Actualités

IA générative en entreprise sans fuite de données : une politique minimale

Utiliser l’IA générative sans fuite de données : ce qu’on n’y saisit jamais, outils et comptes autorisés, relecture, registre et un texte de base.

Publié le Par BDR Group9 min de lecture

Une politique minimale d’IA générative tient sur une page : les données jamais saisies, les outils et comptes autorisés, qui relit le résultat, ce qui est consigné et que faire en cas de fuite. Elle s’inscrit dans la Llei 29/2021 (loi andorrane sur la protection des données) en Andorre et dans le RGPD en Catalogne et en Espagne.

Quelles données ne faut-il jamais saisir

La règle est simple : rien de tout cela ne va dans un outil qui ne figure pas sur la liste des outils autorisés.

  • Données personnelles de clients, de patients, de salariés ou de candidats : noms, pièces d’identité, adresses, courriels, historiques.
  • Données de catégories particulières : santé, appartenance syndicale, convictions, vie sexuelle, données génétiques ou biométriques. La Llei 29/2021 en interdit le traitement sauf dans les cas qu’elle prévoit (article 9).
  • Contrats, offres, informations financières et tout document comportant une clause de confidentialité.
  • Mots de passe, clés d’accès, certificats et configurations réseau.
  • Code source, propre ou de clients.

Le motif juridique est double. Les données personnelles doivent être limitées à ce qui est nécessaire (article 5.2.c de la Llei 29/2021), et un prestataire qui les traite pour le compte de l’entreprise est un sous-traitant : cela exige un contrat écrit (article 31 de la Llei 29/2021 ; article 28 du règlement (UE) 2016/679, le règlement général sur la protection des données ou RGPD) et, si le service est situé hors d’Andorre et de l’UE, le régime des transferts (articles 42 à 44).

Outils autorisés : comment un outil entre sur la liste

Avant d’en autoriser un, demandez par écrit cinq choses au prestataire : s’il utilise les données pour entraîner ou améliorer le service, comment il traite les métadonnées et les journaux, où les données sont stockées et pendant combien de temps, s’il existe une offre entreprise que vous administrez, et si le contrat comprend une clause de non-réutilisation et un contrat de sous-traitance.

L’Agence espagnole de protection des données (AEPD, Agencia Española de Protección de Datos) a publié en novembre 2025 sa politique interne pour l’IA générative et, en janvier 2026, un résumé d’obligations et de recommandations. Il est conçu pour les processus de l’AEPD elle-même, pas pour les entreprises, mais il reprend les mêmes points : évaluer avant de contracter l’utilisation des données pour l’entraînement, les métadonnées, la localisation et la conservation ; contracter l’offre entreprise avec des clauses de non-réutilisation ; et éviter que des données personnelles ou confidentielles soient saisies dans des systèmes non explicitement autorisés. À la date de consultation, nous n’avons trouvé aucun guide de l’Agence andorrane de protection des données (APDA) spécifique à l’IA générative pour les entreprises.

Compte d’entreprise ou compte personnel

Le compte d’entreprise est celui qui permet de signer un contrat, d’administrer les utilisateurs, de désactiver les options de partage ou d’entraînement si le prestataire les propose, et de retirer l’accès quand une personne s’en va. Le compte personnel, non : les conditions sont celles de la personne qui l’a créé, l’entreprise ne peut pas les auditer et l’information reste dans un espace qu’elle ne contrôle pas. C’est pourquoi la politique devrait indiquer que les comptes personnels ne sont pas utilisés pour le travail. Les conditions changent selon la formule : demandez-les par écrit.

En Catalogne et dans le reste de l’Espagne, l’entreprise doit fixer des critères d’utilisation des dispositifs numériques avec la participation des représentants des travailleurs et en informer l’équipe (article 87.3 de la Ley Orgánica 3/2018, loi organique espagnole sur la protection des données personnelles et la garantie des droits numériques). En Andorre, l’APDA recommande de remettre à chaque travailleur les procédures internes et de le former.

Relecture humaine et décisions concernant des personnes

Un modèle de langage calcule quel mot a le plus de probabilité de venir après un autre ; il ne sait pas ce qui est vrai, comme le rappelait l’APDA dans un article de novembre 2025. C’est pourquoi le résultat est un brouillon relu par une personne : chiffres, citations et références juridiques sont vérifiés avant usage.

