateurs aux risques liés aux données.
Vérifier l'architecture et les droits d'accès avant de connecter l'IA aux logiciels internes.
Plus l'intelligence artificielle sera intégrée profondément dans les processus de l'entreprise, plus cette gouvernance deviendra importante.
Comment Pegasus Consulting IA accompagne les entreprises
Chez Pegasus Consulting IA, notre approche consiste à partir des processus réels de l'entreprise avant de sélectionner les outils.
Lors d'un diagnostic IA, nous analysons notamment :
les tâches chronophages ;
les outils actuellement utilisés ;
les flux de données ;
les opportunités d'automatisation ;
les contraintes métiers ;
les risques et prérequis associés aux projets identifiés.
L'objectif n'est pas d'ajouter de l'intelligence artificielle partout.
Il s'agit d'identifier où l'IA peut réellement apporter de la valeur et comment la mettre en place dans un cadre adapté à l'entreprise.
Cette phase de cadrage permet ensuite de choisir les bons outils, concevoir les automatisations et former les équipes à leur utilisation.
FAQ – IA, ChatGPT, RGPD et sécurité des données en entreprise
ChatGPT utilise-t-il les données des entreprises pour entraîner son IA ?
Cela dépend de l'offre utilisée. OpenAI indique que les données provenant de ChatGPT Business, ChatGPT Enterprise et de sa plateforme API ne sont pas utilisées par défaut pour entraîner ses modèles.
Il est néanmoins indispensable de vérifier les conditions correspondant précisément au service et au compte utilisés par votre organisation.
Peut-on mettre des données clients dans ChatGPT ?
Techniquement, cela est possible, mais il faut d'abord déterminer si ces données sont nécessaires au traitement, si elles contiennent des données personnelles ou confidentielles et si l'environnement utilisé présente les garanties adaptées.
Dans de nombreux cas, l'anonymisation ou la suppression des informations inutiles constitue une première mesure pertinente.
ChatGPT est-il conforme au RGPD ?
Il est préférable d'éviter une réponse générale par oui ou par non.
La conformité au RGPD dépend non seulement du fournisseur, mais également de la manière dont l'entreprise utilise le service, des données traitées, de la finalité et du cadre juridique applicable.
Le recours à un outil conforme à certaines exigences ne rend pas automatiquement tous les usages de l'entreprise conformes.
Quelle IA utiliser avec des données confidentielles ?
Il n'existe pas une solution universelle.
Le choix doit notamment prendre en compte :
la nature des données ;
leur niveau de confidentialité ;
les conditions du fournisseur ;
le stockage et la conservation ;
les droits d'accès ;
l'architecture technique ;
les exigences réglementaires de l'entreprise.
Certains usages sensibles peuvent nécessiter une architecture dédiée plutôt qu'un outil conversationnel standard.
Comment sécuriser ChatGPT dans une PME ?
Commencez par trois actions :
identifier les usages actuels, définir les données autorisées et mettre à disposition des collaborateurs un environnement professionnel validé.
Complétez ensuite ce dispositif par une charte IA et une formation adaptée aux métiers de l'entreprise.
Est-il dangereux d'utiliser l'IA en entreprise ?
L'IA n'est pas dangereuse par nature.
Le risque apparaît principalement lorsque des outils sont utilisés sans règles, avec des données sensibles ou avec des accès trop larges.
Un déploiement correctement cadré permet au contraire de profiter de l'intelligence artificielle tout en maîtrisant davantage les flux de données.
Comment savoir si mon entreprise est prête à intégrer l'intelligence artificielle ?
Avant de lancer plusieurs projets, il est utile de cartographier :
vos processus ;
vos outils ;
vos données ;
les tâches répétitives ;
les contraintes internes ;
les opportunités présentant le meilleur retour sur investissement.
C'est précisément l'objectif d'un diagnostic IA en entreprise : prioriser les cas d'usage avant de passer à leur développement.
Vous souhaitez identifier les usages IA pertinents pour votre entreprise tout en maîtrisant les problématiques de données, d'intégration et de sécurité ?
Pegasus Consulting IA accompagne les PME dans l'identification, le cadrage, la mise en place et l'adoption de solutions d'intelligence artificielle adaptées à leurs processus métiers.