Ce que tu peux confier à une IA, et ce que tu ne dois jamais y coller

Publié en octobre 2026

Tu utilises un assistant IA pour tes devis, tes mails ou tes propositions commerciales ? Ce que tu tapes dans la zone de saisie part chez l'éditeur de l'outil. S'il s'agit d'informations sur des personnes, le RGPD s'applique comme pour n'importe quel autre logiciel.

Voici une méthode de tri en trois couleurs, un texte avant et après pseudonymisation, et ce qu'il faut vérifier dans les conditions de ton outil. Cet article complète le guide RGPD pour un indépendant : le minimum utile, outil par outil sur le seul cas de l'IA.

Le point de départ : tu restes responsable de ce que tu colles

Bpifrance Création rappelle que le RGPD s'applique aussi quand tu utilises un outil d'IA : pour y saisir des données de clients, de prospects ou de salariés, il te faut une base légale, et tu ne transmets que le nécessaire. Tu restes responsable de ce que tu diffuses à partir de ses réponses.

Dans ses questions-réponses du 18 juillet 2024 (CNIL, 2024), la CNIL conseille de lister les usages autorisés et interdits. Avec un service grand public, elle recommande de ne jamais y mettre de données personnelles ni d'informations couvertes par un secret, comme le secret des affaires.

Le tri en trois couleurs

Avant de coller un texte, demande-toi : peut-on y reconnaître une personne ? Dévoile-t-il un secret de ton entreprise ou d'un client ? Ce classement est une méthode de travail, pas une liste officielle.

Couleur	Ce que ça recouvre	Exemples
Vert : sans risque	Rien qui permette de reconnaître une personne, rien de confidentiel	Trame de devis vierge, texte de ta page « services », reformulation d'une publication, plan d'une formation, question sur une règle publique
Orange : à anonymiser d'abord	Contenu utile, mais qui contient des noms, des coordonnées ou des détails qui identifient quelqu'un	Devis rédigé pour un client nommé, mail d'un prospect, CV reçu pour un recrutement, export de ton fichier clients
Rouge : interdit	Données sensibles au sens du RGPD, identifiants d'accès, secrets d'un client	État de santé ou arrêt maladie d'un salarié, appartenance syndicale, convictions religieuses, mots de passe, clés d'API, contrat confidentiel d'un client

Pourquoi la santé d'un salarié est en rouge

La CNIL range la santé parmi les données sensibles, avec notamment les opinions politiques, les convictions religieuses, l'appartenance syndicale et l'orientation sexuelle. Les recueillir et les utiliser est interdit, sauf cas précis comme le consentement exprès de la personne (CNIL, « Les données sensibles, c'est quoi ? »).

Un courrier sur l'absence d'un salarié n'entre dans aucun de ces cas : écris-le sans l'outil, ou décris une situation générique, sans nom ni motif médical.

Le fichier clients : l'orange le plus fréquent

Pour analyser tes ventes, l'IA n'a pas besoin des noms ni des coordonnées. Supprime ces colonnes, remplace chaque client par un numéro (C001, C002…) et garde la table de correspondance chez toi.

Le CV : orange, et prudence sur l'usage

Pour une offre d'emploi ou une grille d'entretien, décris le poste : le CV est inutile. Pour en faire analyser un, retire nom, photo, coordonnées, âge et vie privée.

Bpifrance Création signale aussi qu'un outil qui trie des candidatures ou note des profils peut relever d'un niveau de risque plus élevé au regard du règlement européen sur l'IA : garde la décision entre tes mains.

Un même texte, avant et après pseudonymisation

Exemple fictif : tu demandes à l'IA de reformuler plus poliment un mail de relance. Les noms, le montant et les coordonnées sont inventés.

Avant (à ne pas coller tel quel) :

Bonjour Claire, je reviens vers toi au sujet de la facture n° 2026-118 de 2 400 € pour le site de la boulangerie Lefèvre, 12 rue des Lilas à Lisieux. Ton comptable, M. Durand, m'a dit que le paiement était bloqué depuis ton hospitalisation. Peux-tu me rappeler au 06 00 00 00 00 ?

Après :

Bonjour [CLIENTE], je reviens vers toi au sujet de la facture [N° FACTURE] de [MONTANT] pour la création de ton site. Le paiement semble bloqué de ton côté. Peux-tu me rappeler au [TÉLÉPHONE] ?

Ce qui a changé :

noms, adresse et téléphone deviennent des balises, que tu remplaces dans la version finale ;
le nom du commerce disparaît : il suffisait à retrouver la cliente ;
l'hospitalisation est supprimée : c'est une donnée de santé, inutile pour corriger le ton ;
le comptable, tiers à l'échange, n'apparaît plus.

Attention au vocabulaire. Selon la CNIL, la pseudonymisation remplace les éléments directement identifiants (nom, prénom) par des alias ou des numéros. Elle est réversible, et les données restent personnelles, car on peut souvent retrouver la personne en les croisant avec d'autres informations. L'anonymisation rend au contraire l'identification impossible en pratique, et de façon irréversible (CNIL, page du 19 mai 2020).

Au quotidien, tu fais donc de la pseudonymisation : elle réduit le risque sans te faire sortir du RGPD. Supprime aussi les détails rares (métier peu courant, date précise, lieu) qui trahissent quelqu'un.

Des demandes types pour les usages courants

Bpifrance Création cite comme usages courants en TPE la rédaction de contenus marketing, la synthèse d'informations et la structuration de documents ; la CNIL ajoute la correction, la traduction et l'analyse de données. Voici une demande type pour chacun. Tout ce qui est propre à une personne reste entre crochets, et tu le complètes après coup.

