Chatbot IA : sécuriser vos données sans vous priver

Un chatbot IA n’est pas un carnet privé. Le texte que vous saisissez transite vers les serveurs du fournisseur, peut être conservé selon ses règles, et peut parfois être examiné pour la qualité, la sécurité ou l’amélioration du service. La bonne règle est donc simple : ne confiez à l’outil que ce que vous accepteriez de voir circuler chez son fournisseur.

La protection ne dépend pas d’un seul bouton. Elle repose sur un tri des informations, des réglages, un compte correctement protégé et, au travail, un cadre validé par l’organisation. Voici la méthode qui évite les erreurs les plus coûteuses.

Comprendre ce qu’un chatbot IA reçoit vraiment

Une conversation ne contient pas uniquement votre dernière question. Selon le service et ses options, il peut aussi traiter l’historique du fil, les documents joints, les images, les instructions personnalisées, les retours que vous donnez et les informations de compte. Les métadonnées — date, adresse IP, type d’appareil, langue ou localisation approximative — peuvent également être collectées pour faire fonctionner et sécuriser le service.

Le risque augmente lorsque le chatbot dispose de fonctions étendues. Une recherche web peut envoyer votre requête à des sites tiers ; un connecteur vers une messagerie, un stockage cloud ou un agenda peut rendre accessibles des contenus beaucoup plus larges que la seule question posée. Un assistant intégré à un navigateur ou à une application peut aussi hériter de données ouvertes dans votre session.

Le chiffrement du transport, souvent signalé par une connexion sécurisée, protège surtout les données pendant leur circulation. Il ne signifie pas que le fournisseur ne peut pas les traiter ni les conserver. La confidentialité dépend donc d’abord de ses conditions, de ses paramétrages et de votre usage.

Les données à ne jamais coller dans une conversation

Avant d’écrire, classez l’information. Un texte banal et public n’appelle pas les mêmes précautions qu’un compte rendu interne ou un relevé de santé. En cas de doute, partez du principe qu’une donnée est sensible jusqu’à preuve du contraire.

Les identifiants d’accès sont une ligne rouge absolue : mots de passe, clés d’API, jetons de session, codes de récupération, certificats et codes temporaires. Masquer les trois derniers caractères ne suffit pas. Un secret peut parfois être reconstitué à partir d’un extrait, d’une capture d’écran ou du contexte fourni autour.

Même précaution pour les documents. Une fiche de paie, un CV, un export client, un bulletin médical ou un contrat peut contenir des données cachées dans les commentaires, les propriétés du fichier, les feuilles annexes ou les tableaux non visibles. Préférez un texte réduit, relu et nettoyé à l’envoi du fichier original.

Choisir un chatbot IA selon le niveau de confidentialité attendu

Ne choisissez pas un service sur la seule qualité de ses réponses. Ouvrez sa page de confidentialité, ses réglages de données et, pour une offre professionnelle, ses documents contractuels. Cherchez des réponses concrètes : les conversations servent-elles à entraîner les modèles ? Peut-on s’y opposer ? Combien de temps sont-elles conservées ? Où sont traités les fichiers ? Peut-on supprimer un compte et exporter ses données ?

Une formule gratuite ou grand public peut convenir à des demandes génériques : reformuler un paragraphe fictif, bâtir un plan, comprendre une notion, produire une liste d’idées. Elle n’est pas automatiquement inadaptée, mais il faut présumer que ses protections sont moins ajustées à vos obligations professionnelles qu’un environnement administré.

Une offre professionnelle n’est pas une garantie magique. Vérifiez la désactivation par défaut de l’entraînement à partir des contenus clients, l’administration des comptes, la gestion des rôles, les journaux d’activité, les conditions de suppression, la possibilité de conclure un accord de traitement des données et les règles applicables aux sous-traitants. L’équipe juridique, informatique ou la personne chargée de la protection des données doit valider le choix lorsque des données de travail sont en jeu.

Méfiez-vous des extensions peu connues qui promettent d’ajouter l’IA à chaque page web. Elles peuvent lire les pages visitées, le presse-papiers ou les contenus affichés. Installez uniquement des outils nécessaires, édités par un acteur identifiable, et examinez les autorisations demandées avant de les accepter.

Paramétrer son compte avant la première requête utile

Les menus changent d’un service à l’autre, mais la vérification suit toujours le même ordre. Prenez dix minutes à l’ouverture du compte, puis refaites ce contrôle après une modification importante de l’outil ou de ses réglages.

1. Créez un compte distinct de votre adresse professionnelle si l’usage n’est pas approuvé par votre employeur. Ne mélangez pas vie privée et documents de travail dans un même historique.
2. Activez l’authentification à deux facteurs lorsqu’elle est proposée. Préférez une application d’authentification ou une clé de sécurité aux seuls SMS quand vous avez le choix.
3. Utilisez un mot de passe long et unique, stocké dans un gestionnaire de mots de passe. Un mot de passe réutilisé transforme la fuite d’un site tiers en accès possible à votre chatbot.
4. Désactivez l’utilisation des contenus pour l’entraînement, ou l’option équivalente, si elle existe. Vérifiez le texte affiché : certaines options réduisent seulement l’usage marketing ou la personnalisation.
5. Réglez l’historique et la mémoire. Désactivez-les pour les échanges ponctuels sensibles ; effacez les fils devenus inutiles ; consultez les informations sur la conservation réelle après suppression.
6. Déconnectez les connecteurs superflus. Stockage, messagerie, calendrier, outils de tickets : gardez uniquement ceux qui sont indispensables et autorisés.
7. Passez en revue les appareils et sessions connectés. Révoquez les sessions inconnues ou anciennes, surtout après l’utilisation d’un ordinateur partagé.

