#
Au travail
Peut-on utiliser l’IA au travail sans exposer les données de l’entreprise ?
Oui. Tu peux utiliser l’IA sur tes vraies tâches à condition de cadrer trois choses avant de coller quoi que ce soit : quelles données tu confies, quel outil tu utilises et qui valide le résultat.
Le vrai risque tient à l’usage non cadré, quand chacun improvise sans règle. La sécurité des données IA en entreprise repose sur une méthode simple et répétable.
Le but de ce guide est de te faire passer d’un usage improvisé dans le flou à une règle claire que tu appliques dès lundi matin. Tu trouveras plus bas des garde-fous simples pour démarrer sur une seule tâche.
Pourquoi la question se pose maintenant
L’IA est entrée dans le travail plus vite que les règles internes. Beaucoup de salariés s’en servent seuls, sans consigne écrite de leur employeur.
Ce retard se mesure avec un chiffre daté. D’après l’enquête Ipsos bva pour Google du 24/03/2026, « seulement 21% des salariés déclarent avoir reçu une formation à l’IA dans le cadre professionnel, un taux qui atteint au mieux 30% dans les grandes entreprises, mais tombe à 16% chez les micro-entreprises ».
Sans repère, l’usage se fait à l’aveugle. C’est là que les données commencent à sortir du périmètre de l’entreprise.
Le shadow AI, principal angle mort
Le shadow AI, c’est utiliser un outil non validé par l’employeur, souvent depuis un compte personnel. Le fichier part alors sur un service que personne n’a contrôlé.
Le problème dépasse la simple fuite. D’après l’alerte de la DGSI (décembre 2025), « Les versions grand public des principaux outils d’IA générative, gratuites et standards, utilisent souvent les données entrées par l’utilisateur pour entraîner leurs modèles ».
Le premier réflexe est simple. Vérifie ce que ton employeur autorise avant de connecter le moindre document.
Les vrais risques pour la sécurité des données IA en entreprise
Les risques sont concrets. Ils apparaissent sur des tâches banales que tu fais déjà chaque semaine.
Voici trois familles concrètes. Chacune est liée à un geste courant de ton poste.
La fuite via les prompts
Coller un contrat, un fichier client, un compte rendu RH ou un tableau de résultats dans un outil public peut faire sortir la donnée de l’entreprise. Une fois envoyée, tu ne contrôles plus où elle va.
L’exemple classique, c’est le document confidentiel qu’on colle dans un traducteur en ligne grand public. Le geste paraît anodin. La donnée sensible, elle, quitte le périmètre.
La responsabilité qui reste à l’entreprise
Même avec un outil tiers, ton entreprise reste responsable du traitement des données. Elle doit donc en assurer la sécurité.
Comme le rappellent les recommandations de sécurité de la CNIL (22/07/2025), « La sécurité des traitements de données personnelles est une obligation prévue par l’article 32 du RGPD ». Concrètement, cela passe par le chiffrement, le contrôle des accès et la journalisation.
Le contenu de mauvaise qualité qui passe pour vrai
Un risque plus discret existe aussi. Une réponse fluide peut être fausse, ou citer une source inventée, puis se glisser telle quelle dans une décision.
Le danger monte quand l’IA lit un contenu externe piégé et suit des instructions cachées. Pour limiter ça, applique le principe de moindre privilège : ne donne à l’outil que l’accès strictement nécessaire à la tâche.
La méthode : cadrer avant de coller quoi que ce soit
La sécurité tient à une méthode courte que tu répètes sur chaque tâche.
Voici quatre étapes concrètes. Elles reprennent la logique de délégation que j’applique sur mon propre travail avec des outils comme Claude avant d’en faire des étapes reproductibles.
1. Classe tes données en trois catégories
Range chaque information dans une des catégories suivantes. C’est plus utile qu’un interdit flou du type « ne mets rien de sensible ».
Autorisées : contenu public, exemples fictifs, documents déjà nettoyés de toute donnée identifiante.
Autorisées sous conditions : documents internes, à traiter uniquement dans un outil approuvé par l’employeur.
Interdites : secrets, contrats, accès, données personnelles non nécessaires à la tâche.
Quand une source ne peut pas être transmise, tu peux l’anonymiser, en extraire juste le passage utile ou la remplacer par des données fictives. Pour installer cette classification dans une équipe, une formation IA partagée fixe les mêmes repères pour tout le monde.