Usage	Demande type	Couleur
Devis	« Rédige la trame d'un devis pour une prestation de [type de prestation] : étapes, livrables, délais et conditions de paiement. Laisse entre crochets tout ce qui est propre au client. »	Vert
Publication	« Propose trois versions d'une publication de 80 mots pour présenter mon offre de [offre] à des [cible]. Ton factuel, sans superlatif. »	Vert
Offre d'emploi	« Rédige une offre d'emploi pour un poste de [intitulé] : missions, compétences attendues, conditions de travail. N'utilise aucun critère lié à l'âge, au sexe ou à la situation familiale. »	Vert
Relance	« Reformule ce mail de relance sur un ton courtois et ferme, en gardant les crochets tels quels : [texte pseudonymisé]. »	Orange
Compte rendu	« Résume ce compte rendu en cinq actions, chacune avec un responsable [P1], [P2]… et une échéance [date]. »	Orange
Fichier clients	« Voici un tableau avec les colonnes ID, secteur, date de dernière commande et chiffre d'affaires annuel. Liste les ID sans commande depuis 12 mois et totalise le chiffre d'affaires par secteur. »	Orange
Traduction	« Traduis en anglais ce paragraphe de proposition commerciale, en gardant les crochets tels quels : [texte sans nom du client]. »	Orange

Les demandes « orange » ne fonctionnent qu'avec un texte déjà pseudonymisé. Pour l'offre d'emploi, relis le résultat avec le guide Rédiger et diffuser une offre d'emploi sans mention interdite.

Ce que tu vérifies dans les conditions de l'outil

Que tu utilises ChatGPT, Claude, Mistral — Le Chat, Google Gemini, Microsoft 365 Copilot, Perplexity ou DeepL, les conditions varient selon la formule (gratuite, individuelle payante, équipe, entreprise) et peuvent changer. Lis les pages de l'éditeur qui correspondent à ta formule, avec ces cinq questions :

Les données saisies servent-elles à entraîner les modèles ? La CNIL conseille de désactiver, quand c'est possible, la réutilisation des données d'usage par le fournisseur. Si ses conditions générales prévoient cette réutilisation, c'est à toi de décider si tu interdis toute donnée personnelle ou seulement certaines catégories.
L'éditeur agit-il comme sous-traitant ? Bpifrance Création indique que l'éditeur est souvent sous-traitant au sens du RGPD. Il te faut alors un contrat de sous-traitance (souvent appelé « DPA ») qui fixe ce qu'il peut faire de tes données. La CNIL rappelle que cette qualification s'apprécie au cas par cas : un fournisseur qui utilise les données pour ses propres objectifs n'agit plus seulement pour ton compte.
Où les données sont-elles traitées et hébergées ? Si elles sortent de l'Union européenne, parce que l'hébergement est situé hors de l'UE ou que le fournisseur n'est pas européen, la CNIL précise que tu dois encadrer ce transfert.
L'historique est-il conservé ? La CNIL cite la possibilité de s'opposer à son enregistrement.
Ton compte est-il professionnel ? Pour un usage non confidentiel, la CNIL admet un service grand public à condition d'y accéder avec une adresse électronique professionnelle dédiée, pas avec ton adresse personnelle.

Sans réponse claire à l'une de ces questions, réserve l'outil aux contenus verts.

Quand mettre à jour ta politique de confidentialité

Bpifrance Création indique qu'une mise à jour peut s'imposer si l'IA modifie la façon dont tu traites les données. Rouvre ce document et ton registre des traitements dans trois cas :

Tu fais passer des données de clients ou de prospects par l'outil, même pseudonymisées : l'éditeur devient destinataire de ces données, à ajouter à la liste de tes sous-traitants.
Les données sortent de l'Union européenne : ta politique doit mentionner ce transfert et la garantie qui l'encadre.
Tu mets un assistant conversationnel en contact avec tes clients, sur ton site par exemple : le règlement européen sur l'IA, entré en vigueur le 1er août 2024 (CNIL, 2024), prévoit que les personnes soient informées qu'elles échangent avec un système d'IA.

Le guide RGPD pour un indépendant détaille comment tenir le registre et rédiger les mentions de ton site.

Ta règle d'usage en cinq lignes

La CNIL et Bpifrance Création conseillent de formaliser quelques règles simples. Cinq lignes suffisent, à transmettre aussi à un salarié ou à un prestataire :

Outils autorisés et formule utilisée, avec un compte professionnel.
Vert : libre. Orange : après pseudonymisation. Rouge : jamais.
Entraînement sur tes données désactivé quand c'est possible.
Toute réponse relue avant envoi ou publication.
Aucune décision sur une personne prise sur la seule réponse de l'IA.

Les erreurs fréquentes

Croire que remplacer le nom suffit. Un nom de commerce, une ville et une date permettent souvent de retrouver la personne.
Coller un export complet. Ne garde que les colonnes utiles.
Recopier la réponse telle quelle. La CNIL rappelle que ces systèmes peuvent produire des résultats inexacts qui paraissent pourtant plausibles.
Oublier les secrets de tes clients. Un cahier des charges confidentiel ne contient parfois aucune donnée personnelle, mais il reste rouge.

Sources

Les tarifs et fonctionnalités mentionnés évoluent régulièrement. Vérifie sur les sites officiels avant de t'engager. Une erreur ? Signale-la.