Charte d'usage de l'IA générative pour les documents confidentiels : que prévoir ?
Dans presque toutes les organisations, quelqu'un colle déjà un contrat dans un agent conversationnel pour le résumer, dépose un compte rendu pour en extraire les décisions ou demande à un assistant de rédiger une réponse à partir d'un dossier. La question n'est plus de savoir si l'IA générative est utilisée, mais si elle l'est selon des règles. Sans charte écrite, chacun choisit seul l'outil, le compte et les informations qu'il lui confie, et l'organisation ne sait plus où ses documents ont circulé.
Cet article propose la trame d'une charte interne opérationnelle, pensée pour les documents contenant des données personnelles ou des informations confidentielles : classer l'information, anonymiser avant tout envoi, valider les outils et organiser la traçabilité.
Pourquoi une charte écrite est nécessaire
Saisir des données personnelles dans un outil d'IA est un traitement soumis au RGPD et à la loi Informatique et Libertés : il faut une base légale, respecter la minimisation et la limitation des finalités, et conclure un contrat de sous-traitance (art. 28) lorsque le fournisseur traite les données pour votre compte. Les données de santé ou d'autres catégories particulières relèvent la barre, et un usage à grande échelle peut nécessiter une analyse d'impact (AIPD). S'y ajoutent le secret professionnel, les clauses de confidentialité avec les clients et le secret des affaires.
Dans ses questions-réponses sur l'utilisation d'un système d'IA générative publiées en juillet 2024, la CNIL recommande précisément d'encadrer les usages par une politique ou une charte interne listant les utilisations autorisées et interdites, de ne saisir que les informations que l'on est autorisé à partager, de privilégier un déploiement sur site lorsque des données personnelles ou sensibles sont en jeu, de former les utilisateurs aux limites des systèmes et d'associer le DPO. Le règlement européen sur l'IA (règlement (UE) 2024/1689) impose en outre, depuis février 2025, aux déployeurs de veiller à un niveau suffisant de maîtrise de l'IA de leur personnel (art. 4).
Étape 1 : classer l'information
La règle centrale ne doit pas porter sur « quel outil », mais sur « quelle information ». Une matrice simple règle la plupart des cas du quotidien :
| Type d'information | Exemple | IA grand public gratuite | IA validée par l'organisation |
|---|---|---|---|
| Publique | Textes de loi, communiqués publiés | Autorisé | Autorisé |
| Interne sans données personnelles | Procédures internes, modèles | Non | Autorisé |
| Confidentielle | Offres, stratégie, consultations juridiques | Non | Seulement si l'outil est validé pour ce niveau |
| Données personnelles | Dossiers, paie, courriels de clients | Non | Anonymiser ou pseudonymiser avant ; dérogations validées par le DPO |
| Catégories particulières | Comptes rendus médicaux, données de mineurs, condamnations | Non | Uniquement anonymisé, sauf cas d'usage évalué |
Étape 2 : anonymiser avant que l'IA ne voie le document
La mesure la plus efficace consiste à ce que les données personnelles n'atteignent jamais l'outil. Pour la plupart des tâches (résumer, traduire, extraire des clauses, rédiger un premier jet), le modèle n'a pas besoin de connaître le nom de la personne ni son numéro de sécurité sociale. Avant tout dépôt, la charte devrait imposer de supprimer ou remplacer :
- Les noms, signatures et fonctions qui désignent une personne précise.
- Les identifiants : NIR, numéro fiscal, IBAN, immatriculations, numéros de dossier ou de patient.
- Les coordonnées : adresses, téléphones, courriels.
- Les dates et montants qui, combinés, permettraient de reconnaître quelqu'un (la date exacte d'un accident dans une petite commune, par exemple).
- Les données de santé, relatives à des mineurs ou à des infractions.
- Les métadonnées du fichier : auteur, commentaires, suivi des modifications, chemins internes.
