{"id":7,"date":"2026-08-22T16:41:08","date_gmt":"2026-08-22T14:41:08","guid":{"rendered":"https:\/\/ia.weve.fr\/blog\/12-gestes-anti-fuite-donnees-ia\/"},"modified":"2026-08-31T11:46:54","modified_gmt":"2026-08-31T09:46:54","slug":"12-gestes-anti-fuite-donnees-ia","status":"publish","type":"post","link":"https:\/\/capiaresponsable.fr\/blog\/12-gestes-anti-fuite-donnees-ia\/","title":{"rendered":"12 gestes anti-fuite de donn\u00e9es avant d\u2019utiliser une IA"},"content":{"rendered":"<p>Pour \u00e9viter une fuite de donn\u00e9es dans un outil d\u2019intelligence artificielle, une PME doit combiner trois r\u00e9flexes : utiliser seulement les outils autoris\u00e9s, r\u00e9duire chaque saisie au strict n\u00e9cessaire et arr\u00eater imm\u00e9diatement en cas de doute. Un devis, un CV ou un tableau client ne doit jamais \u00eatre copi\u00e9 tel quel par facilit\u00e9. La r\u00e8gle utile est simple : classer, expurger, v\u00e9rifier, puis seulement saisir.<\/p>\n<nav class=\"article-toc\" aria-labelledby=\"sommaire-anti-fuite\">\n    <strong id=\"sommaire-anti-fuite\">Sommaire du guide<\/strong><\/p>\n<ol>\n<li><a href=\"#filtre-rouge\">Le filtre rouge en moins d\u2019une minute<\/a><\/li>\n<li><a href=\"#classer-donnees\">Classer l\u2019information avant la saisie<\/a><\/li>\n<li><a href=\"#minimiser\">Minimiser sans pr\u00e9tendre anonymiser<\/a><\/li>\n<li><a href=\"#douze-gestes\">Les 12 gestes anti-fuite<\/a><\/li>\n<li><a href=\"#exemples-reformulation\">Cinq exemples de reformulation<\/a><\/li>\n<li><a href=\"#trente-minutes\">Les 30 premi\u00e8res minutes apr\u00e8s une erreur<\/a><\/li>\n<li><a href=\"#qualifier-incident\">Incident interne ou violation de donn\u00e9es ?<\/a><\/li>\n<li><a href=\"#roles-incident\">Qui fait quoi dans la PME ?<\/a><\/li>\n<li><a href=\"#deployer\">D\u00e9ployer les r\u00e9flexes en trente jours<\/a><\/li>\n<li><a href=\"#checklist\">Checklist avant de valider une saisie<\/a><\/li>\n<li><a href=\"#faq-anti-fuite\">Questions fr\u00e9quentes<\/a><\/li>\n<li><a href=\"#sources\">Sources officielles<\/a><\/li>\n<\/ol>\n<\/nav>\n<h2 id=\"filtre-rouge\">Le filtre rouge en moins d\u2019une minute<\/h2>\n<p>Avant de saisir une information dans un outil d\u2019IA, posez quatre questions. Elles ne remplacent pas les r\u00e8gles m\u00e9tier, mais elles donnent un point d\u2019arr\u00eat commun aux \u00e9quipes commerciales, administratives, RH, techniques et op\u00e9rationnelles.<\/p>\n<ol>\n<li>Cette information permet-elle d\u2019identifier directement ou indirectement une personne ?<\/li>\n<li>Est-elle couverte par une obligation de confidentialit\u00e9 ou un engagement contractuel ?<\/li>\n<li>R\u00e9v\u00e8le-t-elle un prix non public, une strat\u00e9gie, un secret d\u2019acc\u00e8s ou un savoir-faire interne ?<\/li>\n<li>Son exposition pourrait-elle cr\u00e9er un pr\u00e9judice pour un client, un salari\u00e9, un partenaire ou l\u2019entreprise ?<\/li>\n<\/ol>\n<div class=\"guide-callout\">\n    <strong>Une r\u00e9ponse incertaine suffit pour suspendre la saisie<\/strong><\/p>\n<p>Remplacez les donn\u00e9es r\u00e9elles par un exemple fictif, retirez les d\u00e9tails inutiles ou demandez une validation. Le doute est un signal d\u2019arr\u00eat et d\u2019escalade, pas une autorisation implicite.