Ce qu’il ne faut jamais donner à un assistant IA

Un assistant IA peut reformuler un courriel ou expliquer un extrait de code, mais ces usages ne justifient pas d’y transférer des secrets. Avant chaque copier-coller, identifiez les éléments personnels, financiers ou professionnels qui pourraient exposer quelqu’un.

Le niveau de protection varie selon l’outil et ses réglages : une conversation n’est pas nécessairement conservée ou utilisée de la même manière partout. Quelques vérifications simples permettent de demander de l’aide sans transmettre d’informations que vous ne maîtrisez plus.

A retenir :

• Mots de passe, clés privées et identifiants de connexion hors des prompts
• Documents confidentiels et données personnelles protégés du copier-coller
• Anonymisation prudente avant toute demande professionnelle
• Réglages de confidentialité vérifiés selon l’outil utilisé

Ce qu’il ne faut jamais donner à un assistant IA : les données sensibles

Quand ces informations sont identifiées, le premier réflexe consiste à distinguer les données personnelles des secrets d’accès. Cette séparation aide à repérer les risques avant même d’ouvrir un document ou un formulaire.

Coordonnées, identité et informations personnelles

Dans cette catégorie, une adresse personnelle, un numéro de téléphone ou un numéro de sécurité sociale peuvent identifier directement une personne. Évitez également les informations personnelles d’autrui, même si elles figurent simplement dans un courriel à corriger.

Un numéro de carte bancaire, des coordonnées bancaires ou des données médicales sensibles exigent une prudence accrue. Selon la CNIL, le RGPD encadre le traitement des données personnelles et prévoit une protection particulière pour certaines données sensibles.

Dans un exemple fictif, une responsable remplace le nom d’un client par « Client A » avant de demander une reformulation. Elle retire aussi le téléphone et les références de dossier, car ces détails peuvent permettre une identification indirecte.

Repères pour les données personnelles :

• Adresse personnelle, téléphone, adresse électronique et photographies identifiantes
• Numéro de sécurité sociale et pièces d’identité
• Numéro de carte bancaire et coordonnées de compte
• Données médicales sensibles, diagnostics et résultats d’examens

Mots de passe, code PIN et clé privée

À côté des données d’identité, les secrets d’accès peuvent ouvrir directement la porte à vos comptes ou à vos systèmes. Ne transmettez jamais un mot de passe, un code PIN, une clé privée ou des identifiants de connexion, même pour obtenir une aide technique.

Pour expliquer un problème, remplacez la valeur réelle par un marqueur comme « [JETON_SUPPRIMÉ] » et décrivez le message d’erreur. Selon le règlement européen sur la protection des données, la sécurité et la confidentialité font partie des principes encadrant les traitements concernés.

« J’ai remplacé les identifiants par des marqueurs, puis j’ai demandé une explication générale de l’erreur. La réponse m’a aidée sans exposer mon compte. »

Exemple fictif

Informations professionnelles à ne pas partager avec une IA

Une fois les données individuelles écartées, le même examen s’applique aux documents produits dans un cadre professionnel. Un fichier apparemment ordinaire peut révéler des engagements contractuels, des stratégies ou des faiblesses techniques.

Documents confidentiels, clients et secrets commerciaux

Les documents confidentiels comprennent notamment les contrats, les échanges clients, les rapports internes et les dossiers soumis à une obligation de confidentialité. Évitez aussi les listes de clients, les projets non annoncés, les prévisions financières et les stratégies tarifaires.

Selon la CNIL, toute transmission de données personnelles doit être appréciée au regard du contexte et des règles applicables. Une version payante ou professionnelle peut proposer des garanties différentes, mais il faut vérifier les conditions et les réglages du service utilisé.

Dans un scénario fictif, une petite entreprise demande à l’outil d’améliorer un courriel commercial sans lui transmettre le contrat réel. Elle conserve la structure, mais remplace le nom du client, le montant et le calendrier par des indications génériques.

Traitement prudent des contenus professionnels :

• Contrat signé : ne pas copier le document dans un outil grand public
• Courriel client : retirer noms, coordonnées et références de dossier
• Prévisions internes : demander des conseils sur un cas fictif
• Code source : supprimer les secrets et vérifier les règles de l’entreprise

Code source, clés privées et informations techniques

Le code propriétaire peut révéler la conception d’un produit, tandis qu’une clé privée ou un jeton d’accès permet parfois d’atteindre un système. Ne collez pas non plus de schémas réseau détaillés ni d’informations sur une faille non corrigée.

