L'employeur peut-il consulter les emails et fichiers d'un salarié ?
Mathilde Levasseur
Associée
Peut-on saisir des données clients dans un outil d'intelligence artificielle ?
Base légale, information, sous-traitance et réutilisation pour l'entraînement. Les points à vérifier avant d'autoriser l'usage en entreprise.
Base légale, information, sous-traitance et réutilisation pour l'entraînement. Les points à vérifier avant d'autoriser l'usage en entreprise.
Introduction
L’usage d’assistants génératifs s’est répandu plus vite que son encadrement. Les collaborateurs y saisissent des courriers, des contrats, des dossiers clients, souvent sans validation.
La qualification
Communiquer des données personnelles à un outil tiers constitue un traitement, et le fournisseur agit comme sous-traitant lorsqu’il les traite pour le compte de l’organisation.
Toutes les obligations habituelles s’appliquent : base légale, information, registre, accord de sous-traitance, encadrement des transferts, durée de conservation.
Rien dans la nature de l’outil ne crée d’exception.
Les points contractuels décisifs
La réutilisation des données pour l’entraînement des modèles. Les offres professionnelles l’excluent généralement, les offres grand public la prévoient fréquemment. La différence est fondamentale : une réutilisation pour l’entraînement excède l’instruction du responsable et fait sortir le fournisseur de son rôle de sous-traitant.
La localisation des traitements et l’accès depuis des pays tiers.
La durée de conservation des saisies et des historiques de conversation.
L’existence d’un accord de sous-traitance conforme, et non de simples conditions générales d’utilisation.
La liste des sous-traitants ultérieurs, les fournisseurs de modèles s’appuyant fréquemment sur des infrastructures tierces.
Le comptes personnel des collaborateurs
C’est le risque principal en pratique.
Un collaborateur qui utilise son compte personnel pour traiter un dossier professionnel place les données hors du périmètre contractuel de l’organisation, sans accord de sous-traitance, sans encadrement des transferts, souvent avec réutilisation pour l’entraînement.
L’organisation demeure responsable du traitement, sans en maîtriser aucun paramètre.
Une politique interne d’usage, désignant les outils autorisés et interdisant les comptes personnels pour les données professionnelles, constitue la mesure la plus efficace.
La minimisation
Le principe impose de ne transmettre que les données nécessaires.
En pratique, cela signifie anonymiser ou pseudonymiser avant la saisie chaque fois que la tâche le permet : la reformulation d’un courrier ne requiert pas le nom du destinataire, l’analyse d’une clause ne requiert pas l’identité des parties.
Cette discipline réduit considérablement l’exposition sans dégrader l’usage.
Les données sensibles et couvertes par un secret
Les données de santé, les données relatives à des condamnations, les informations couvertes par un secret professionnel appellent une prudence renforcée.
Pour les professions soumises au secret, la transmission à un tiers non autorisé peut constituer une infraction distincte, indépendamment de la conformité au règlement.
L’articulation avec le règlement sur l’intelligence artificielle
Le règlement européen sur l’intelligence artificielle impose ses propres obligations, notamment de transparence et, pour certains usages, de gestion des risques.
Ces obligations se cumulent avec celles relatives aux données personnelles. Une conformité au règlement sur l’IA ne vaut pas conformité au RGPD, et réciproquement.
Le cadre à mettre en place
Désigner les outils autorisés, après examen de leurs conditions.
Rédiger une charte d’usage, diffusée et signée.
Documenter le traitement au registre, avec sa base légale et ses destinataires.
Mettre à jour la politique de confidentialité et l’information des salariés.
Former les équipes, la mesure la plus rentable au regard des incidents évités.
Encadrer un usage déjà installé
Interdire est rarement réaliste ; encadrer l’est. Notre expertise en intelligence artificielle construit ce cadre.
En résumé
- Saisir des données dans un outil d’IA est un traitement, et le fournisseur est sous-traitant.
- Vérifier en priorité la clause de réutilisation pour l’entraînement.
- Les comptes personnels des collaborateurs constituent le risque principal.
- Minimiser : pseudonymiser avant la saisie chaque fois que la tâche le permet.
- Le règlement sur l’IA se cumule avec le RGPD, il ne s’y substitue pas.
Questions fréquentes
Saisir des données clients dans un outil d'IA est-il un traitement ?
Oui. La communication de données personnelles à un outil tiers constitue un traitement, qui doit reposer sur une base légale, être documenté au registre et encadré par un accord de sous-traitance.
Le fournisseur peut-il utiliser les données pour entraîner ses modèles ?
Cela dépend des conditions contractuelles. Les offres professionnelles excluent généralement cette réutilisation ; les offres grand public la permettent souvent. Cette clause doit être vérifiée avant tout usage.
Faut-il informer les personnes concernées ?
Oui. L'information doit mentionner la catégorie de destinataires et, le cas échéant, les transferts hors Union européenne. Une politique de confidentialité muette sur ce point devient inexacte.
Nous contacter :
Nous répondons volontiers à toutes vos questions. Écrivez-nous à mc@cabinetpersee.com , contactez le cabinet sur WhatsApp, ou remplissez notre formulaire de contact.
Articles associés
Autres analyses juridiques du cabinet