<\/p>\n<\/div>\n<figure class=\"article-figure\">\n    <img src=\"https:\/\/capiaresponsable.fr\/blog\/wp-content\/uploads\/2026\/08\/12-gestes-anti-fuite-filtre-infographie.webp\" alt=\"Infographie pr\u00e9sentant quatre questions \u00e0 poser avant de coller une information dans un outil d\u2019intelligence artificielle\" width=\"1600\" height=\"800\" loading=\"lazy\" decoding=\"async\"><figcaption>Quatre questions d\u00e9clenchent un arr\u00eat : personne identifiable, information confidentielle, secret ou savoir-faire, pr\u00e9judice possible.<\/figcaption><\/figure>\n<h2 id=\"classer-donnees\">Classer l\u2019information avant la saisie<\/h2>\n<p>Une classification courte aide les salari\u00e9s \u00e0 agir sans interpr\u00e9ter seuls une politique de vingt pages. Les exemples doivent \u00eatre adapt\u00e9s aux m\u00e9tiers, aux contrats et aux r\u00e8gles internes de l\u2019entreprise. Une m\u00eame information peut aussi changer de niveau selon son contexte : un prix catalogue public n\u2019est pas un prix n\u00e9goci\u00e9 pour un client nomm\u00e9.<\/p>\n<div class=\"guide-table-wrap\">\n<table>\n<thead>\n<tr>\n<th>Niveau<\/th>\n<th>Exemples dans une PME<\/th>\n<th>Orientation initiale<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td><strong class=\"status-ok\">Public<\/strong><\/td>\n<td>Page web publi\u00e9e, brochure publique, communiqu\u00e9 diffus\u00e9<\/td>\n<td>Utilisation possible dans un outil approuv\u00e9, avec v\u00e9rification du r\u00e9sultat.<\/td>\n<\/tr>\n<tr>\n<td><strong>Interne<\/strong><\/td>\n<td>Proc\u00e9dure g\u00e9n\u00e9rale, trame vierge, note sans personne ni secret<\/td>\n<td>R\u00e9duire le contenu et v\u00e9rifier les r\u00e8gles de l\u2019outil et du compte.<\/td>\n<\/tr>\n<tr>\n<td><strong class=\"status-review\">Confidentiel<\/strong><\/td>\n<td>Contrat, prix n\u00e9goci\u00e9, fichier client, code source, pr\u00e9vision commerciale<\/td>\n<td>Ne pas transmettre sans environnement et usage express\u00e9ment \u00e9valu\u00e9s et autoris\u00e9s.<\/td>\n<\/tr>\n<tr>\n<td><strong class=\"status-stop\">Particuli\u00e8rement sensible<\/strong><\/td>\n<td>Secret d\u2019acc\u00e8s, donn\u00e9es de sant\u00e9, incident de s\u00e9curit\u00e9, dossier RH d\u00e9taill\u00e9<\/td>\n<td>Arr\u00eat et recours au contact interne comp\u00e9tent ; utiliser un cas fictif si possible.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<p>La classification concerne aussi les pi\u00e8ces jointes, les images, les captures d\u2019\u00e9cran, les m\u00e9tadonn\u00e9es et l\u2019historique de conversation. Un tableur apparemment anodin peut contenir des onglets masqu\u00e9s ; une photographie d\u2019atelier peut montrer un badge, un planning ou une \u00e9tiquette client.<\/p>\n<h2 id=\"minimiser\">Minimiser sans pr\u00e9tendre anonymiser<\/h2>\n<p>Supprimer un nom ne rend pas automatiquement un document anonyme. Une fonction rare, une date pr\u00e9cise, un lieu, un montant ou un \u00e9v\u00e9nement peuvent permettre de reconna\u00eetre une personne. Les lignes directrices mises en avant par le CEPD en 2026 rappellent que le caract\u00e8re anonyme d\u00e9pend de la possibilit\u00e9 r\u00e9elle d\u2019identifier une personne dans le contexte consid\u00e9r\u00e9.<\/p>\n<p>Pour une demande ponctuelle, appliquez une minimisation en quatre passages :<\/p>\n<ol>\n<li><strong>Retirer les identifiants directs :<\/strong> noms, emails, t\u00e9l\u00e9phones, matricules, adresses et r\u00e9f\u00e9rences de dossier.<\/li>\n<li><strong>G\u00e9n\u00e9raliser les d\u00e9tails rares :<\/strong> remplacer une date par une p\u00e9riode, un montant exact par une tranche ou une fonction pr\u00e9cise par un r\u00f4le g\u00e9n\u00e9rique.<\/li>\n<li><strong>D\u00e9couper le document :<\/strong> ne garder que les lignes n\u00e9cessaires \u00e0 la question, sans annexes ni historique inutile.