Utiliser l'IA en entreprise sans exposer vos données.

Vos équipes utilisent sans doute déjà l'intelligence artificielle : pour rédiger un e-mail, résumer un document, traduire un devis. Souvent avec un compte personnel, et sans savoir ce que deviennent les textes qu'elles y collent. La réponse courte : passez à une offre professionnelle qui n'utilise pas vos données pour entraîner ses modèles, fixez trois règles simples à vos équipes, et gardez un humain pour valider ce que l'outil produit.

Ce que deviennent les données que vous tapez

Sur les offres grand public, vos conversations peuvent servir à entraîner les modèles. Chez OpenAI, c'est le cas par défaut sur ChatGPT gratuit, Plus et Pro, tant que l'option n'est pas désactivée dans les paramètres. Chez Google, l'activité Gemini d'un compte personnel est conservée par défaut et peut servir à l'entraînement, avec une relecture possible par des humains. Chez Anthropic, les conversations Claude y servent si l'utilisateur l'accepte, et sont alors conservées jusqu'à cinq ans. Ces règles changent souvent, parfois d'une version d'application à l'autre.

Le risque n'a rien de théorique. En 2023, des ingénieurs de Samsung ont collé du code source interne dans ChatGPT, et le groupe a interdit ces outils sur ses appareils. En 2025, en Australie, un ancien membre du personnel temporaire d'une agence publique de Nouvelle-Galles du Sud a chargé dans ChatGPT un fichier touchant plus de 2 000 personnes, informations de santé comprises.

Les offres professionnelles changent la donne

Les offres pour les entreprises fonctionnent autrement : l'éditeur s'engage par contrat à ne pas entraîner ses modèles sur vos données, et c'est votre administrateur qui gère les accès et la durée de conservation.

• ChatGPT Business et Enterprise : pas d'entraînement sur vos données par défaut, conservation fixée par l'administrateur, accord de traitement des données disponible.
• Microsoft Copilot avec un compte professionnel : la protection des données d'entreprise s'applique, et les requêtes comme les réponses ne servent pas à entraîner les modèles. Les recherches web envoyées à Bing sortent de ce cadre.
• Gemini dans Google Workspace : vos contenus ne sont ni relus par des humains, ni utilisés pour entraîner les modèles hors de votre domaine sans votre accord.
• Claude Team et Enterprise : pas d'entraînement sur vos données, sauf si vous choisissez de les partager.

Attention aux noms : Microsoft appelle aussi « Copilot » son application grand public, dont les règles diffèrent. C'est la connexion avec un compte professionnel qui fait la différence.

Ce que dit la loi en Nouvelle-Calédonie

La loi Informatique et Libertés s'applique en Nouvelle-Calédonie, et la CNIL y est l'autorité compétente. Le RGPD n'y joue pas directement, puisque le territoire n'appartient pas à l'Union européenne, mais la loi en reprend les règles par renvoi : une base légale pour chaque traitement, l'information des personnes, la sécurité des données, un contrat avec chaque prestataire qui les traite pour vous.

Concrètement, coller les données d'un client dans un outil d'IA, c'est les confier à un prestataire. Il faut un contrat qui encadre ce traitement : les offres professionnelles le prévoient, pas les comptes personnels. La CNIL recommande aussi de partir d'un besoin précis, d'écrire dans une charte les usages permis et interdits, et de former les utilisateurs.

Trois règles à fixer à vos équipes

• Des comptes d'entreprise, pas des comptes personnels. L'entreprise choisit l'outil, paie l'abonnement et garde la main sur les accès : quand un salarié part, ses conversations ne partent pas avec lui.
• Rien de confidentiel dans un outil grand public. Ni données de clients, ni contrats, ni chiffres financiers, ni code source, ni mots de passe. En cas de doute, anonymisez : un nom remplacé par « le client » suffit souvent.
• Un humain valide avant d'envoyer. Les outils d'IA se trompent parfois avec aplomb, et leurs éditeurs le reconnaissent : OpenAI écrit lui-même que « ChatGPT n'est pas immunisé contre les hallucinations ». Chiffres, noms, références juridiques et engagements se vérifient avant de partir chez un client.

Écrivez ces règles sur une page, présentez-les en réunion, et dites à vos équipes quels outils sont autorisés : une interdiction sans alternative pousse à l'usage caché.

Quand aller plus loin

Pour traiter des données sensibles ou automatiser un processus, l'abonnement ne suffit plus. Plusieurs voies existent, du plus simple au plus maîtrisé :

• L'API d'un éditeur, intégrée à vos propres outils, avec des données qui ne servent pas à l'entraînement, comme le prévoient par défaut les API d'OpenAI et d'Anthropic.
• Un hébergement des données choisi, quand l'éditeur propose de les conserver dans une région donnée : OpenAI propose par exemple un stockage en Australie ou en Europe pour ChatGPT Enterprise, Google un stockage en Europe ou aux États-Unis pour Workspace.
• Un modèle ouvert hébergé chez vous ou chez votre hébergeur : les données ne quittent pas votre infrastructure, au prix d'un serveur adapté et d'un modèle souvent moins puissant.

Le bon choix dépend de la sensibilité des données et de l'usage. C'est ce que cadre l'offre IA et automatisations d'ERIS : un premier cas utile, des données protégées, un humain dans la boucle.