2. Choisis le bon outil et les bons réglages
Préfère un compte ou un espace professionnel au compte perso. Vérifie ensuite les réglages de conservation et d’entraînement des données.
Ne connecte à l’outil que ce que la tâche exige vraiment. C’est aussi la meilleure réponse au shadow AI : utiliser l’outil approuvé plutôt que l’IA en douce.
3. Écris le contrat de la tâche en quatre lignes
Avant de lancer l’IA, écris son contrat en quatre lignes courtes :
Source : les données précises que tu autorises pour cette tâche.
Contexte : le rôle, l’objectif et les contraintes.
Sortie : le format et le niveau de détail attendus.
Contrôle : ce que l’IA n’a pas le droit de faire sans toi.
Prends une synthèse de comptes rendus. Tu fixes les fichiers autorisés en source, tu demandes un résumé d’une page en sortie et tu interdits tout envoi automatique dans le contrôle.
4. Garde un point de contrôle humain
Valide toi-même avant toute action sensible ou irréversible : un envoi, une publication, une suppression ou une décision RH. La logique tient en trois temps : lire, proposer, agir.
Commence en lecture seule, où l’IA propose sans rien exécuter. C’est le meilleur moyen de garder une validation humaine sur ce qui compte.
Ce que dit le cadre légal, en clair
Deux textes encadrent ton usage. Le RGPD porte sur la sécurité et la responsabilité, l’AI Act porte sur la transparence.
Le RGPD impose des obligations de sécurité et de responsabilité. Il n’interdit pas l’usage de l’IA. Pour l’usage quotidien, la CNIL recommande d’encadrer l’usage par une charte interne : « il est recommandé à tout organisme d’encadrer l’utilisation d’un système d’IA générative par des politiques ou chartes internes, définissant clairement les usages autorisés et les usages interdits » (CNIL, 18/07/2024).
L’AI Act est une loi européenne. Comme le rappellent les questions-réponses de la CNIL sur l’AI Act, « Le règlement européen sur l’IA (ou AI Act) a été publié au Journal officiel de l’Union européenne (JOUE) le 12 juillet 2024 et est progressivement en application depuis le 1er août 2024. ». Son calendrier s’applique de façon échelonnée et a été revu par l’« omnibus IA » entré en vigueur le 27/07/2026. L’AI Act ajoute notamment des obligations de transparence sur les contenus générés ; pour l’étiquetage, voir aussi ce que l’AI Act impose.
Les erreurs à éviter
Quelques pièges reviennent souvent. Le tableau ci-dessous met le bon réflexe en face de chacun.
Utiliser un compte perso pour des tâches pro : Passer par le compte ou l’espace approuvé par l’employeur.
Poser un interdit flou sans méthode : Classer les données et écrire un contrat de tâche.
Connecter tous les outils par défaut : Ne donner que l’accès exigé par la tâche.
Supprimer l’humain sur une action sensible : Valider avant tout geste irréversible.
Croire une réponse sans vérifier la source : Contrôler les faits avant de les réutiliser.
Si tu veux aller plus loin sur les garde-fous, ce guide explique comment déployer un agent IA en entreprise avec une matrice de droits.
FAQ
Peut-on utiliser ChatGPT gratuit avec des données de l’entreprise ?
C’est risqué, car les versions grand public peuvent réutiliser tes saisies pour entraîner leurs modèles ; préfère un compte professionnel avec les bons réglages.
Le RGPD interdit-il d’utiliser l’IA ?
Non, le RGPD n’interdit pas l’IA ; il impose des obligations de sécurité et de responsabilité sur le traitement des données personnelles.
Qui est responsable si une donnée fuite via l’IA ?
L’entreprise reste responsable du traitement, même quand la fuite passe par un outil tiers utilisé par un salarié.
L’IA représente-t-elle vraiment un risque pour les données de l’entreprise ?
Selon le baromètre CESIN 2026, mené avec OpinionWay auprès de 397 responsables de la cybersécurité de grandes entreprises françaises, « l’intelligence artificielle fantôme s’impose comme le premier comportement à risque » ; cette IA fantôme désigne l’usage d’outils non validés, comme le shadow AI décrit plus haut.
Et maintenant
Choisis une tâche que tu répètes chaque semaine, comme une synthèse ou un compte rendu. Écris son contrat en quatre lignes et teste-la cette semaine en lecture seule.
Ce premier pas est réversible et sans code. Si tu veux une progression guidée du niveau débutant vers l’autonomie, Kryve t’apprend à déléguer un résultat tout en gardant le contrôle final.
