L'étude CybSafe / National Cybersecurity Alliance de 2026 révèle un chiffre alarmant : 36% des salariés admettent avoir partagé des données professionnelles confidentielles avec des chatbots IA comme ChatGPT ou Claude. Et 68% d'entre eux l'ont fait sans en informer leur employeur. Ce n'est pas un problème futur : c'est un problème actuel dans votre entreprise, aujourd'hui.
Ce que les salariés partagent réellement
Quand on dit "données confidentielles", on parle concrètement de :
- Code source propriétaire soumis pour "débogage" ou "refactoring"
- Contrats clients, termes et conditions, NDA copiés pour résumé
- Données RH (notes d'entretien, salaires, données personnelles d'employés)
- Données financières non publiques (chiffres Q3 avant publication)
- Plans stratégiques soumis pour "amélioration de présentation"
- Emails internes avec informations sensibles copiés pour traduction
L'incident Samsung de 2023 : où des ingénieurs avaient soumis du code source propriétaire à ChatGPT : reste la référence. Mais depuis, des centaines d'incidents similaires ont été documentés dans des secteurs allant de la banque à la santé.
Que deviennent ces données ?
La réponse dépend du service et de la configuration :
- ChatGPT gratuit (OpenAI) : les conversations peuvent être utilisées pour entraîner les futurs modèles, sauf opt-out explicite dans les paramètres
- ChatGPT Plus/Team : OpenAI s'engage à ne pas entraîner sur vos données, mais les conserve 30 jours pour les "opérations de sécurité"
- Claude.ai (Anthropic) : les conversations sont conservées selon la politique de rétention, avec option de ne pas contribuer à l'entraînement
- Microsoft Copilot for M365 : reste dans votre tenant Microsoft 365 : le plus sûr pour les entreprises sous contrat Enterprise
Les risques légaux concrets
RGPD : soumettre des données personnelles d'employés ou de clients à un LLM américain sans base légale appropriée est une violation du RGPD. Amende jusqu'à 4% du chiffre d'affaires mondial ou 20M€.
Secret d'affaires : la Directive UE 2016/943 sur les secrets d'affaires protège les informations ayant une valeur commerciale. Les soumettre à un service tiers sans mesures de confidentialité peut invalider cette protection.
Violations sectorielles : les données de santé (HIPAA), financières (DORA), ou de défense ont des réglementations spécifiques qui interdisent ou encadrent strictement l'usage des services cloud IA.
Comment mettre en place une politique IA en entreprise
Niveau 1 : Les fondamentaux (toute entreprise)
- Rédiger et diffuser une politique d'usage des IA génératives : une page, claire, avec exemples concrets de ce qui est permis et interdit
- Former tous les collaborateurs sur les risques : pas une heure de e-learning ennuyeux, mais des cas pratiques réels
- Créer une classification des données : Public / Interne / Confidentiel / Critique
- Communiquer que les données "Confidentiel" et "Critique" ne peuvent pas être soumises à des LLMs externes
Niveau 2 : Pour les entreprises avec des données sensibles
- Déployer un proxy IA interne (Azure OpenAI Service, Mistral self-hosted, ou Ollama sur serveur) qui garde les données dans votre infrastructure
- Configurer des DLP (Data Loss Prevention) pour détecter et bloquer l'envoi de données sensibles vers des services IA externes
- Microsoft Purview (si vous êtes sous M365) permet de classifier les documents et de bloquer leur copie vers des services non approuvés
Niveau 3 : Entreprises réglementées (santé, finance, défense)
- Usage exclusif de services IA avec contrats DPA (Data Processing Agreement) conformes RGPD signés
- LLMs déployés on-premises ou dans un Cloud souverain français (OVHcloud, Scaleway)
- Audit de conformité annuel incluant l'usage IA
Les outils DLP compatibles avec les LLMs en 2026
- Nightfall AI : détecte les données sensibles dans les appels API vers les LLMs
- Microsoft Purview : intégré à M365, surveille Copilot et les extensions Edge
- CrowdStrike Charlotte AI : protection endpoint avec détection des transferts IA suspects
