IA générative en entreprise : protéger ses données

ChatGPT, Microsoft Copilot ou Gemini : vos collaborateurs utilisent probablement déjà l'IA générative pour rédiger un e-mail, résumer un document ou traduire un texte. Souvent avec un compte personnel gratuit, sans savoir ce que deviennent les informations saisies. L'IA générative en entreprise pose donc une question concrète de protection des données, en Suisse comme ailleurs.

Interdire ne fonctionne pas longtemps. Encadrer est plus réaliste : choisir les outils, fixer ce qui peut y être saisi et l'expliquer aux équipes.

La nLPD s'applique-t-elle à l'intelligence artificielle ?

Oui. Le PFPDT a rappelé que la loi sur la protection des données, en vigueur depuis le 1er septembre 2023, s'applique directement aux traitements de données fondés sur l'IA, sans attendre une loi spécifique. Saisir des données personnelles dans un outil d'IA est un traitement : les principes habituels valent, finalité, proportionnalité, sécurité et transparence.

Selon l'offre, le fournisseur de l'outil traite ces données pour votre compte ou pour ses propres besoins. Ses serveurs se trouvent souvent hors de Suisse : la question de la communication de données à l'étranger se pose donc aussi.

Compte personnel ou compte professionnel : quelle différence ?

Les offres grand public et les offres professionnelles n'ont pas les mêmes conditions. Selon l'offre et les réglages, une version gratuite peut utiliser les conversations pour améliorer ses modèles, et l'entreprise n'a aucune visibilité sur les comptes créés par ses collaborateurs.

Les offres professionnelles, par exemple Microsoft 365 Copilot ou Copilot Chat utilisés avec un compte professionnel Entra ID, prévoient en général que les données saisies ne servent pas à entraîner les modèles, et rattachent les comptes à l'entreprise : création, désactivation au départ d'un collaborateur, journalisation. Lisez tout de même les conditions de l'offre choisie.

Quelles données ne pas saisir dans ChatGPT ou Copilot ?

Le niveau de précaution dépend de la sensibilité des données. Une règle simple : ne saisissez rien que vous n'enverriez pas par e-mail à un tiers externe sans contrat.

• Les mots de passe, clés d'accès et codes de connexion.
• Les données sensibles au sens de la nLPD, comme les données de santé.
• Les informations couvertes par un secret professionnel ou un accord de confidentialité.
• Les données financières de clients : coordonnées bancaires, situation de paiement.
• Les documents stratégiques non publiés : offres, contrats, projets d'acquisition.

Rédiger une charte d'utilisation de l'IA en entreprise

Une charte d'une ou deux pages suffit. Elle dit quels outils sont autorisés et avec quels comptes, quelles données sont exclues, et rappelle que le résultat doit être relu par une personne : l'IA peut inventer des faits, des chiffres ou des références.

Elle prévoit aussi la transparence : si vos clients échangent avec un agent conversationnel, ils doivent savoir qu'ils s'adressent à une machine. Ajoutez la marche à suivre en cas d'erreur, par exemple des données saisies par mégarde. Présentez la charte lors d'une courte séance plutôt que par un simple e-mail, et révisez-la quand les outils évoluent.

Protection des données et IA générative : le volet technique

Quelques réglages appuient la charte : des comptes professionnels gérés dans Entra ID, des droits d'accès revus avant d'activer Copilot (il voit tout ce que l'utilisateur peut voir) et, si nécessaire, le blocage des outils non autorisés ou des étiquettes de confidentialité sur les documents sensibles.

Ces réglages ne remplacent pas la charte : ils réduisent les erreurs, sans couvrir tous les usages. La sensibilisation des équipes reste le premier levier.