Pour obtenir une explication, créez un extrait minimal avec des valeurs fictives et retirez les noms de serveurs ou de clients. Selon les recommandations de sécurité applicables à votre organisation, les règles internes peuvent être plus strictes que celles d’un service externe.

« J’ai isolé quelques lignes de code et remplacé les clés par des valeurs factices. J’ai pu comprendre l’erreur sans envoyer l’architecture complète. »

Exemple fictif

« Un document peut sembler anodin, mais ses annexes contiennent parfois des noms, des signatures ou des données de facturation. »

Témoignage fictif

Vérifier un prompt avant de l’envoyer à un assistant IA

Après le tri des contenus personnels et professionnels, une vérification rapide réduit les oublis. Elle ne garantit pas une confidentialité absolue, mais aide à éviter les transmissions inutiles et les erreurs faciles à prévenir.

Anonymiser un document sans perdre son utilité

Commencez par retirer les noms, adresses électroniques, numéros de dossier et métadonnées visibles, puis remplacez-les par des termes génériques. Vérifiez aussi les détails indirectement identifiants : une fonction rare ou un événement précis peut désigner une personne sans la nommer.

Dans l’exemple d’un courriel client, « Mme Martin, projet Atlas, devis de 8 000 euros » devient « Client A, projet B, montant X ». Le contexte reste suffisant pour travailler le ton, mais les détails permettant de reconnaître le dossier disparaissent.

Classement pratique avant envoi :

• Texte public : partage possible après vérification de sa provenance
• Exemple professionnel : anonymiser les personnes et les références
• Document sous accord de confidentialité : ne pas transmettre sans autorisation
• Mot de passe ou clé privée : exclure systématiquement du prompt

Réglages de confidentialité et vérification des réponses

Avant d’utiliser un service, consultez ses paramètres de conservation et d’utilisation des conversations. Certaines offres proposent des contrôles ou des options de désactivation, mais leur disponibilité dépend du fournisseur, du compte et des conditions en vigueur.

Contenu envisagé	Risque principal	Action prudente
Article déjà public	Erreur ou information trompeuse	Vérifier les faits avant diffusion
Courriel avec coordonnées	Identification d’une personne	Retirer les données directes et indirectes
Contrat confidentiel	Divulgation d’obligations ou de clauses	Ne pas transmettre sans autorisation
Code avec identifiants	Accès non autorisé à un système	Supprimer les secrets et créer un exemple fictif

La prudence concerne aussi les réponses générées : un texte fluide n’est pas nécessairement exact. Un avis fictif résume cette vérification : une réponse utile mérite toujours d’être contrôlée avant d’être publiée ou utilisée pour décider.

« Je vérifie les paramètres, puis les faits importants dans des sources fiables. Le ton assuré d’une réponse ne remplace pas une validation. »

Avis fictif

Vérification	Question à se poser	Décision si la réponse est oui
Identification	Le contenu nomme-t-il une personne ou permet-il de la reconnaître ?	Retirer ou généraliser les détails
Confidentialité	Le contenu relève-t-il d’un contrat ou d’une règle interne ?	Ne pas le transmettre sans accord
Secret d’accès	Contient-il un mot de passe, un code PIN ou une clé privée ?	Supprimer la valeur et la remplacer
Réglages	Les conditions de conservation sont-elles comprises ?	Vérifier les paramètres ou choisir un autre moyen

Cette routine protège mieux les échanges lorsqu’elle devient une habitude partagée, plutôt qu’une vérification réservée aux cas manifestement sensibles.

Source : CNIL, « RGPD : de quoi parle-t-on ? » ; EUR-Lex, « Règlement (UE) 2016/679 », article 9.

À retenir

Transformer l’analyse en décision

Les meilleures décisions reposent sur un cadre compréhensible, quelques critères vérifiables et une étape suivante clairement définie. Testez la méthode à petite échelle, mesurez le résultat puis ajustez avant de généraliser.

Votre checklist

• Définir le résultat attendu
• Identifier trois critères prioritaires
• Prévoir une mesure de contrôle
• Fixer une date de réévaluation