<\/li>\n<li><strong>Tester la r\u00e9identification :<\/strong> demander \u00e0 un coll\u00e8gue autoris\u00e9 si la personne, le client ou le projet reste reconnaissable avec les informations restantes.<\/li>\n<\/ol>\n<div class=\"guide-callout\">\n    <strong>\u00ab Expurg\u00e9 \u00bb ne signifie pas \u00ab sans risque \u00bb<\/strong><\/p>\n<p>La minimisation r\u00e9duit l\u2019exposition. Elle ne dispense pas d\u2019utiliser un outil autoris\u00e9, de v\u00e9rifier ses conditions et de respecter les r\u00e8gles applicables \u00e0 la donn\u00e9e et \u00e0 la finalit\u00e9.<\/p>\n<\/div>\n<h2 id=\"douze-gestes\">Les 12 gestes anti-fuite \u00e0 transmettre<\/h2>\n<ol class=\"guide-rules\">\n<li><strong>Partir d\u2019une t\u00e2che pr\u00e9cise.<\/strong><span>D\u00e9finissez le r\u00e9sultat attendu avant d\u2019ouvrir l\u2019outil afin de ne pas ajouter des informations \u00ab au cas o\u00f9 \u00bb.<\/span><\/li>\n<li><strong>Utiliser uniquement un outil et un compte approuv\u00e9s.<\/strong><span>Un compte personnel, une extension inconnue et un espace professionnel ne pr\u00e9sentent pas les m\u00eames engagements ni r\u00e9glages.<\/span><\/li>\n<li><strong>Lire la r\u00e8gle interne correspondant \u00e0 l\u2019usage.<\/strong><span>L\u2019absence de consigne visible ne signifie pas que toutes les donn\u00e9es peuvent \u00eatre transmises.<\/span><\/li>\n<li><strong>Ne jamais partager un secret d\u2019acc\u00e8s.<\/strong><span>Mot de passe, cl\u00e9 d\u2019API, code de secours, jeton, cookie ou lien priv\u00e9 restent hors de toute conversation avec une IA.<\/span><\/li>\n<li><strong>Retirer les identifiants directs.<\/strong><span>Supprimez noms, coordonn\u00e9es, num\u00e9ros de dossier et r\u00e9f\u00e9rences client lorsqu\u2019ils ne sont pas indispensables.<\/span><\/li>\n<li><strong>Rep\u00e9rer les identifiants indirects.<\/strong><span>Une fonction rare, une date, un lieu ou un \u00e9v\u00e9nement particulier peuvent permettre de reconna\u00eetre une personne.<\/span><\/li>\n<li><strong>R\u00e9duire le document.<\/strong><span>Ne transmettez que l\u2019extrait strictement utile ; quelques lignes suffisent souvent l\u00e0 o\u00f9 un dossier complet serait excessif.<\/span><\/li>\n<li><strong>Pr\u00e9f\u00e9rer un exemple fictif.<\/strong><span>Conservez la structure du probl\u00e8me en rempla\u00e7ant les faits, montants, personnes et organisations par un cas invent\u00e9.<\/span><\/li>\n<li><strong>V\u00e9rifier fichiers et historique.<\/strong><span>Contr\u00f4lez commentaires, m\u00e9tadonn\u00e9es, onglets masqu\u00e9s et contexte d\u2019une ancienne conversation avant tout ajout.<\/span><\/li>\n<li><strong>Contr\u00f4ler le r\u00e9sultat avant r\u00e9utilisation.<\/strong><span>V\u00e9rifiez faits, chiffres, sources et formulations avant d\u2019int\u00e9grer une r\u00e9ponse dans un document professionnel.<\/span><\/li>\n<li><strong>Signaler rapidement une erreur.<\/strong><span>Notez les faits et pr\u00e9venez le contact d\u00e9sign\u00e9 sans chercher \u00e0 minimiser ou masquer l\u2019incident.<\/span><\/li>\n<li><strong>Revoir r\u00e9guli\u00e8rement les outils.<\/strong><span>Fonctions, r\u00e9glages, sous-traitants et conditions \u00e9voluent ; r\u00e9examinez les usages autoris\u00e9s, \u00e0 valider ou \u00e0 \u00e9viter.