L’IA vous fait gagner du temps, mais que lui donnez-vous en échange ?

Je vois régulièrement, chez mes clients, des utilisateurs copier des échanges d’e-mails complets ou des documents internes dans une fenêtre ChatGPT pour obtenir un résumé ou préparer une réponse.

Ils cherchent à gagner du temps. Mais ont-ils conscience qu’ils transmettent aussi ces informations à un prestataire extérieur ?

C’est cette facilité avec laquelle nous confions les données de nos entreprises aux outils d’intelligence artificielle qui m’inquiète. J’y vois un risque de fuite de données à l’échelle mondiale, alimenté par nos propres usages.

Je parle ici d’une perte de maîtrise : des informations quittent l’entreprise, parfois sans validation, sans cadre contractuel adapté et sans que la direction sache précisément ce qui a été transmis.

Le Shadow IA s’installe dans les habitudes

Le Shadow IA, c’est l’utilisation d’outils d’intelligence artificielle sans validation ni encadrement par l’entreprise.

Un collaborateur ouvre un compte personnel, colle un document et obtient une réponse en quelques secondes. L’outil fonctionne, alors il recommence.

Dans les échanges que j’observe, la question du devenir des données passe souvent après celle de l’efficacité.

Pourtant, un e-mail peut contenir des coordonnées personnelles, des informations commerciales ou des éléments confidentiels sur un client. La personne qui le transmet n’est pas forcément autorisée à partager l’ensemble de son contenu avec un autre prestataire.

La CNIL recommande d’ailleurs de ne soumettre aux services d’IA grand public que des informations que l’on est autorisé à partager, en excluant les données confidentielles.

Gratuit ou payant, je veux comprendre ce que deviennent mes données

L’adage « si c’est gratuit, c’est toi le produit » me revient souvent à l’esprit.

Mais je ne veux pas réduire le sujet au prix de l’abonnement. Les conditions dépendent du service utilisé, de l’offre souscrite et des réglages du compte.

OpenAI indique par exemple que les contenus des utilisateurs de ChatGPT Free, Plus et Pro peuvent servir à entraîner ses modèles, avec une possibilité de s’y opposer. Pour ChatGPT Business, Enterprise et l’API, les entrées et sorties ne sont pas utilisées à cette fin par défaut.

Un abonnement personnel payant ne constitue donc pas, à lui seul, un cadre adapté aux données de l’entreprise.

Et désactiver l’entraînement ne répond pas à toutes mes questions : où les données sont-elles traitées ? Combien de temps sont-elles conservées ? Quels sous-traitants interviennent ? Quelles garanties contractuelles avons-nous ?

Même sans réutilisation pour l’entraînement, les informations ont bien été confiées à un tiers.

La nationalité du fournisseur ne suffit pas

Je suis particulièrement attentif à la juridiction dont dépend le prestataire et aux pays dans lesquels les données peuvent être traitées.

Le RGPD peut s’appliquer à des entreprises établies hors de l’Union européenne. Un transfert hors UE n’est pas automatiquement interdit, mais il doit être encadré conformément aux règles applicables.

À l’inverse, choisir une société française ne dispense pas de vérifier ses conditions.

Mistral AI fait partie des fournisseurs vers lesquels je souhaite me tourner. Pour autant, je dois aussi regarder l’offre choisie : sa documentation prévoit, selon les services, une utilisation possible des interactions pour l’entraînement et des mécanismes permettant de s’y opposer.

Mon intérêt pour un acteur français ne doit pas remplacer cette vérification.

Même avec Copilot, il faut regarder la configuration exacte

Le nom « Copilot » recouvre plusieurs expériences, avec des engagements différents.

Microsoft indique notamment que Copilot Chat, utilisé avec un compte professionnel ou scolaire, bénéficie d’une protection des données d’entreprise et que les prompts et réponses ne servent pas à entraîner les modèles fondamentaux. Microsoft annonce également une absence d’entraînement sur les contenus utilisés par Copilot dans les applications Microsoft 365 grand public. Il serait donc inexact de résumer la situation à « Copilot Pro réutilise tout, la version entreprise protège tout ».

La localisation du traitement mérite une vérification distincte.

Microsoft documente un réglage appelé « flex routing », qui peut permettre le traitement des requêtes hors de l’EU Data Boundary pendant les pics de charge, notamment aux États-Unis, au Canada ou en Australie. Ce réglage est activé par défaut pour certains tenants éligibles créés après le 25 mars 2026. Les administrateurs peuvent le désactiver.

Je préfère donc vérifier les engagements et les paramètres réels plutôt que me fier au nom commercial d’un abonnement.

Le coût revient souvent dans mes échanges avec les dirigeants

Quand je demande si l’entreprise a prévu une offre professionnelle adaptée, j’entends régulièrement qu’équiper chaque utilisateur coûterait trop cher.

Je comprends cette contrainte. Je dirige moi aussi une entreprise.

Mais j’ai du mal à considérer l’économie réalisée sans regarder les informations qui partent dans ces outils. Les données concernées appartiennent aussi à nos clients et à nos collaborateurs.

Je souhaite que nous donnions aux équipes des règles compréhensibles et des outils adaptés. Sinon, les usages se développent sans que personne ait réellement décidé du niveau de risque accepté.

Et lorsqu’on autorise un assistant à consulter sa messagerie ou ses espaces documentaires, je trouve encore plus nécessaire d’examiner les permissions accordées. Le périmètre dépasse alors largement le document que l’on aurait choisi de copier.

Pourquoi je continue à investir dans l’IA locale

C’est cette approche que j’ai mise en pratique avec CityPilot, l’application que j’ai développée pour le Salon des communes et des intercommunalités.

Pour ses différents usages, je m’appuie sur des modèles plus petits, adaptés à des tâches précises. Ils demandent moins de ressources et peuvent fonctionner sur du matériel plus compact, en local. Pour ces besoins, je n’ai pas besoin de modèles frontières, les modèles les plus avancés du marché.

Je trouve cette approche plus cohérente : choisir un modèle en fonction du travail à accomplir permet de maîtriser les ressources nécessaires tout en gardant les données sur ma propre infrastructure.

Lorsque j’ai besoin des capacités d’un modèle plus avancé, je passe par une étape d’anonymisation avant de lui transmettre les documents. J’ai développé un outil pour cela, avec un point de vigilance : retirer les noms ne suffit pas si le reste du contenu permet encore d’identifier les personnes ou révèle des informations confidentielles.

Avec CityPilot, je continue à explorer une façon d’utiliser l’IA qui correspond à mes besoins et à mon éthique. Je veux pouvoir profiter de ces outils tout en maîtrisant ce que je leur confie.

---

Dans votre entreprise, savez-vous quels outils vos collaborateurs utilisent et quelles données ils y déposent ?

https://emerging-it.com/services/cybersecurite/