Où partent vos données quand vous utilisez l'IA ?
Utiliser un modèle hébergé, c'est envoyer des contenus hors de votre système. Ce n'est pas disqualifiant — mais cela se décide en connaissance de cause.
Dossier : L'IA dans les logiciels métier : ce qui marche vraiment
La plupart des fonctionnalités d'IA d'un logiciel professionnel reposent sur un modèle hébergé par un tiers. Concrètement, le contenu que vous traitez — une facture, un message client, un dossier — quitte votre infrastructure pour être analysé ailleurs.
Pour beaucoup de traitements, c'est parfaitement acceptable. Pour d'autres, non. Encore faut-il savoir dans quel cas on se trouve.
Cet article donne des repères généraux et ne constitue pas un conseil juridique. Pour un traitement sensible, faites valider votre dispositif par un juriste ou un délégué à la protection des données.
Les six questions à poser à votre prestataire
1. Quel fournisseur de modèle est utilisé, et où sont traitées les données ?
La réponse doit nommer le fournisseur et la région d'hébergement. Un traitement dans l'Union européenne simplifie considérablement votre analyse de conformité.
2. Les données sont-elles conservées, et combien de temps ?
Certaines offres conservent les requêtes quelques jours à des fins de détection d'abus. C'est souvent acceptable, mais vous devez le savoir pour le documenter.
3. Sont-elles utilisées pour entraîner les modèles ?
Les offres professionnelles excluent généralement cette réutilisation, contrairement à certaines offres grand public. Ce point doit figurer au contrat, pas dans une page d'aide susceptible de changer.
4. Quel est le statut RGPD de la chaîne ?
Vous êtes responsable de traitement ; votre prestataire est sous-traitant ; le fournisseur du modèle est sous-traitant ultérieur. Cette chaîne doit être décrite dans un contrat de sous-traitance, et figurer dans votre registre des traitements.
5. Quelles données sont réellement transmises ?
La question la plus utile, et la plus rarement posée. Un outil bien conçu n'envoie que le strict nécessaire : le corps d'une facture, pas l'intégralité de votre base clients.
6. Que se passe-t-il si le service est indisponible ?
Une dépendance externe peut tomber. L'outil doit continuer à fonctionner en mode dégradé — c'est-à-dire en saisie manuelle — plutôt que de bloquer le processus.
Trois niveaux de sensibilité
Tous les traitements ne posent pas le même problème. Classer vos cas d'usage évite à la fois la paranoïa et l'imprudence.
- Faible. Documents commerciaux standards, catalogues, contenus déjà publics. Le traitement externe pose rarement problème.
- Moyen. Données clients courantes, échanges commerciaux, factures. Acceptable avec un fournisseur sérieux, un contrat de sous-traitance en règle et un hébergement européen.
- Élevé. Données de santé, dossiers RH, informations contractuelles sensibles, secrets industriels. Exige un examen approfondi — voire un modèle hébergé sur votre propre infrastructure.
Réduire l'exposition sans renoncer
Plusieurs mesures techniques permettent d'utiliser l'IA sans tout exposer :
- Minimiser l'envoi. Transmettre uniquement le fragment nécessaire, pas le dossier entier.
- Masquer les identifiants directs. Remplacer noms et numéros par des jetons avant l'envoi, et les restaurer au retour. Efficace sur beaucoup de traitements.
- Choisir un hébergement européen quand le fournisseur le propose.
- Journaliser les appels. Savoir ce qui a été envoyé, quand et par qui — indispensable en cas de contrôle.
- Permettre de désactiver la fonctionnalité par utilisateur ou par type de dossier.
Le modèle auto-hébergé
Faire tourner un modèle sur votre propre infrastructure supprime la question du transfert. C'est techniquement accessible aujourd'hui, mais cela déplace le coût : matériel, exploitation, mises à jour. Les performances restent en deçà des meilleurs modèles hébergés.
Ce choix se justifie quand la sensibilité des données l'impose, rarement pour des raisons d'économie.
Ce qu'il faut retenir
La confidentialité n'est pas un obstacle à l'usage de l'IA, c'est un paramètre de conception. Un prestataire qui vous propose une fonctionnalité d'IA sans avoir abordé ces questions n'a pas terminé son travail.
Et si le traitement envisagé porte sur des données réellement sensibles, la bonne décision est parfois de ne pas l'automatiser du tout — voir Quand ne pas mettre d'IA dans votre logiciel.
Questions fréquentes
Peut-on utiliser l'IA sur des données personnelles ?
Oui, sous conditions : base légale identifiée, information des personnes, contrat de sous-traitance avec le prestataire, inscription au registre des traitements et minimisation des données transmises. Pour des catégories sensibles, faites valider le dispositif.
L'hébergement en Europe est-il obligatoire ?
Il n'est pas systématiquement obligatoire, mais il simplifie beaucoup l'analyse de conformité en évitant la question des transferts hors Union européenne. Quand le fournisseur le propose, c'est le choix le plus simple à défendre.
Comment savoir ce qui est réellement envoyé ?
Demandez la journalisation des appels et un exemple concret de la charge transmise pour un cas type. Un prestataire qui ne peut pas vous le montrer ne maîtrise pas son intégration.