<\/span><\/li>\n<\/ol>\n<h2 id=\"exemples-reformulation\">Cinq exemples de reformulation avant d\u2019utiliser une IA<\/h2>\n<div class=\"guide-table-wrap\">\n<table>\n<thead>\n<tr>\n<th>Situation PME<\/th>\n<th>Demande risqu\u00e9e<\/th>\n<th>Version minimis\u00e9e<\/th>\n<th>\u00c9l\u00e9ments retir\u00e9s<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Commerce<\/td>\n<td>\u00ab R\u00e9sume le contrat sign\u00e9 avec le client Martin et rel\u00e8ve les p\u00e9nalit\u00e9s. \u00bb<\/td>\n<td>\u00ab Explique la logique de ces trois clauses fictives et propose une grille de lecture. \u00bb<\/td>\n<td>Client, contrat r\u00e9el, montants et engagements.<\/td>\n<\/tr>\n<tr>\n<td>Ressources humaines<\/td>\n<td>\u00ab R\u00e9dige une r\u00e9ponse \u00e0 Julie Dupont, absente depuis trois semaines pour raison m\u00e9dicale. \u00bb<\/td>\n<td>\u00ab Propose un email neutre de reprise de contact apr\u00e8s une absence, sans \u00e9voquer le motif. \u00bb<\/td>\n<td>Identit\u00e9, dur\u00e9e pr\u00e9cise et information de sant\u00e9.<\/td>\n<\/tr>\n<tr>\n<td>Marketing<\/td>\n<td>\u00ab Analyse ce fichier de prospects avec emails et chiffres d\u2019affaires. \u00bb<\/td>\n<td>\u00ab \u00c0 partir de dix lignes fictives structur\u00e9es de la m\u00eame mani\u00e8re, propose une m\u00e9thode de segmentation. \u00bb<\/td>\n<td>Coordonn\u00e9es, historique commercial et fichier r\u00e9el.<\/td>\n<\/tr>\n<tr>\n<td>Informatique<\/td>\n<td>\u00ab Corrige ce code avec notre cl\u00e9 d\u2019API de test. \u00bb<\/td>\n<td>\u00ab Corrige cet exemple minimal o\u00f9 le secret est remplac\u00e9 par API_KEY_EXEMPLE. \u00bb<\/td>\n<td>Secret d\u2019acc\u00e8s, URL interne et contexte inutile.<\/td>\n<\/tr>\n<tr>\n<td>Production<\/td>\n<td>\u00ab Pr\u00e9dis les retards \u00e0 partir de ce planning avec noms, commandes et incidents. \u00bb<\/td>\n<td>\u00ab Sur ce planning fictif limit\u00e9 aux d\u00e9lais et cat\u00e9gories d\u2019incident, propose des indicateurs de retard. \u00bb<\/td>\n<td>Noms, commandes identifiables et commentaires libres.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<p>La bonne reformulation ne consiste pas \u00e0 maquiller l\u00e9g\u00e8rement une donn\u00e9e r\u00e9elle. Elle conserve la question m\u00e9tier tout en supprimant ce qui n\u2019est pas n\u00e9cessaire pour obtenir une m\u00e9thode, une trame ou une explication.<\/p>\n<h2 id=\"trente-minutes\">Les 30 premi\u00e8res minutes apr\u00e8s une erreur<\/h2>\n<p>Une saisie accidentelle ne se traite pas en supprimant discr\u00e8tement la conversation. La suppression peut \u00eatre utile selon l\u2019outil, mais elle ne permet pas \u00e0 elle seule de conclure que l\u2019information n\u2019a pas \u00e9t\u00e9 conserv\u00e9e, journalis\u00e9e ou trait\u00e9e.<\/p>\n<div class=\"guide-table-wrap\">\n<table>\n<thead>\n<tr>\n<th>Moment<\/th>\n<th>Action<\/th>\n<th>Trace minimale<\/th>\n<th>\u00c0 \u00e9viter<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td><strong>0 \u00e0 5 minutes<\/strong><\/td>\n<td>Arr\u00eater la conversation et ne plus ajouter d\u2019information.<\/td>\n<td>Heure, outil, type de compte et nature g\u00e9n\u00e9rale de la saisie.<\/td>\n<td>Continuer pour \u00ab corriger \u00bb le message ou exposer davantage de contexte.<\/td>\n<\/tr>\n<tr>\n<td><strong>5 \u00e0 15 minutes<\/strong><\/td>\n<td>Pr\u00e9venir le contact interne pr\u00e9vu par la proc\u00e9dure.<\/td>\n<td>Canal utilis\u00e9, personne pr\u00e9venue et disponibilit\u00e9 des \u00e9l\u00e9ments factuels.<\/td>\n<td>Attendre la fin de journ\u00e9e ou chercher seul une qualification juridique.<\/td>\n<\/tr>\n<tr>\n<td><strong>15 \u00e0 30 minutes<\/strong><\/td>\n<td>Pr\u00e9server les faits utiles et appliquer les premi\u00e8res consignes re\u00e7ues.