Où est la limite entre ce qu’on peut donner à une IA et ce qu’on ne doit pas ?

Publié le 16 septembre 2026

La limite ne tient pas à une liste de données interdites. Elle tient à trois questions : où part la donnée, qui s’est engagé par écrit à ne pas la réutiliser, et que se passe-t-il si elle ressort ailleurs. Un compte professionnel payant avec un contrat de traitement change la réponse bien plus que le type de fichier que vous collez. La vraie ligne rouge, ce sont les données dont la fuite vous coûterait un client, un contrat ou une plainte.

La question que les dirigeants posent vraiment

Le 10 septembre 2026, j’animais un atelier de trois heures avec quatre participants, des indépendants et des responsables de PME. La même personne est revenue trois fois sur la même question : à la 87e minute, à la 155e, puis à la 167e. Pas sur le prompting, pas sur les outils. Sur la frontière du sécurisé.

À la troisième fois, j’ai répondu que je ne savais pas trancher son cas précis. C’est la seule réponse honnête que j’avais, et c’est elle qui a ouvert la meilleure séquence de questions de la journée.

Je retiens deux choses de cet atelier. La première, c’est que cette question n’est pas un aparté technique : elle bloque l’usage. Tant qu’elle n’est pas traitée, les gens testent l’IA sur des sujets sans intérêt et concluent qu’elle ne sert à rien. La seconde, c’est que la réponse attendue n’est pas juridique. C’est une règle de décision, utilisable en trois secondes devant un fichier ouvert.

Ce qui détermine vraiment le risque

Trois éléments, dans cet ordre.

Le contrat, pas l’outil. Le même assistant, utilisé depuis un compte gratuit ou depuis un abonnement professionnel, ne vous offre pas les mêmes garanties. Les offres professionnelles et entreprise des principaux éditeurs prévoient que vos contenus ne servent pas à entraîner les modèles, et permettent de signer un accord de traitement des données. Un compte personnel gratuit, non. La première question à poser n’est donc pas « est-ce que ChatGPT est sûr », mais « sous quel compte suis-je en train de travailler, et qu’est-ce qui est écrit dans le contrat ».

La destination, pas la sensibilité. Une donnée n’est pas dangereuse en soi, elle l’est par l’endroit où elle atterrit. Un extrait de contrat client collé dans une conversation pour en vérifier une clause reste chez vous si votre compte le prévoit. Le même extrait collé dans un outil gratuit découvert la veille, dont vous ne savez rien, part dans une destination que vous ne maîtrisez pas.

La réversibilité. Avant de coller, une seule question : si ce contenu ressortait demain, publiquement, qu’est-ce que ça me coûterait ? Rien pour un brouillon de mail interne. Un client pour une offre commerciale en cours. Une plainte pour un dossier médical, un bulletin de salaire ou une pièce d’identité.

Une règle de décision en trois catégories

Ce que j’utilise, et ce que je donne en formation.

Ce qui ne sort jamais, quel que soit le contrat : données de santé, données d’identité (registre national, pièces d’identité, coordonnées bancaires), dossiers de personnel nominatifs, éléments couverts par une clause de confidentialité explicite, secrets industriels. Pour ceux-là, la question ne se pose pas, et aucune fonctionnalité produit ne compense.

Ce qui sort dépersonnalisé : tout ce qui est utile par sa structure et non par les noms qu’il contient. Une liste de clients devient une liste de secteurs et de tailles. Un contrat devient un contrat dont les parties sont remplacées par « le prestataire » et « le client ». Vous perdez cinq minutes à nettoyer, vous gagnez le droit de travailler.

Ce qui sort tel quel : vos propres écrits, vos supports publics, vos processus internes non confidentiels, tout ce qui figure déjà sur votre site. C’est beaucoup plus large qu’on ne croit, et c’est là que se trouve l’essentiel des usages quotidiens.

Le piège qui n’a rien à voir avec l’IA

Quand une entreprise branche un assistant sur ses documents internes, SharePoint par exemple, elle découvre souvent un problème qui existait avant : personne ne sait plus qui a accès à quoi. L’assistant ne crée pas ce désordre, il le rend visible, parce qu’il hérite des droits existants et lit tout ce que ces droits l’autorisent à lire.

Autrement dit, une IA branchée sur un dépôt mal rangé vous répondra avec la mauvaise version d’un document, ou montrera à quelqu’un une information qu’il n’aurait jamais trouvée seul. Ce n’est pas un risque IA, c’est un risque de gouvernance documentaire que l’IA met en lumière. Il vaut mieux le découvrir avant le déploiement qu’après.

Et si votre informatique refuse tout outil externe ?

C’est un cas que je rencontre souvent, et il a été formulé très clairement par un participant inscrit à ma session d’octobre : il ne pense pas que l’informatique de son groupe le laissera installer une application externe sur sa boîte professionnelle.

Ce refus est légitime et il ne ferme pas la porte. Trois voies restent ouvertes : l’assistant intégré à la suite bureautique déjà déployée dans l’entreprise, qui reste dans le périmètre contractuel existant ; le travail sur des documents dépersonnalisés, qui ne suppose aucune installation ; et surtout la discussion avec le service informatique, qui refuse rarement par principe mais souvent faute d’avoir été associé. Dans les faits, un dirigeant qui arrive avec trois cas d’usage précis obtient plus qu’un dirigeant qui demande « l’accès à l’IA ».

Ce que cette page ne dit pas

Elle ne remplace pas une analyse juridique. Le RGPD appliqué à un traitement précis, la question de savoir si vous êtes responsable de traitement ou sous-traitant, l’articulation avec le règlement européen sur l’IA dont les obligations se déploient par étapes : ces sujets se tranchent avec un juriste, sur votre cas, pas dans un article.

Elle ne dit pas non plus qu’un abonnement professionnel vous met à l’abri de tout. Il déplace la responsabilité, il ne la supprime pas.

Pour aller plus loin

Je traite cette question dans chaque atelier, avec les cas que les participants apportent. La prochaine session en présentiel se tient à Moulbaix, entre Ath et Tournai, en petit groupe de six : voir les dates.