Réponse rapide : ne collez dans un outil d’IA grand public ni donnée personnelle ni information confidentielle. C’est la consigne de la CNIL, qui recommande aussi une charte interne listant les usages autorisés et interdits. Pour tout le reste (idées de titres, correction d’un texte à vous, plan de newsletter), l’outil convient, avec un compte professionnel dédié.
À retenir
- Une donnée personnelle, c’est toute information qui se rapporte à une personne identifiable : un nom, un e-mail, un téléphone, ou un message de client qui permet de la reconnaître.
- Selon la CNIL, l’organisme utilisateur engage sa responsabilité légale si son personnel utilise mal un outil d’IA.
- Pour un usage non confidentiel, un service grand public passe avec une adresse professionnelle dédiée et, si l’outil le permet, la réutilisation des données désactivée.
- Pour des données de clients ou de collaborateurs, la CNIL juge généralement plus sûr un déploiement sur site, ou un contrat de sous-traitance avec l’hébergeur.
- Une charte d’une page vaut mieux qu’une interdiction que personne ne respecte.
Cet article reprend les recommandations de la CNIL. Il ne remplace pas un avis juridique.
Vous n’êtes pas seul à vous poser la question
L’Insee publie le 21 juillet 2026 son enquête sur 2025 (Insee Première n° 2120) : 18 % des entreprises françaises de 10 salariés ou plus déclarent utiliser au moins une technologie d’IA, contre 10 % en 2024 et 6 % en 2023. Les entreprises de moins de 50 salariés, qui forment 85 % du champ de l’enquête, passent de 9 % à 15 % en un an, soit deux fois moins que les 31 % des entreprises de 50 à 249 salariés. Parmi les entreprises utilisatrices, 43 % emploient une IA générative de texte ou de parole.
Les écarts entre métiers sont nets : 59 % dans l’information-communication, 33 % dans les activités scientifiques et techniques, 13 % dans le commerce, 12 % dans l’hébergement-restauration et 10 % dans la construction. Chez celles qui n’en utilisent pas, 71 % ne voient pas l’utilité et 54 % évoquent un manque d’expertise. Attention : l’enquête ne couvre pas les entreprises de moins de 10 salariés, donc pas les indépendants.
Pourquoi la question se pose dès la première utilisation
Reformuler un e-mail, résumer un devis, préparer une réponse : ce sont les usages courants que décrit la CNIL dans sa foire aux questions sur l’IA générative, publiée le 18 juillet 2024 et composée de 10 questions. Elle range ces outils en trois familles de tâches : créer du contenu à partir d’une consigne, retraiter un texte existant (corriger, traduire), analyser des données (trier, synthétiser).
Le risque ne vient pas de la tâche. Il vient de ce que vous donnez à l’outil. Collez le message d’un client avec son nom et son adresse, et vous confiez des données personnelles à un tiers. Selon ses conditions d’utilisation, ce tiers peut les réutiliser. La CNIL demande d’examiner cette réutilisation au cas par cas.
Ce que vous pouvez saisir sans trop de risque
La CNIL distingue les usages non confidentiels des autres. Pour les premiers, un service grand public peut être envisagé avec des garanties :
- un compte ouvert avec une adresse professionnelle dédiée, jamais une adresse personnelle ;
- la réutilisation de vos données désactivée, quand l’outil le propose ;
- des contenus sans donnée personnelle ni secret d’entreprise.
Quelques exemples qui respectent ces trois conditions : dix idées de titres pour un article de blog, la correction d’un paragraphe de votre propre site, un plan de newsletter en quatre rubriques.
Ce qui reste hors de l’outil
La CNIL demande de ne jamais partager d’informations confidentielles avec un service grand public : données personnelles, données de l’entreprise, surtout quand un secret les protège (secret des affaires, déontologie).
Un exemple fictif, annoncé comme tel. Alex dirige un cabinet de conseil de trois personnes et reçoit une quinzaine de messages de clients par semaine. Un mardi matin, une cliente lui écrit trois paragraphes sur sa situation. Alex n’a pas à tout coller. Il peut réécrire à la main le cœur de la demande, sans nom ni détail qui permette de la reconnaître, ou demander à l’outil un modèle de réponse générique, valable pour tous les cas du même type. Même résultat utile, aucune donnée exposée.
Restent aussi à l’extérieur : les fichiers clients, les tarifs négociés, un contrat en cours.
Choisir le mode de déploiement
La CNIL décrit trois façons d’accéder à un outil d’IA générative : sur site (« on premise »), sur une infrastructure cloud hébergée, ou par une API. Sa logique, résumée :
- Données non confidentielles : un service grand public encadré suffit.
- Données de clients ou de collaborateurs : le déploiement sur site est généralement plus sûr, car le fournisseur ne peut pas extraire vos données. Il coûte aussi plus cher à installer et à exploiter.
