Question 1 : est-ce que je mets des données personnelles dedans ?
Un nom, une adresse mail, un numéro de téléphone, un dossier salarié, un compte rendu médical, une conversation avec un client identifiable : tout ça, ce sont des données personnelles.
Si la réponse est non - vous demandez à l'IA de reformuler un texte générique, de résumer un article public, de vous expliquer une formule -, le RGPD ne s'applique tout simplement pas. Vous pouvez y aller.
Si la réponse est oui, passez à la question suivante.
Question 2 : où partent ces données ?
Un service gratuit grand public envoie vos textes sur ses serveurs, souvent hors d'Europe, et peut les utiliser pour améliorer son modèle. Ce n'est pas illégal en soi, mais ça exige d'avoir vérifié les garanties, informé les personnes concernées, et pouvoir le justifier.
Une offre professionnelle avec engagement de confidentialité, un hébergement européen, ou une IA installée sur votre propre serveur : là, vous maîtrisez le trajet.
La règle pratique qui en découle
Trois niveaux, faciles à retenir :
- Rien de personnel → n'importe quel outil fait l'affaire.
- Données personnelles courantes (nom d'un contact, mail professionnel) → outil professionnel avec engagement contractuel.
- Données sensibles (santé, RH, judiciaire, financier détaillé) → solution qui ne sort pas de chez vous.
Ce qu'il ne faut pas oublier
L'information des personnes. Si vous traitez des données clients avec de l'IA, votre politique de confidentialité doit le mentionner. Une phrase suffit, mais elle doit exister.
La décision automatisée. Si l'IA décide seule quelque chose qui affecte une personne - refuser une candidature, accorder un service -, les règles se durcissent nettement. En pratique : gardez toujours un humain dans la boucle. Ça résout le problème et ça donne de meilleurs résultats.
En résumé
La question n'est pas « ai-je le droit d'utiliser l'IA ». C'est « qu'est-ce que je lui donne, et où ça va ». Répondez à ces deux points par écrit, et vous avez couvert l'essentiel.