Il existe une limite plus stricte : une personne a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques la concernant ou l’affectant de manière significative (article 25 de la Llei 29/2021 ; article 22 du RGPD). Aucune sélection de personnel, aucun crédit ni aucune sanction ne devrait dépendre d’un seul outil. En outre, le règlement européen sur l’intelligence artificielle, dans sa rédaction de 2026, demande à ceux qui utilisent des systèmes d’IA de prendre des mesures pour favoriser la maîtrise de l’IA de leur personnel, sans exiger de niveau précis (article 4).

Registre et incidents

Tenez une liste des outils autorisés avec leur responsable, leur finalité, les types de données permis, la date d’approbation et le contrat. Si un outil traite des données personnelles, il devrait figurer au registre des activités de traitement (article 34 de la Llei 29/2021), que l’APDA recommande de tenir en interne.

Si quelqu’un a collé des données qu’il ne fallait pas, il doit prévenir immédiatement la personne responsable. S’il s’agit de données personnelles et que la violation peut présenter un risque pour les droits et libertés des personnes, elle doit être notifiée à l’APDA dans les meilleurs délais et, si possible, 72 heures au plus tard (article 36 de la Llei 29/2021 ; article 33 du RGPD).

Texte de base de la politique

Adaptez ce texte à votre entreprise :

  1. Seuls les outils de la liste des outils autorisés sont utilisés, avec le compte d’entreprise.
  2. On n’y saisit ni données personnelles, ni données de catégories particulières, ni contrats, ni informations confidentielles de l’entreprise ou de tiers, ni clés ni mots de passe, sauf si la liste indique qu’un outil l’autorise.
  3. Le résultat est un brouillon : celui qui l’utilise le relit et en répond.
  4. Aucune décision concernant des personnes n’est prise uniquement sur la base du résultat d’un outil.
  5. Les nouveaux usages sont approuvés au préalable par [responsable].
  6. Si une donnée qu’il ne fallait pas a été saisie, on prévient immédiatement [responsable].
  7. L’entreprise tient un registre des outils et des usages autorisés et révise la politique tous les six mois.

Une alternative privée

Nous avons un intérêt sur ce sujet : MIA est un assistant d’IA d’entreprise privé et un produit de BDR Group. Selon le site du produit, les données de l’entreprise n’entraînent pas de modèles publics, l’accès se définit par équipe, rôle ou domaine, il y a de la traçabilité et il peut être déployé en cloud privé, en environnement dédié ou sur site. Il peut être l’outil autorisé de la liste, mais il ne remplace pas la politique : les règles d’usage, la relecture humaine et le registre restent nécessaires.

Que faire maintenant

  1. Demandez à l’équipe quels outils elle utilise et avec quelles informations.
  2. Dressez la liste des outils autorisés, avec le contrat de sous-traitance revu.
  3. Adaptez le texte de base, informez tout le monde et organisez une courte session de formation.
  4. Décidez qui approuve les nouveaux usages et qui reçoit les alertes d’incident.
  5. Révisez la politique tous les six mois et chaque fois qu’un outil change.

Questions fréquentes

Faut-il interdire tous les outils gratuits ?

Il n’est pas nécessaire de tout interdire, mais on n’y saisit pas de données de l’entreprise. Interdire sans alternative fonctionne rarement ; mieux vaut un outil autorisé et des règles claires.

De combien de temps dispose-t-on pour notifier une fuite de données personnelles ?

Dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf s’il est peu probable qu’elle présente un risque pour les personnes.

En Catalogne, dois-je consulter les représentants des travailleurs ?

L’article 87.3 de la Ley Orgánica 3/2018 dispose que les critères d’utilisation des dispositifs numériques sont élaborés avec la participation des représentants des travailleurs et que les travailleurs doivent en être informés.

Sources

Vous voulez une IA privée avec les documents de votre entreprise ?

Si vous voulez voir comment un assistant privé peut fonctionner avec vos documents, consultez la fiche : MIA, l’assistant d’IA d’entreprise privé. Le détail du produit est sur mia360.ad.

Retour aux actualités

Actualités

Autres articles