Tu mets des données clients dans une IA. As-tu le droit ?

Le scénario est banal. Tu as une liste de clients dans un tableur, tu veux la trier, tu la colles dans une IA en demandant de faire le ménage. Trente secondes de gagnées, et un transfert de données personnelles vers un serveur que tu ne contrôles pas. Ce n'est pas dramatique, ce n'est pas forcément illégal — mais ça se réfléchit une fois, proprement, plutôt que jamais.

Ce que dit la règle, sans jargon

Le RGPD ne parle pas d'IA. Il parle de données personnelles — toute information qui permet d'identifier quelqu'un : un nom, un mail, un numéro, une adresse, parfois une simple photo de chantier où l'on lit une plaque.

Trois principes suffisent à comprendre le reste. Savoir pourquoi on traite une donnée, n'en collecter que ce qui sert, et être capable de dire où elle est. Une IA n'échappe à aucun des trois.

Les trois précautions qui suffisent

1. Anonymiser avant de coller

Dans l'immense majorité des cas, l'IA n'a pas besoin du nom. Remplace « Devis pour M. Dupont, 14 rue des Écoles » par « Devis pour un client, maison de 1970 ». Le résultat sera identique, et plus rien n'a été transféré. C'est la précaution la plus efficace, et elle est gratuite.

2. Couper l'entraînement sur ses conversations

Les outils grand public utilisent par défaut ce qu'on écrit pour améliorer leurs modèles. Tous permettent de le désactiver, dans les réglages de confidentialité. À faire une fois, sur chaque outil utilisé. Les offres professionnelles, elles, ne s'entraînent pas sur les données clients — c'est souvent leur principal intérêt.

3. Ne jamais confier de données sensibles

Santé, origine, opinions politiques ou religieuses, orientation sexuelle, condamnations. Ces catégories sont protégées à part, et aucun réglage ne rend leur transfert anodin. Un kinésithérapeute, un ostéopathe ou une aide à domicile est directement concerné.

Le cas de l'assistant qui répond à tes clients

Là, on ne colle plus des données : on en collecte. Un assistant qui prend les demandes récupère un nom, un numéro, parfois une adresse. Trois obligations s'ajoutent, et elles sont simples.

1. 1Prévenir — l'assistant se présente comme assistant. On ne fait pas croire à un humain.
2. 2Écrire — une ligne dans la politique de confidentialité : quelles données, pour quoi faire, combien de temps gardées.
3. 3Pouvoir effacer — si un client demande la suppression de ses données, il faut savoir où elles sont et pouvoir les retirer. C'est la question à poser à son prestataire avant de signer.

Combien de temps garder les données

La CNIL recommande trois ans à compter du dernier contact pour un prospect sans suite. Pour un client, la durée légale applicable — dix ans pour les pièces comptables. Au-delà, on efface. Une base qui grossit indéfiniment n'est pas un actif : c'est un risque.

Les cinq erreurs les plus fréquentes

• Coller un fichier client entier dans une IA grand public pour « le nettoyer ».
• Envoyer une photo de chantier où l'on lit une plaque, une boîte aux lettres ou un nom de famille.
• Laisser l'entraînement activé sur un compte utilisé tous les jours pour le travail.
• Ne rien écrire dans sa politique de confidentialité alors qu'un assistant collecte des demandes.
• Tout garder, pour toujours — faute d'avoir pris cinq minutes pour décider d'une durée.

Le RGPD n'interdit presque rien. Il demande de savoir ce qu'on fait, et de pouvoir l'expliquer. C'est une discipline, pas un mur.

Et pour un site web ?

Même logique : ne collecter que ce qui sert. Un formulaire qui demande le nom, le téléphone et le besoin suffit à faire travailler. Chaque champ en plus fait baisser le taux de remplissage et augmente ce qu'il y a à protéger. Sur nos sites, le formulaire est court par principe — et le site ne dépose aucun mouchard.