- Solution hébergée à distance : prévoyez un contrat de sous-traitance qui fixe les responsabilités et les accès. Une petite entreprise peut recourir à une infrastructure mutualisée, si les transferts sont encadrés et la sécurité assurée.
- Hébergement hors Union européenne : le transfert doit être encadré en plus.
- API : le fournisseur maîtrise presque tout. Évitez d’y saisir des données personnelles et lisez les conditions contractuelles.
Avant de brancher un outil sur votre boîte e-mail, votre agenda ou votre fichier clients, posez trois questions au fournisseur : où sont hébergées les données, les réutilise-t-il, fournit-il un contrat de sous-traitance ? Une réponse floue est déjà une réponse.
Une charte d’une page, cinq questions
La CNIL recommande d’encadrer l’usage de l’IA générative par des chartes internes qui définissent les usages autorisés et interdits. Cinq questions suffisent pour démarrer :
- Quels outils sont autorisés, avec quels comptes ?
- Quelles informations n’y entrent jamais ?
- Qui relit les contenus avant envoi à un client ?
- Qui prévenir en cas de doute ou d’incident ?
- Quand la charte est-elle relue ?
Seul ou non, écrivez-la : elle vous évite de trancher dans l’urgence.
Relire ce que l’outil produit
La CNIL le rappelle : ces systèmes ne sont pas des bases de connaissances. Ils fonctionnent par probabilités et peuvent produire des réponses inexactes mais plausibles, les « hallucinations ». Elle recommande de ne jamais reprendre les sorties telles quelles, de vérifier leur exactitude et de s’assurer qu’elles ne copient pas un texte protégé. L’outil vous fait gagner du temps de brouillon, pas de responsabilité.
Le règlement européen sur l’IA
Il est entré en vigueur le 1er août 2024 et classe les systèmes en quatre niveaux de risque, de l’interdiction à de simples exigences de transparence. Un assistant qui rédige vos e-mails n’est pas le cas le plus exposé, mais la CNIL précise que l’IA générative relève des règles applicables aux systèmes d’IA à usage général. Pour une petite structure, traitez d’abord les données personnelles.
Et si votre site utilise l’IA ?
Un chatbot, un formulaire qui alimente un assistant, un outil qui trie vos demandes de devis : tous traitent des données de visiteurs. Si vous connectez un outil à votre propre base de connaissances et qu’elle contient des données personnelles, la CNIL indique que vous êtes responsable de ce traitement. Elle recommande d’associer la personne chargée de la protection des données et, si besoin, de réaliser une analyse d’impact.
Ces questions se posent avant de brancher l’outil, pas après. Pour voir ce qu’on peut automatiser sur votre site sans exposer vos données, prenons 30 minutes. Voir aussi l’article sur le fait d’être recommandé par ChatGPT.
Les sources lues
- Insee, Les technologies de l’information et de la communication dans les entreprises en 2025, Insee Première n° 2120, 21 juillet 2026.
- CNIL, Les questions-réponses sur l’utilisation d’un système d’IA générative, 18 juillet 2024.
- CNIL, Utiliser l’IA générative dans les TPE et PME : quatre fiches France Num conçues avec la CPME et la CNIL (page de présentation lue, pas le détail des fiches).
Questions fréquentes
Puis-je coller l’e-mail d’un client dans ChatGPT ?
La CNIL recommande de ne jamais partager de données personnelles ni d’informations confidentielles avec un service grand public. Si vous avez besoin d’aide pour répondre, réécrivez le message sans nom ni détail qui permette d’identifier la personne.
Faut-il une charte interne pour utiliser l’IA ?
La CNIL recommande d’encadrer l’usage de l’IA générative par des politiques ou chartes internes qui listent les usages autorisés et interdits. Une page claire suffit pour commencer.
Qui est responsable si un collaborateur saisit de mauvaises données dans un outil d’IA ?
Dans le cas général, selon la CNIL, c’est l’organisme utilisateur qui engage sa responsabilité légale en cas de mauvaise utilisation de l’IA par son personnel. D’où l’intérêt d’informer et de former les personnes concernées.
Un outil d’IA hébergé hors de l’Union européenne pose-t-il un problème ?
Si des données personnelles peuvent être transférées hors de l’Union européenne, l’entreprise utilisatrice doit encadrer ce transfert, en plus du contrat de sous-traitance avec l’hébergeur. Lisez les conditions du fournisseur avant de saisir des données.
Dois-je relire ce que produit l’IA ?
Oui. Ces outils peuvent produire des réponses inexactes qui paraissent plausibles. La CNIL recommande de ne jamais reprendre les sorties telles quelles et de vérifier leur exactitude.