Rédiger des prompts utiles sans exposer de contenu sensible

La minimisation ne dégrade pas forcément la qualité du résultat. Un chatbot a rarement besoin du dossier complet pour vous donner une structure, une méthode de vérification ou une reformulation. Donnez-lui le problème, les contraintes et un exemple inventé plutôt que la matière brute.

Au lieu de demander : « Réécris ce mail à Mme Durand au sujet du licenciement prévu le 14 mai », formulez : « Réécris ce message RH fictif annonçant un entretien préalable, avec un ton neutre et respectueux. » Vous conservez l’objectif rédactionnel, tout en retirant le nom, la situation réelle et la date.

Pour une analyse de tableau, remplacez les personnes par « Client A », « Client B » et les valeurs exactes par des fourchettes ou des indices. Pour du code, fournissez une fonction minimale qui reproduit l’erreur, jamais le dépôt entier, les variables de production, les URL internes ou les clés incorporées. Pour un contrat, demandez une grille de relecture des clauses plutôt que l’interprétation d’un document nominatif.

Ne demandez pas non plus au chatbot de « retenir » une préférence confidentielle dans sa mémoire. Les instructions permanentes sont commodes, mais elles peuvent contenir votre métier, vos habitudes, des noms de projet ou des éléments personnels. Limitez-les à des préférences neutres, comme la langue ou le format de réponse.

La confidentialité ne doit pas faire oublier l’intégrité. Une réponse peut inventer une référence, mal résumer une clause ou produire un code vulnérable. Ne transférez jamais une sortie du chatbot dans un contrat, un logiciel, une décision médicale, financière ou RH sans contrôle humain compétent. Une donnée protégée mais mal interprétée reste un risque.

Sécuriser les usages professionnels, les équipes et les fichiers

Au travail, la question n’est pas « puis-je techniquement le faire ? », mais « suis-je autorisé à envoyer cette information à ce prestataire, dans cette configuration ? ». Une politique interne doit préciser les cas permis, les services approuvés, les catégories de données interdites, les règles pour les fichiers et la personne à solliciter en cas de doute.

Les secteurs soumis au secret professionnel ou à des exigences fortes — santé, juridique, finance, ressources humaines, industrie, recherche — doivent être particulièrement stricts. Les données concernant des mineurs, les informations médicales, les dossiers sociaux et les secrets d’affaires nécessitent souvent un circuit dédié, voire l’absence totale de chatbot externe. Le responsable de traitement, le délégué à la protection des données, le service informatique ou le responsable sécurité peut orienter vers l’environnement approprié.

La formation doit partir de cas concrets. Apprenez aux équipes à reconnaître une clé d’API dans une capture, à retirer les données personnelles d’un ticket de support, à ne pas importer un export complet de messagerie, et à signaler une erreur sans tenter de la dissimuler. Les droits d’accès doivent suivre le principe du moindre privilège : chacun n’accède qu’aux assistants, espaces et connecteurs nécessaires à son rôle.

Éviter les fuites par le navigateur, les connecteurs et l’entourage

Un compte bien réglé reste vulnérable sur un poste mal protégé. Mettez à jour le navigateur et le système, verrouillez votre session lorsque vous vous éloignez, et évitez les ordinateurs publics pour un échange contenant des informations privées. Sur un réseau Wi-Fi public, évitez toute opération sensible si vous ne maîtrisez pas la sécurité de votre appareil.

Surveillez particulièrement le partage de conversation. Un lien peut donner accès à tout un fil, pas seulement à la dernière réponse. Avant de l’envoyer, relisez l’échange depuis le premier message, retirez les éléments sensibles, puis vérifiez si le lien est public, limité à certains comptes ou révocable. Désactivez-le dès qu’il n’est plus nécessaire.

Les connecteurs doivent être traités comme des délégations de pouvoir. Si un chatbot peut chercher dans votre drive, il faut savoir quels dossiers il peut lire, si cette autorisation est permanente et si elle concerne un compte personnel ou professionnel. Révoquez les accès après un test, un changement de poste ou le départ d’un prestataire.

Réagir vite après une mauvaise manipulation ou un doute

Vous avez collé une information sensible dans un chatbot ? Ne paniquez pas, mais agissez sans attendre. Supprimez le fil et toute pièce jointe si le service le permet, désactivez un éventuel lien de partage, retirez les connecteurs concernés et consultez les réglages de conservation. Gardez une trace factuelle de ce qui a été envoyé, du compte utilisé et de l’heure approximative, sans rediffuser la donnée.

Si un secret technique a été exposé, la suppression ne suffit pas : révoquez et remplacez immédiatement la clé, le mot de passe ou le jeton concerné. Pour une carte bancaire, un compte en ligne ou une identité numérique, contactez sans délai l’organisme concerné via ses canaux officiels. Ne publiez jamais le détail de l’incident dans un forum pour demander de l’aide.

Dans un cadre professionnel, prévenez le responsable informatique, sécurité ou protection des données selon la procédure interne. Un incident impliquant des données personnelles peut nécessiter une analyse formelle des risques et des mesures spécifiques ; ce n’est pas à l’utilisateur de décider seul qu’il est sans conséquence. Signaler tôt permet de limiter les accès, de documenter l’événement et de protéger les personnes concernées.

Le RGPD donne notamment des droits d’accès, de rectification et, selon les situations, d’effacement ou d’opposition. Utilisez les outils du fournisseur pour télécharger ou supprimer vos données, puis adressez-vous à son canal de confidentialité si la demande ne peut pas être satisfaite dans l’interface. Ces droits n’autorisent pas pour autant à transmettre librement les données d’autrui : la minimisation reste le premier rempart.