<\/td>\n<td>Cat\u00e9gories de donn\u00e9es, personnes ou projets potentiellement concern\u00e9s, actions r\u00e9alis\u00e9es.<\/td>\n<td>Effacer les preuves n\u00e9cessaires avant instruction ou diffuser l\u2019incident \u00e0 des personnes non concern\u00e9es.<\/td>\n<\/tr>\n<tr>\n<td><strong>Apr\u00e8s 30 minutes<\/strong><\/td>\n<td>L\u2019\u00e9quipe comp\u00e9tente qualifie, limite l\u2019exposition et d\u00e9cide des suites.<\/td>\n<td>Mesures prises, risques examin\u00e9s, d\u00e9cisions, responsables et \u00e9ch\u00e9ances.<\/td>\n<td>Conclure automatiquement que toute saisie impose une notification externe.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<p>Si un secret d\u2019acc\u00e8s a \u00e9t\u00e9 transmis, la rotation ou la r\u00e9vocation peut devenir prioritaire. Si un document contractuel est concern\u00e9, les engagements envers le client ou le partenaire doivent \u00eatre examin\u00e9s. Si des donn\u00e9es personnelles sont impliqu\u00e9es, l\u2019entreprise doit documenter et analyser la situation selon son r\u00f4le et les risques r\u00e9els.<\/p>\n<h2 id=\"qualifier-incident\">Incident interne ou violation de donn\u00e9es personnelles ?<\/h2>\n<p>Toute erreur de saisie m\u00e9rite d\u2019\u00eatre signal\u00e9e, mais toute erreur n\u2019est pas automatiquement une violation de donn\u00e9es personnelles \u00e0 notifier. La CNIL d\u00e9finit la violation comme une atteinte accidentelle ou illicite \u00e0 la disponibilit\u00e9, l\u2019int\u00e9grit\u00e9 ou la confidentialit\u00e9 de donn\u00e9es personnelles. Le responsable du traitement appr\u00e9cie ensuite les risques pour les droits et libert\u00e9s des personnes.<\/p>\n<div class=\"guide-table-wrap\">\n<table>\n<thead>\n<tr>\n<th>Question de qualification<\/th>\n<th>Exemple<\/th>\n<th>Suite documentaire possible<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Des donn\u00e9es personnelles \u00e9taient-elles pr\u00e9sentes ?<\/td>\n<td>Nom, email, dossier RH, commentaire permettant d\u2019identifier une personne.<\/td>\n<td>D\u00e9crire les cat\u00e9gories et le volume approximatif concern\u00e9s.<\/td>\n<\/tr>\n<tr>\n<td>La confidentialit\u00e9, l\u2019int\u00e9grit\u00e9 ou la disponibilit\u00e9 a-t-elle \u00e9t\u00e9 affect\u00e9e ?<\/td>\n<td>Divulgation \u00e0 un service non autoris\u00e9, alt\u00e9ration ou perte d\u2019acc\u00e8s.<\/td>\n<td>Consigner les circonstances et les mesures imm\u00e9diates.<\/td>\n<\/tr>\n<tr>\n<td>Quels risques existent pour les personnes ?<\/td>\n<td>Usurpation, discrimination, atteinte \u00e0 la r\u00e9putation ou perte de contr\u00f4le.<\/td>\n<td>\u00c9valuer la probabilit\u00e9, la gravit\u00e9 et les protections d\u00e9j\u00e0 pr\u00e9sentes.<\/td>\n<\/tr>\n<tr>\n<td>Une obligation contractuelle ou sectorielle s\u2019ajoute-t-elle ?<\/td>\n<td>Clause client, secret professionnel, proc\u00e9dure de s\u00e9curit\u00e9 ou exigence m\u00e9tier.<\/td>\n<td>Mobiliser le responsable comp\u00e9tent et v\u00e9rifier les d\u00e9lais applicables.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<p>Lorsqu\u2019une violation de donn\u00e9es personnelles est susceptible d\u2019engendrer un risque pour les droits et libert\u00e9s, le RGPD pr\u00e9voit une notification \u00e0 la CNIL dans les meilleurs d\u00e9lais et, si possible, dans les 72 heures apr\u00e8s en avoir pris connaissance. En cas de risque \u00e9lev\u00e9, l\u2019information des personnes peut aussi \u00eatre requise. Cette d\u00e9cision suppose une analyse men\u00e9e par l\u2019organisation ; elle ne doit pas \u00eatre automatis\u00e9e \u00e0 partir du seul mot \u00ab IA \u00bb.