Vos échanges nourrissent les modèles Chaque question posée à un assistant conversationnel laisse une trace. ChatGPT, Claude, Gemini, Le Chat de Mistral : la plupart de ces outils conservent l’historique des échanges et s’en servent, par défaut, pour améliorer leurs modèles. Noms, coordonnées, dossiers clients, éléments de santé, données économiques. Tout peut y passer. Des pratiques différentes selon les éditeurs Les pratiques varient selon les éditeurs. Certains, comme Anthropic avec Claude, ne réutilisent pas les échanges pour l’entraînement lorsque l’option correspondante est désactivée. D’autres activent la collecte par défaut, et c’est à l’utilisateur d’aller la désactiver. Sans action de sa part, la confidentialité n’est jamais acquise. Ce que prévoit le RGPD Réutiliser des données personnelles pour entraîner une IA constitue un traitement soumis au RGPD, un point sur lequel la CNIL a publié un guide détaillé. Les éditeurs invoquent le plus souvent l’intérêt légitime prévu à l’article 6. Cette base impose en retour de respecter le droit d’opposition de l’article 21 : toute personne peut refuser que ses données servent à l’entraînement. Les articles 13 et 14 obligent par ailleurs les plateformes à informer clairement sur cette finalité. Encore faut-il que ce droit reste accessible en quelques clics, pas enfoui dans trois sous-menus. Le risque quand un salarié en fait usage Pour un responsable de traitement, la vraie question dépasse le cadre individuel. Que se passe-t-il quand un salarié déverse des informations sensibles dans un outil grand public ? L’article 32 du RGPD impose des mesures techniques et organisationnelles adaptées au risque. Une fuite via un outil d’IA déclencherait les mêmes obligations de notification que n’importe quelle autre violation, articles 33 et 34, avec information de la CNIL puis, selon la gravité, des personnes concernées. Trois réflexes à adopter Trois réflexes concrets s’imposent pour un DPO : désactiver systématiquement l’option d’amélioration des modèles sur chaque outil utilisé en interne, interdire la saisie de données sensibles dans les versions grand public, et privilégier des offres professionnelles avec engagement contractuel de non-entraînement. La directive NIS2 ajoute une couche d’obligations de gestion des risques. Une raison de plus pour reprendre la main sur ce qui part, chaque jour, dans une fenêtre de chat.
