Donner accès à une IA à ses salariés sans violer le RGPD

Pour donner accès à une IA à vos salariés sans violer le RGPD, l’hébergement ne suffit pas. Il faut choisir un outil dont vous connaissez les conditions, régler ce qui doit l’être, en particulier l’usage de vos données pour l’entraînement, et poser des règles écrites sur ce qui peut être saisi. Une installation locale n’est pas obligatoire : pour une petite structure, elle est même rarement la bonne réponse. Voici le cas d’une TPE accompagnée par ISNAN Informatique, et ce que nous recommandons aux entreprises de Toulouse et de Haute-Garonne.

Le cas : une TPE qui voulait une IA installée en local

Le client est une TPE de 1 à 5 salariés ([À COMPLÉTER] secteur). Sa demande de départ était précise : une IA installée sur le réseau de l’entreprise, accessible à tous les salariés. La motivation était légitime : la confidentialité et le RGPD. Les dirigeants ne voulaient pas que leurs informations partent chez un service dont ils ne savaient rien.

L’usage principal était simple : la rédaction et la génération de texte.

Nous n’avons pas retenu l’installation locale. Pour 1 à 5 personnes, elle était trop lourde et trop coûteuse par rapport au besoin. La solution retenue est Le Chat Pro de Mistral, utilisé sur le web.

Pourquoi nous avons écarté l’installation locale

Sur le papier, l’IA locale est la réponse idéale à la question de la confidentialité : rien ne sort de vos murs. En pratique, elle déplace le problème.

• Le matériel : faire tourner un modèle de langage dans de bonnes conditions demande une machine bien plus puissante qu’un poste de bureautique, surtout si plusieurs personnes l’utilisent en même temps.
• L’exploitation : un serveur de plus à surveiller, sauvegarder, mettre à jour et sécuriser. Il devient une cible, comme tout serveur.
• La qualité : les modèles évoluent vite. Une installation figée perd du terrain, et la tenir à jour demande du temps.
• L’usage réel : pour rédiger des textes de temps en temps, une machine dédiée reste inactive la plupart du temps.

L’installation locale garde du sens dans certains cas : volumes importants, données particulièrement sensibles, obligation contractuelle. Elle se discute alors à partir d’un besoin précis, pas par principe.

Pourquoi Le Chat Pro de Mistral

Mistral est une société française. Selon sa documentation, les données sont hébergées par défaut dans l’Union européenne, avec de possibles transferts temporaires vers les sous-traitants listés dans son centre de confiance. Pour cette TPE, l’outil cochait les cases essentielles : un interlocuteur européen, un usage web sans infrastructure à maintenir, et une qualité suffisante pour la rédaction.

Une précision de vocabulaire : Mistral a renommé Le Chat en Vibe. Vous verrez encore les deux noms selon les pages et les applications.

Le point à vérifier : l’entraînement des modèles

Un hébergement européen ne dit rien de ce que l’éditeur fait de vos données. C’est la vraie question. D’après la documentation de Mistral, les données saisies dans Vibe servent par défaut à entraîner ses modèles, sauf si l’utilisateur s’y oppose, et les réglages varient selon l’offre.

Autrement dit, sur une offre individuelle, ce réglage doit être désactivé compte par compte, dans les paramètres. Sur l’offre Team, un administrateur peut le désactiver pour toute l’organisation. Mistral précise aussi que, quelle que soit l’offre, le fait de donner un avis sur une réponse l’autorise à utiliser cet échange. Le plus simple est de consigner ces deux réflexes dans vos règles internes.

Ces réglages et ces offres évoluent. Vérifiez-les au moment de votre choix, sur les pages de l’éditeur, sans vous fier à un article de blog, y compris celui-ci.

Pro ou Team ?

L’offre Pro s’utilise au niveau de chaque compte. L’offre Team ajoute un espace commun et une administration centrale. Plus l’équipe grandit, plus cette gestion centrale compte : un seul oubli de réglage sur un seul compte suffit à vous exposer. Vérifiez aussi quelles conditions s’appliquent à votre abonnement, et si l’accord de traitement des données proposé aux clients professionnels vous couvre. Une entreprise qui utilise l’outil pour traiter des données personnelles a besoin de cet encadrement.

Ce que le RGPD demande vraiment

Choisir un outil européen est un bon début, mais votre entreprise reste responsable de ce qu’elle en fait. Dès qu’une donnée personnelle entre dans l’outil, le RGPD s’applique :

• une finalité claire : à quoi sert l’outil, et pour quelles tâches ;
• la minimisation : ne saisir que ce qui est nécessaire, et si possible aucune donnée personnelle ;
• un encadrement du prestataire : un contrat de sous-traitance avec l’éditeur si des données personnelles sont traitées ;
• le registre des traitements : l’usage de l’IA y figure s’il porte sur des données personnelles ;
• l’information des salariés : ils doivent connaître les règles qui s’appliquent à eux ;
• la vérification : une décision qui affecte une personne ne doit pas reposer uniquement sur la réponse d’une IA.

Pour une vue d’ensemble, voyez notre article RGPD et PME : ce que vous devez mettre en place.

Les règles à poser

Ces règles ne sont pas un retour du client : ce sont nos recommandations générales, valables quel que soit l’outil. Elles tiennent sur une page, et c’est voulu.

Pas de données clients nominatives dans les prompts

C’est la règle de base. Remplacez les noms par des rôles : « le client », « le fournisseur », « Mme X ». Retirez les adresses, les numéros de téléphone, les références de dossier et les montants qui permettraient d’identifier une personne. Pour rédiger un courrier, l’IA n’a pas besoin de savoir à qui il est destiné : vous ajouterez le nom ensuite.

Certaines données ne doivent jamais y entrer : santé, données bancaires, identifiants, mots de passe, documents confidentiels couverts par un accord avec un client.

Des comptes nominatifs

Chaque salarié a son propre compte. Un compte partagé empêche de savoir qui a fait quoi, complique le réglage de confidentialité et reste actif après le départ d’un salarié. Les comptes doivent être rattachés à l’adresse professionnelle, protégés par un mot de passe solide et une double authentification, et fermés à la sortie. Notre checklist du départ d’un salarié détaille cette étape.

La vérification des réponses

Une IA produit un texte plausible, pas un texte exact. Elle peut inventer une référence, un article de loi ou un chiffre avec beaucoup d’assurance. Tout ce qui sort de l’entreprise est relu par une personne qui en assume le contenu. Cette règle protège votre réputation autant que vos données.

Une liste d’usages autorisés

Écrivez ce qui est permis : reformuler un mail sans nom de client, préparer un plan, résumer un document public. Écrivez aussi ce qui ne l’est pas. Vos salariés n’ont pas à deviner, et l’interdiction générale ne fonctionne pas : ils utiliseront un outil grand public depuis leur téléphone, sans aucun réglage.

Par où commencer dans votre entreprise ?

1. Demandez à vos salariés ce qu’ils utilisent déjà. La réponse risque de vous surprendre.
2. Définissez les tâches pour lesquelles l’IA est utile.
3. Choisissez l’outil et l’offre, conditions d’utilisation en main.
4. Réglez chaque compte, et vérifiez l’entraînement des modèles.
5. Rédigez la charte d’une page et présentez-la à l’équipe.
6. Formez vos salariés sur leurs vrais usages, pas sur l’IA en général.

Une IA pour votre équipe ?

Un appel de 30 minutes suffit pour savoir si l’IA a sa place chez vous, et laquelle.