<\/p>\n<h2 id=\"roles-incident\">Qui fait quoi dans une petite organisation ?<\/h2>\n<div class=\"guide-table-wrap\">\n<table>\n<thead>\n<tr>\n<th>R\u00f4le<\/th>\n<th>Responsabilit\u00e9 pratique<\/th>\n<th>Question \u00e0 pr\u00e9parer<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Salari\u00e9 ou prestataire<\/td>\n<td>Arr\u00eater, d\u00e9crire factuellement et alerter sans d\u00e9lai inutile.<\/td>\n<td>Quel outil, quel compte, quelles donn\u00e9es et \u00e0 quelle heure ?<\/td>\n<\/tr>\n<tr>\n<td>Manager ou r\u00e9f\u00e9rent IA<\/td>\n<td>Centraliser les faits, v\u00e9rifier l\u2019usage autoris\u00e9 et \u00e9viter la r\u00e9p\u00e9tition.<\/td>\n<td>La proc\u00e9dure et les exemples \u00e9taient-ils compris ?<\/td>\n<\/tr>\n<tr>\n<td>R\u00e9f\u00e9rent s\u00e9curit\u00e9 ou informatique<\/td>\n<td>Limiter l\u2019exposition technique, pr\u00e9server les traces et traiter les secrets compromis.<\/td>\n<td>Quels acc\u00e8s, journaux, r\u00e9glages ou comptes doivent \u00eatre examin\u00e9s ?<\/td>\n<\/tr>\n<tr>\n<td>DPO, conseil ou responsable d\u00e9sign\u00e9<\/td>\n<td>Appr\u00e9cier les enjeux de donn\u00e9es personnelles et les obligations \u00e9ventuelles.<\/td>\n<td>Quel est le r\u00f4le de l\u2019entreprise et quel risque existe pour les personnes ?<\/td>\n<\/tr>\n<tr>\n<td>Direction<\/td>\n<td>Arbitrer les moyens, la communication et les mesures correctives.<\/td>\n<td>Faut-il suspendre l\u2019outil, l\u2019usage ou seulement modifier les conditions ?<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<p>Dans une tr\u00e8s petite structure, une personne peut cumuler plusieurs r\u00f4les. L\u2019essentiel est que le canal d\u2019alerte, le rempla\u00e7ant en cas d\u2019absence et la personne capable de d\u00e9cider soient connus avant l\u2019incident.<\/p>\n<h2 id=\"deployer\">D\u00e9ployer les r\u00e9flexes en trente jours<\/h2>\n<ol>\n<li><strong>Semaine 1 \u2014 choisir les exemples.<\/strong> Recueillez cinq situations fr\u00e9quentes : devis, CV, ticket support, export commercial et extrait de code. Utilisez des cas fictifs pour la sensibilisation.<\/li>\n<li><strong>Semaine 2 \u2014 fixer le filtre et le canal d\u2019alerte.<\/strong> Publiez les quatre questions, les niveaux de donn\u00e9es et un contact simple. V\u00e9rifiez que ce contact dispose d\u2019un relais.<\/li>\n<li><strong>Semaine 3 \u2014 faire pratiquer.<\/strong> Demandez aux \u00e9quipes de classer, r\u00e9duire et reformuler chaque cas. Une s\u00e9quence de vingt minutes est souvent plus utile qu\u2019une pr\u00e9sentation abstraite.<\/li>\n<li><strong>Semaine 4 \u2014 tester l\u2019incident.<\/strong> Simulez une saisie accidentelle sans donn\u00e9e r\u00e9elle : qui est pr\u00e9venu, quelles informations remontent et qui d\u00e9cide de la suite ?<\/li>\n<\/ol>\n<p>Conservez la version du support, la date, le public concern\u00e9, les exemples trait\u00e9s et les questions soulev\u00e9es. Ces traces documentent une action p\u00e9dagogique ; elles ne constituent pas un avis juridique et ne prouvent pas l\u2019ach\u00e8vement d\u2019une formalit\u00e9 r\u00e9glementaire.<\/p>\n<p><strong>Pour prolonger la d\u00e9marche :<\/strong> transformez ces r\u00e9flexes en <a href=\"https:\/\/capiaresponsable.fr\/blog\/chatgpt-entreprise-regles-salaries\/\">r\u00e8gles simples pour l\u2019usage de ChatGPT en entreprise<\/a>, utilisez la grille pour <a href=\"https:\/\/capiaresponsable.fr\/blog\/choisir-outil-ia-donnees-pme\/\">choisir un outil d\u2019IA<\/a>, puis inscrivez le canal d\u2019alerte et les d\u00e9cisions dans une <a href=\"https:\/\/capiaresponsable.fr\/blog\/politique-ia-interne-pme\/\">politique IA interne adapt\u00e9e \u00e0 la PME<\/a>.