C’est la première question que pose tout dirigeant à qui je parle d’automatisation, souvent avant même de demander le prix. Elle est légitime, et la réponse honnête tient en une phrase : ça dépend entièrement de la porte par laquelle vous entrez.
Trois questions qui décident de tout
Derrière l’inquiétude générale se cachent trois questions distinctes, qui n’ont ni les mêmes réponses ni les mêmes enjeux.
- Est-ce que ce que j’écris sert à entraîner le modèle ? Autrement dit, mes documents contribuent-ils à fabriquer la prochaine version du produit.
- Combien de temps est-ce conservé ? Même sans entraînement, un fournisseur garde des traces, ne serait-ce que pour la sécurité et la facturation.
- Où est-ce stocké, et sous quel droit ? La question du pays de traitement, celle qui intéresse votre juriste.
Les confondre mène aux deux erreurs symétriques : interdire l’IA à toute l’entreprise par précaution, ou coller le contrat d’un client dans le premier assistant venu. Aucune des deux ne repose sur une lecture des conditions réelles.
Grand public et professionnel : la ligne qui compte
Les éditeurs font tourner deux mondes différents sous une même marque. D’un côté les applications grand public, gratuites ou à quelques dizaines d’euros par mois. De l’autre les accès professionnels : l’interface d’entreprise et l’accès technique par API, celui qu’utilise une automatisation.
Sur les offres grand public, l’usage de vos échanges pour améliorer les modèles est possible, encadré par des réglages et par votre consentement. La mécanique bouge régulièrement : Anthropic a par exemple modifié sa politique de traitement des données en juillet 2026 pour ses formules individuelles, en laissant les offres professionnelles sous un régime distinct. Ce genre de changement n’est ni rare ni scandaleux, mais il impose une habitude : lire la notification quand elle arrive au lieu de cliquer « accepter ».
Sur les accès professionnels, la règle générale du marché est inverse, et chaque éditeur la documente publiquement (voir par exemple les règles de traitement des données d’OpenAI) : pas d’entraînement sur vos contenus par défaut, une conservation courte, de l’ordre de quelques semaines, pour des raisons de sécurité et de support, et la possibilité contractuelle, pour les organisations qui l’exigent, d’obtenir qu’aucune trace ne soit conservée. C’est ce que le jargon appelle la rétention zéro.
La conséquence pratique est contre-intuitive : une automatisation bien construite, qui traite des centaines de documents par l’accès technique, expose souvent moins vos données que le compte personnel gratuit qu’un collaborateur utilise sur son téléphone pour reformuler un email client. Le risque ne vient pas du volume, il vient de la porte.
Vous vous demandez ce que ça donnerait chez vous ? Le diagnostic gratuit chiffre votre situation en 6 minutes.
Ce que dit le RGPD, en pratique
Le règlement européen sur les données personnelles ne parle pas d’IA, il parle de traitements. Il ne faut pas le confondre avec le règlement européen sur l’IA, entré en application cet été, qui porte sur la transparence et non sur la protection des données. Cela ne change pas grand-chose à vos obligations : si vous confiez des données personnelles à un prestataire, ce prestataire est un sous-traitant, et il vous faut un contrat qui le dit, un encadrement des transferts hors Union européenne, et une information des personnes concernées.
Les grands fournisseurs d’IA proposent aujourd’hui ces documents en standard dans leurs conditions professionnelles : accord de sous-traitance et clauses contractuelles types pour les transferts. Ce n’est plus le point dur qu’il était il y a trois ans.
Le point dur, c’est vous. Le RGPD suppose que vous sachiez quelles données circulent, où et pourquoi. Une entreprise qui ne sait pas quels documents ses collaborateurs collent dans quels outils n’a pas un problème d’IA : elle a un problème de cartographie, que l’IA rend simplement visible.
L’option européenne existe vraiment
Pour les dossiers sensibles, deux voies permettent de garder le traitement en Europe. La première consiste à passer par un fournisseur européen : Mistral, qui a rassemblé cette année son assistant et son agent de travail sous un produit unique, propose des modèles déployables sur une infrastructure choisie, y compris chez vous pour les organisations qui l’exigent.
La seconde consiste à utiliser les modèles américains via les plateformes des grands hébergeurs, qui offrent des régions européennes et permettent donc un traitement localisé en Europe. La différence entre les deux voies n’est pas seulement géographique, elle est aussi politique, et c’est un arbitrage qui vous appartient.
Un conseil de méthode : ne tranchez pas cette question pour toute l’entreprise d’un coup. Tranchez-la par type de document. La note de synthèse d’un dossier client sensible et le brouillon d’un post LinkedIn n’appellent pas le même niveau d’exigence, et traiter les deux avec la rigueur du premier revient à ne rien faire du tout.
La règle de trois, à poser cette semaine
Trois décisions suffisent à sortir du flou, et elles ne demandent aucune compétence technique.
Classez d’abord vos données en trois paniers : public (ce qui est déjà en ligne), interne (ce qui ne sortirait pas de la maison mais ne ferait de mal à personne), confidentiel (données personnelles, contrats, santé, éléments couverts par un secret professionnel). La plupart des structures font ce tri en une demi-heure.
Posez ensuite une règle simple et écrite : le panier public passe partout, l’interne passe par les outils validés, le confidentiel ne passe que par le canal professionnel encadré. Une règle qu’on retient vaut mieux qu’une charte de douze pages que personne ne lit.
Donnez enfin à vos équipes un accès professionnel correct. Les usages clandestins ne viennent presque jamais d’une désinvolture : ils viennent de gens qui n’ont rien d’autre sous la main et qui essaient de faire leur travail. Fournir le bon outil coûte moins cher que de surveiller les mauvais.
