Dans beaucoup de PME, l’IA est entrée par la petite porte : un commercial qui fait rédiger ses relances par ChatGPT, une assistante qui résume des comptes rendus, un technicien qui traduit une notice. Personne ne l’a décidé, et personne ne sait quelles données sont parties où.

Interdire ne marche pas : les usages continuent, en cachette. Le plus sûr est d’encadrer, avec quelques règles simples.

Quelles données confier à quel outil d’IA : version grand public, offre professionnelle, modèle installé chez vous

Ce qui part quand on utilise un assistant IA

Tout ce que vous collez dans un assistant est envoyé à l’éditeur du modèle : le texte, les pièces jointes, parfois l’historique de la conversation. Ce qui compte ensuite, c’est ce que l’éditeur s’engage à en faire :

  • les versions grand public peuvent utiliser les conversations pour améliorer leurs modèles, sauf si l’utilisateur le désactive ;
  • les offres professionnelles et l’accès par API annoncent en général que les données ne servent pas à l’entraînement, avec un contrat et une durée de conservation, selon les conditions de l’éditeur ;
  • un modèle installé sur un serveur à votre nom ne renvoie rien à l’éditeur, mais demande plus de travail et de maintenance.

Le modèle compte moins que l’offre. Le même modèle peut être utilisé en version grand public ou dans un cadre contractuel très différent. Notre comparatif Mistral AI, OpenAI ou Claude détaille les options de chaque éditeur.

Les données à traiter avec soin

Le RGPD s’applique dès qu’une donnée permet d’identifier une personne : un nom, un mail, un numéro de téléphone, un dossier de salarié. Trois familles demandent des règles écrites :

  1. Les données des clients : coordonnées, historique d’achats, échanges. Elles peuvent passer par une offre professionnelle, avec un usage décrit et documenté.
  2. Les données des salariés : paie, évaluations, arrêts maladie. À tenir hors des assistants grand public, et à traiter avec beaucoup de prudence partout ailleurs.
  3. Les données sensibles : santé, opinions, informations bancaires. Elles restent hors des outils d’IA, sauf projet cadré avec un hébergement adapté.

Les documents sans donnée personnelle (fiches techniques, procédures, notices) posent surtout une question de confidentialité commerciale, que l’offre professionnelle règle dans la plupart des cas.

Écrire une règle d’usage d’une page

Une règle courte, connue de toute l’équipe, protège mieux qu’une charte de vingt pages que personne ne lit. Elle répond à quatre questions :

  • Quels outils sont autorisés, et avec quel compte (le compte de l’entreprise, jamais un compte personnel) ?
  • Quelles données peut-on y mettre, et lesquelles jamais ?
  • Qui relit ce que l’IA produit avant que ça parte chez un client ?
  • À qui signaler un doute ou une erreur ?

Le règlement européen sur l’IA va dans le même sens : depuis février 2025, son article 4 demande aux entreprises qui utilisent l’IA de veiller à ce que leurs équipes la maîtrisent suffisamment. Une règle d’usage et une courte formation y répondent pour les usages courants.

Ce que l’on fait chez Raneo

Sur chaque projet d’IA, on documente chaque flux de données : ce qui part, vers quel éditeur, dans quelles conditions, et pour combien de temps. Hébergement européen par défaut, choisi avec vous. Une personne de votre équipe valide tout ce qui sort de l’entreprise.

La formation des équipes inclut l’écriture de la règle d’usage, sur vos outils et vos dossiers. Pour aller plus loin sur les agents qui agissent dans vos logiciels, lisez notre article sur les agents IA en PME. Et le diagnostic IA, une demi-journée offerte, commence par faire l’inventaire des usages déjà en place. Pour choisir un premier usage avant de vous occuper des données, voir IA en PME : par où commencer.