L’IA dans l’entreprise : risques de confidentialité entre les invites, le CRM et les données internes

L’IA entre dans les entreprises même sans projet approuvé par le conseil d’administration ou plan de transformation numérique. Il peut être accompagné d’un contrat chargé dans un générateur pour obtenir un résumé, d’un brief client copié dans une invite, d’un écran CRM partagé avec un assistant numérique ou d’un document interne traité via un service externe.

Ces opérations promettent de réduire les temps de travail, mais peuvent ouvrir des flux de traitement que l’entreprise n’avait pas envisagés. Le problème ne concerne plus seulement les informations qu’un employé décide d’inclure dans une demande. Cela concerne également les données que le système peut lire lors de l’exécution de la tâche : textes visibles à l’écran, pièces jointes, dossiers, emails, historiques d’affaires et archives liées.

La croissance de l’adoption rend la question plus urgente. Dans le rapport « Entreprises et TIC », publié le 15 décembre 2025, l’Istat constate que 16,4 % des entreprises italiennes comptant au moins dix salariés utilisent au moins une technologie d’intelligence artificielle. La part était de 8,2 % en 2024 et de 5 % en 2023. Parmi les entreprises utilisatrices, 70,8 % utilisaient des systèmes pour extraire des connaissances et des informations à partir de documents texte, tandis que 59,1 % utilisaient des technologies d’IA générative.

Le risque pour la vie privée va au-delà de l’invite

Lors de la première phase de diffusion de l’IA générative, l’accent a été principalement mis sur les invites. Les entreprises ont commencé à se demander quelles informations pouvaient être copiées dans des boîtes de dialogue et si un employé pouvait télécharger des contrats, des données clients, des documents confidentiels ou des documents personnels.

Ce risque demeure. Toutefois, les systèmes plus récents ne reçoivent pas uniquement le texte saisi par l’utilisateur. Certains peuvent traiter des captures d’écran, lire des documents ouverts, analyser ce qui apparaît sur le moniteur ou interagir avec des applications métiers. Un assistant connecté à plusieurs services peut également récupérer des informations depuis des boîtes email, des calendriers, des archives cloud et des logiciels de gestion.

L’étendue du traitement dépend donc des autorisations accordées, de la configuration technique et de la tâche assignée. Un utilisateur peut demander à résumer une transaction commerciale, tandis que l’outil accède à un écran contenant les noms, les coordonnées, l’historique des contacts, des notes confidentielles et des informations sur d’autres clients.

La même chose peut se produire dans une boîte de réception de courrier électronique, où le système peut rencontrer des pièces jointes contractuelles, des données financières ou des conversations qui ne sont pas nécessaires pour accomplir la tâche. Les données des candidats et des employés, les évaluations des emplois, les informations sur la santé ou les éléments liés à la confidentialité peuvent apparaître dans les documents RH.

« Le problème n’est pas d’utiliser l’intelligence artificielle dans l’entreprise, mais de l’introduire dans les processus sans avoir préalablement clarifié ce qu’elle peut gérer, dans quelles limites et sous quelle responsabilité », explique Alessandro Vercellotti, avocat et fondateur de Légal pour le numériquecabinet spécialisé en droit du numérique. « De nombreuses entreprises considèrent l’IA comme un accélérateur de productivité, mais lorsque les contrats, les données clients, les informations RH ou les écrans CRM se retrouvent dans un outil, l’enjeu devient aussi celui de la vie privée. Si l’entreprise ne sait pas quels outils sont utilisés par les équipes, elle ne peut pas vraiment savoir quelles données elle traite.

L’accès inutile reste un traitement

Le Règlement Général sur la Protection des Données, le RGPD, s’applique aux traitements automatisés d’informations relatives aux personnes identifiées ou identifiables. La notion inclut des opérations telles que la collecte, la consultation, l’organisation, le stockage et la communication. Même la lecture de données par un système peut donc devenir pertinente, sans que les informations soient volontairement copiées dans le prompt.

Chaque traitement doit avoir une base légale et respecter des principes tels que la limitation de la finalité, la minimisation des données, l’exactitude, la sécurité et la responsabilité. L’entreprise doit déterminer quelles informations sont nécessaires à la tâche confiée au système et empêcher, dans la mesure du possible, l’accès à des contenus étrangers.

L’appréciation devient plus délicate lorsqu’il s’agit de catégories particulières de données, de secrets commerciaux ou d’informations soumises à des obligations de confidentialité. Le document médical ou l’évaluation disciplinaire d’un salarié ne peut être traité comme un texte administratif normal. Même des données apparemment anodines peuvent produire des effets significatifs si elles sont associées à d’autres informations présentes dans les systèmes de l’entreprise.