<\/p>\n<h2 id=\"checklist\">Checklist avant de valider une saisie<\/h2>\n<div class=\"guide-checklist\">\n<ul>\n<li>L\u2019usage et l\u2019outil sont identifi\u00e9s et autoris\u00e9s.<\/li>\n<li>Le compte utilis\u00e9 correspond au cadre pr\u00e9vu par l\u2019entreprise.<\/li>\n<li>Aucun secret d\u2019acc\u00e8s ni lien priv\u00e9 n\u2019est pr\u00e9sent.<\/li>\n<li>Les identifiants directs et indirects inutiles sont retir\u00e9s.<\/li>\n<li>Le document est r\u00e9duit au seul extrait n\u00e9cessaire.<\/li>\n<li>Les pi\u00e8ces jointes, m\u00e9tadonn\u00e9es, onglets et historiques sont v\u00e9rifi\u00e9s.<\/li>\n<li>Un exemple fictif ne permettrait pas d\u2019obtenir le m\u00eame r\u00e9sultat.<\/li>\n<li>Le contact \u00e0 pr\u00e9venir en cas d\u2019erreur est connu.<\/li>\n<\/ul>\n<\/div>\n<div class=\"guide-cta\">\n<div><span>Support gratuit<\/span><\/p>\n<h2>Donnez le filtre anti-fuite \u00e0 vos \u00e9quipes<\/h2>\n<p>Le support r\u00e9unit la classification, les douze gestes, des cas pratiques et une premi\u00e8re fiche de r\u00e9action \u00e0 incident.<\/p>\n<\/div>\n<p>    <a class=\"button\" href=\"https:\/\/capiaresponsable.fr\/guide\/12-gestes-anti-fuite-donnees-ia\">Recevoir le guide<\/a>\n<\/div>\n<section class=\"article-faq\" id=\"faq-anti-fuite\" aria-labelledby=\"faq-anti-fuite-titre\">\n<h2 id=\"faq-anti-fuite-titre\">Questions fr\u00e9quentes sur les fuites de donn\u00e9es et l\u2019IA<\/h2>\n<details>\n<summary>Peut-on utiliser une IA avec des donn\u00e9es internes ?<\/summary>\n<p>Cela d\u00e9pend de la nature des donn\u00e9es, de la finalit\u00e9, de l\u2019outil, du compte, des r\u00e9glages et des conditions applicables. Commencez par minimiser les informations et n\u2019utilisez un contenu confidentiel que dans un environnement express\u00e9ment \u00e9valu\u00e9 et autoris\u00e9 pour cet usage.<\/p>\n<\/details>\n<details>\n<summary>Supprimer les noms suffit-il \u00e0 anonymiser un document ?<\/summary>\n<p>Non. Une combinaison de fonction, date, lieu, \u00e9v\u00e9nement ou num\u00e9ro de dossier peut permettre de reconna\u00eetre une personne. Retirez aussi les d\u00e9tails rares et v\u00e9rifiez si l\u2019information reste identifiable dans son contexte.<\/p>\n<\/details>\n<details>\n<summary>Un compte professionnel emp\u00eache-t-il toute r\u00e9utilisation des donn\u00e9es ?<\/summary>\n<p>Pas automatiquement. Les engagements d\u00e9pendent du fournisseur, de l\u2019offre, des r\u00e9glages et des documents contractuels actuels. Ces \u00e9l\u00e9ments doivent \u00eatre v\u00e9rifi\u00e9s avant d\u2019autoriser l\u2019usage.<\/p>\n<\/details>\n<details>\n<summary>Peut-on copier un contrat pour demander un r\u00e9sum\u00e9 ?<\/summary>\n<p>Pas dans un outil non valid\u00e9 pour recevoir ce contrat. Utilisez plut\u00f4t des clauses fictives, un extrait expurg\u00e9 ou un environnement dont les conditions et mesures ont \u00e9t\u00e9 examin\u00e9es pour cet usage pr\u00e9cis.<\/p>\n<\/details>\n<details>\n<summary>Que faire si un salari\u00e9 a d\u00e9j\u00e0 transmis une information sensible ?<\/summary>\n<p>Il doit arr\u00eater la conversation, noter les faits et pr\u00e9venir rapidement le contact interne d\u00e9sign\u00e9. L\u2019entreprise pourra alors qualifier la situation et d\u00e9cider des mesures adapt\u00e9es sans se fonder uniquement sur la suppression apparente du message.