Deux techniques sont utiles. L'anonymisation supprime la donnée de façon irréversible ; elle convient quand le résultat produit par l'IA n'a pas à être rattaché aux personnes. La pseudonymisation remplace chaque donnée par un code cohérent (« PERSONNE_1 », « SOCIÉTÉ_2 ») : le modèle comprend qui est qui et l'organisation peut ensuite inverser la substitution grâce à sa table de correspondance. Attention : un document pseudonymisé reste une donnée personnelle pour qui détient la table ; il ne rend pas acceptable un outil non validé. Pour aller plus loin : pseudonymisation de documents.
Étape 3 : valider les outils selon des critères clairs
La charte doit lister les outils validés, préciser le niveau d'information autorisé pour chacun et interdire l'usage de comptes personnels à titre professionnel. Avant de valider un outil, vérifiez :
Critères de validation d'un outil d'IA
- Contrat de sous-traitance signé et conditions professionnelles, et non grand public.
- Engagement de ne pas entraîner les modèles sur vos saisies, ou option désactivable au niveau de l'organisation.
- Lieu de traitement et encadrement des transferts hors UE.
- Durée de conservation des conversations et fichiers déposés, possibilité de suppression.
- Gestion centralisée des comptes (authentification unique, arrivées et départs).
- Journaux d'activité accessibles à l'organisation.
- Pour les informations sensibles : préférence pour des systèmes déployés dans un environnement maîtrisé.
Appeler une API externe ou exécuter un modèle sur une infrastructure maîtrisée, ou chez un prestataire européen sous contrat, ne présente pas le même niveau de risque ; nous comparons les deux approches dans IA locale ou IA dans le cloud.
Étape 4 : traçabilité, contrôle humain et incidents
Une charte sans traçabilité reste une déclaration d'intention. Définissez ce qui est enregistré et pendant combien de temps :
- Registre des cas d'usage : tâche, outil, type d'information, responsable, AIPD réalisée ou non.
- Journal d'utilisation : qui a utilisé quel outil, quand et avec quelle catégorie d'information. Il est rarement utile de conserver chaque requête, et souvent préférable de ne pas le faire.
- Relecture humaine obligatoire de tout résultat envoyé à l'extérieur, publié ou servant de base à une décision. L'IA propose ; une personne décide et valide.
- Procédure d'incident : que faire si un document contenant des données personnelles a été déposé par erreur dans un outil non validé, y compris l'analyse d'une éventuelle violation à notifier à la CNIL sous 72 heures.
Étape 5 : former et réviser
Une charte s'explique, elle ne se contente pas d'être publiée sur l'intranet. Une courte session illustrée par vos propres exemples (ce qu'on peut coller ou non, comment anonymiser un document en deux minutes, que faire après une erreur) vaut mieux que dix pages de règles. Pensez à annexer la charte au règlement intérieur si elle crée des obligations pour les salariés, et à la réviser au moins une fois par an ou à chaque nouvel outil, car les fournisseurs modifient souvent leurs conditions.
La place d'Anonimatum
Anonimatum rend l'étape 2 simple : il détecte noms, identifiants, adresses, montants, immatriculations et autres données grâce à une IA propre exécutée sur des serveurs situés dans l'Union européenne, sans envoyer le texte à des API externes de modèles de langage, et restitue le document anonymisé ou pseudonymisé dans son format d'origine (PDF, Word, Excel, PowerPoint ou courriel). En pseudonymisation, la table de correspondance est conservée chiffrée et permet de revenir en arrière. Découvrez comment anonymiser des documents avant de les soumettre à ChatGPT ou à une autre IA.
Questions fréquentes
Suffit-il d'interdire ChatGPT et les outils similaires ?
Rarement. Les usages migrent vers des comptes personnels et l'organisation perd toute visibilité. Proposer des outils validés avec des règles claires sur les informations autorisées fonctionne mieux.
Un document pseudonymisé peut-il être déposé dans n'importe quelle IA ?
Non. Pour l'organisation qui détient la table de correspondance, il reste une donnée personnelle. Le risque baisse fortement, mais l'outil doit tout de même être validé.
Faut-il une AIPD pour utiliser l'IA générative ?
Cela dépend du cas d'usage. Un traitement à grande échelle de données sensibles ou des décisions concernant des personnes l'exigeront souvent. Travailler sur des documents anonymisés au préalable réduit nettement le risque.