Pourquoi il ne suffit pas de choisir un outil « sûr »

La sécurité déclarée par le fournisseur n’est qu’un des éléments à vérifier. L’entreprise doit comprendre comment fonctionne réellement le service : quelles données elle reçoit, où elles sont stockées, combien de temps elles sont disponibles, qui peut y accéder et si elles sont utilisées pour former ou améliorer des modèles.

Lorsque le fournisseur traite des données personnelles pour le compte de l’entreprise, la relation doit être réglementée conformément à l’article 28 du RGPD. Le contrat ou accord de traitement de données, souvent indiqué par le sigle Dpa, doit définir la nature, la durée et la finalité du traitement, les types de données, les catégories d’intéressés, les mesures de sécurité et les obligations des parties. Les termes doivent correspondre à une utilisation réelle et non à une description générique du service.

Il est également nécessaire de vérifier tout transfert de données en dehors de l’Espace Economique Européen et d’identifier les sous-traitants concernés. Les paramètres par défaut méritent un examen distinct : les fonctionnalités de stockage des conversations, les historiques partagés ou les liens automatiques peuvent étendre le traitement au-delà de ce que l’utilisateur avait prévu.

Le type de compte affecte également les garanties. Les versions grand public et professionnelle d’un même produit peuvent appliquer des conditions contractuelles différentes. Les différences peuvent concerner l’utilisation des contenus, les délais de conservation, les outils administratifs, la gestion des accès et la possibilité de signer un accord de traitement.

Les outils arrivent avant les règles

Selon Vercellotti, l’une des erreurs les plus fréquentes consiste à considérer l’IA comme un choix de productivité et non comme un nouveau traitement de données. L’adoption peut commencer à partir de comptes personnels, d’extensions de navigateur, d’abonnements achetés par des services individuels ou d’applications activées sans évaluation centralisée.

Dans ces cas, l’entreprise perd de la visibilité. Il ne connaît pas tous les fournisseurs utilisés, ne vérifie pas les autorisations accordées et ne peut reconstituer quelles informations ont été envoyées ou rendues accessibles. La documentation sur la confidentialité finit ainsi par décrire des flux autres que ceux du quotidien.

Le phénomène est souvent défini IA de l’ombresur le modèle de informatique fantôme: technologies adoptées en dehors des procédures officielles. Une interdiction générale peut pousser les utilisations encore plus loin, en particulier lorsque les employés considèrent les outils comme indispensables pour respecter les délais et la charge de travail.

Une politique efficace doit donc indiquer quels services sont autorisés, quelles données ne peuvent pas être téléchargées, quand un examen humain est requis et à qui signaler les préoccupations ou les incidents. Les instructions doivent distinguer les activités ordinaires des traitements à risque, en évitant les formules trop génériques pour guider les décisions opérationnelles.

Données cartographiques, accès et responsabilité

La première mesure consiste à recenser les outils déjà utilisés. L’analyse doit inclure les logiciels officiels, les versions gratuites, les plugins, les extensions et les intégrations activées par les équipes individuelles. Pour chaque service, il est nécessaire de reconstituer quelles données il peut recevoir ou visualiser et par quelles autorisations.

La deuxième étape concerne les processus. Un système utilisé pour corriger un texte public présente des risques différents d’un assistant connecté au CRM ou à la boîte email du personnel. L’entreprise doit évaluer l’objet, la base juridique, les catégories d’intéressés, les délais de conservation, les transferts et les mesures de sécurité.

Après la cartographie, les accords avec les fournisseurs, le registre des traitements, les informations et les procédures internes doivent être mis à jour. Dans les cas où l’utilisation peut présenter un risque élevé pour les droits des personnes, une analyse d’impact sur la protection des données peut être nécessaire.

La formation comble le fossé entre les règles et le travail quotidien. Les utilisateurs doivent reconnaître les données personnelles, comprendre ce qu’un assistant numérique peut voir et savoir quand supprimer des informations, utiliser des environnements approuvés ou demander une vérification préalable.

« Les entreprises ne devraient pas seulement se demander si elles peuvent utiliser l’IA », conclut Vercellotti. « Ils doivent se demander s’ils savent vraiment qui l’utilise, avec quelles données, avec quels outils et avec quelles règles. S’ils ne le savent pas, le risque n’est pas futur : il est déjà présent dans les processus quotidiens. »

La diffusion de l’IA transforme chaque autorisation technique en décision de traitement de données. Gérer l’accès aux écrans, aux archives et aux applications devient ainsi partie intégrante de la sécurité de l’entreprise : avant qu’un assistant ne commence à travailler, l’entreprise doit savoir quelles informations elle va rencontrer.

Titre SEO – 60 caractères

Méta description – 130 caractères