<\/p>\n<\/details>\n<details>\n<summary>Toute erreur doit-elle \u00eatre notifi\u00e9e \u00e0 la CNIL sous 72 heures ?<\/summary>\n<p>Non. L\u2019organisation doit d\u2019abord d\u00e9terminer si des donn\u00e9es personnelles ont subi une violation et appr\u00e9cier les risques pour les personnes. Une notification \u00e0 la CNIL est requise lorsque la violation est susceptible d\u2019engendrer un risque ; le d\u00e9lai court \u00e0 partir de la prise de connaissance selon les conditions pr\u00e9vues par le RGPD.<\/p>\n<\/details>\n<\/section>\n<h2 id=\"sources\">Sources officielles consult\u00e9es<\/h2>\n<ul class=\"official-sources\">\n<li><a href=\"https:\/\/www.cnil.fr\/fr\/utiliser-lia-generative-dans-les-tpe-et-pme\">CNIL \u2014 Utiliser l\u2019IA g\u00e9n\u00e9rative dans les TPE et PME<\/a>.<\/li>\n<li><a href=\"https:\/\/cnil.fr\/fr\/les-questions-reponses-de-la-cnil-sur-lutilisation-dun-systeme-dia-generative\">CNIL \u2014 Questions-r\u00e9ponses sur l\u2019utilisation d\u2019un syst\u00e8me d\u2019IA g\u00e9n\u00e9rative<\/a>.<\/li>\n<li><a href=\"https:\/\/www.cnil.fr\/fr\/guide-de-la-securite-des-donnees-personnelles\">CNIL \u2014 Guide de la s\u00e9curit\u00e9 des donn\u00e9es personnelles<\/a>.<\/li>\n<li><a href=\"https:\/\/www.cnil.fr\/fr\/securite-gerer-les-incidents-et-les-violations\">CNIL \u2014 S\u00e9curit\u00e9 : g\u00e9rer les incidents et les violations<\/a>.<\/li>\n<li><a href=\"https:\/\/messervices.cyber.gouv.fr\/guides\/recommandations-de-securite-pour-un-systeme-dia-generative\">ANSSI \u2014 Recommandations de s\u00e9curit\u00e9 pour un syst\u00e8me d\u2019IA g\u00e9n\u00e9rative<\/a>.<\/li>\n<li><a href=\"https:\/\/www.cnil.fr\/fr\/cepd-ia-generative-chaines-blocs\">CNIL \u2014 Le CEPD met en lumi\u00e8re l\u2019anonymisation dans le contexte de l\u2019IA g\u00e9n\u00e9rative, 9 juillet 2026<\/a>.<\/li>\n<\/ul>\n<p><small>Sources relues le 31 ao\u00fbt 2026. Les fonctions, r\u00e9glages et conditions des fournisseurs \u00e9voluent : v\u00e9rifiez les documents actuels avant de valider un usage.<\/small><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Classification, minimisation, douze gestes et fiche des trente premi\u00e8res minutes pour \u00e9viter et traiter une saisie accidentelle.<\/p>\n","protected":false},"author":0,"featured_media":58,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-7","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-non-classe"],"_links":{"self":[{"href":"https:\/\/capiaresponsable.fr\/blog\/wp-json\/wp\/v2\/posts\/7","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/capiaresponsable.fr\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/capiaresponsable.fr\/blog\/wp-json\/wp\/v2\/types\/post"}],"replies":[{"embeddable":true,"href":"https:\/\/capiaresponsable.fr\/blog\/wp-json\/wp\/v2\/comments?post=7"}],"version-history":[{"count":3,"href":"https:\/\/capiaresponsable.fr\/blog\/wp-json\/wp\/v2\/posts\/7\/revisions"}],"predecessor-version":[{"id":57,"href":"https:\/\/capiaresponsable.fr\/blog\/wp-json\/wp\/v2\/posts\/7\/revisions\/57"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/capiaresponsable.fr\/blog\/wp-json\/wp\/v2\/media\/58"}],"wp:attachment":[{"href":"https:\/\/capiaresponsable.fr\/blog\/wp-json\/wp\/v2\/media?parent=7"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/capiaresponsable.fr\/blog\/wp-json\/wp\/v2\/categories?post=7"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/capiaresponsable.fr\/blog\/wp-json\/wp\/v2\/tags?post=7"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}