Ce que la CNIL met sur la table

L’autorité française ne découvre pas l’intelligence artificielle : elle en systématise les exigences. Ses recommandations, réactualisées dans ses ressources publiques, posent un principe simple à énoncer, moins simple à appliquer : un assistant IA n’est pas un coffre-fort neutre. C’est un traitement de données, avec un responsable, une finalité, une base légale, une durée. Et donc des droits pour les personnes dont les informations transitent.

Qu’on nous permette de nous étonner du décalage : la plupart des entreprises qui autorisent implicitement ces outils n’ont pas tranché la première des questions — celle de savoir ce qui sort, où cela va, et pour combien de temps.

Les cinq vérifications avant de coller une donnée

Les principes portés par la CNIL se traduisent, pour un usage quotidien, par une grille sobre :

  • Collecte : la donnée envoyée à l’assistant est-elle nécessaire à la tâche demandée ? Un résumé de compte rendu exige-t-il vraiment les noms, les adresses, les numéros de dossier ? La minimisation, principe cardinal du RGPD, s’applique à la requête elle-même.
  • Conservation : combien de temps le service garde-t-il l’historique des conversations, les fichiers déposés, les brouillons ? Une durée doit exister ; à défaut d’être connue, elle doit être demandée.
  • Réutilisation : les contenus soumis servent-ils à entraîner le modèle, à améliorer le service, à alimenter d’autres clients ? La réponse conditionne ce qu’on peut y confier.
  • Suppression : existe-t-il un moyen effectif d’effacer une conversation, un compte, un jeu de données transmis par erreur ? Le droit à l’effacement n’est pas suspendu parce que l’interlocuteur est une machine.
  • Opposition : peut-on refuser certains usages secondaires, notamment l’entraînement, sans perdre l’accès au service ?

Ces cinq points ne remplacent pas les réglages précis d’un outil donné — que nous n’inventerons pas ici — mais ils constituent le minimum décent avant d’ouvrir un onglet.

Ce qui concerne le salarié, ce qui concerne l’employeur

La CNIL adresse ses ressources aux deux publics, et ce n’est pas un hasard. Le particulier qui utilise un assistant pour rédiger un courrier engage ses propres données ; celui qui l’utilise au travail engage aussi celles de ses collègues, de ses clients, de ses patients, de ses élèves. La responsabilité, elle, remonte à l’employeur, en sa qualité de responsable de traitement.

D’où une conséquence pratique : une charte d’usage claire, écrite, connue, vaut mieux qu’une tolérance floue qui laissera, le jour venu, chacun se renvoyer la faute.

Ce que le contexte ne dit pas encore

Soyons honnêtes sur les zones grises. Les ressources publiées ne fixent pas, service par service, les cases exactes à cocher — la CNIL énonce des principes, pas des modes d’emploi propriétaires. Les décisions marquantes qui trancheront, secteur par secteur, ce qui relève de l’entraînement licite et ce qui n’en relève pas, restent devant nous. Le lecteur qui attend une liste noire ou une liste blanche officielle en sera pour ses frais ; celui qui accepte de raisonner par principes disposera, lui, d’une boussole.

À surveiller

Deux points méritent l’attention dans les prochaines semaines : les mises à jour des ressources de la CNIL, qui s’étoffent par vagues, et les paramètres de confidentialité des assistants effectivement déployés dans votre organisation. Entre les deux, un geste simple : avant de coller, se demander ce qu’on accepterait de voir affiché sur le tableau du hall. Si la réponse est non, l’assistant n’est pas le bon destinataire.

Source : CNIL — https://www.cnil.fr/fr/particulier-intelligence-artificielle-ia