La question revient dans presque toutes les discussions avec des dirigeants de PME romandes. Un collaborateur gagne deux heures par semaine en faisant relire ses offres par une intelligence artificielle. Un autre lui fait résumer des comptes rendus. Quelqu’un finit par demander : est-ce qu’on a le droit ?
La réponse honnête n’est ni oui ni non. Elle dépend de ce que vous collez, et surtout du type de compte utilisé. Cet écart est mal connu, et c’est là que se joue l’essentiel.
Que devient réellement le texte que vous collez ?
Quand vous écrivez dans un outil d’IA générative, votre texte quitte votre ordinateur. Il part vers les serveurs du fournisseur, où il est traité, puis en général conservé un certain temps. Trois choses distinctes peuvent alors se produire, et il faut les séparer.
La conservation. Le fournisseur garde une trace de vos échanges, pour vous afficher votre historique et pour détecter les usages abusifs. Les durées varient fortement d’une offre à l’autre.
L’accès humain. Certains services indiquent qu’une partie des conversations peut être relue par des personnes, employés du fournisseur ou prestataires, afin d’évaluer la qualité des réponses. Google précise ainsi pour son application grand public qu’un sous-ensemble de conversations est examiné par des relecteurs humains, et déconseille explicitement d’y saisir des informations confidentielles.
L’entraînement. Vos contenus peuvent servir à améliorer les futurs modèles. C’est le point qui inquiète le plus, souvent pour la mauvaise raison : le risque n’est pas qu’un modèle recrache mot pour mot votre contrat devant un concurrent, ce serait très improbable. Il est plus simple. Vous avez transmis à un tiers, hors de votre contrôle, des informations que vous n’aviez pas le droit ou pas l’intention de diffuser.
Compte personnel ou offre professionnelle : où est la différence ?
C’est la distinction décisive, et elle est presque toujours ignorée.
Les principaux fournisseurs appliquent des règles différentes selon qu’il s’agit d’un compte grand public ou d’une offre destinée aux entreprises. Nous avons vérifié les politiques publiées en juillet 2026, en gardant à l’esprit qu’elles changent régulièrement.
Anthropic indique que, par défaut, les entrées et les sorties de ses produits commerciaux ne sont pas utilisées pour entraîner ses modèles, sauf si le client le demande explicitement. OpenAI documente de son côté que les données envoyées à son interface de programmation ne servent pas à entraîner ses modèles, sauf opt-in, avec une conservation par défaut limitée à des journaux de détection d’abus et des options de résidence régionale des données. Microsoft indique que les requêtes, les réponses et les données consultées par son assistant intégré à sa suite bureautique ne servent pas à entraîner les modèles de fondation, et que le trafic des utilisateurs de l’Union européenne reste dans la frontière européenne des données. À l’inverse, les offres grand public prévoient fréquemment une utilisation par défaut, avec un réglage à désactiver soi-même.
| Compte personnel gratuit | Offre professionnelle | |
|---|---|---|
| Entraînement sur vos contenus | Souvent activé par défaut, à désactiver soi-même | En principe exclu par défaut chez les grands fournisseurs |
| Contrat avec votre entreprise | Aucun, ce sont les conditions générales du collaborateur | Contrat au nom de l’entreprise, engagements écrits |
| Maîtrise des comptes | Aucune, le compte appartient à la personne | Comptes créés et supprimés par vous |
| Visibilité sur l’usage | Nulle | Administration centralisée |
| Localisation des données | Non choisie | Souvent paramétrable selon les offres |
Un employé qui utilise son compte personnel pour travailler transfère vos données sous un contrat auquel votre entreprise n'est pas partie. Quand il quitte la société, l'historique part avec lui, sur un compte que vous ne pouvez ni consulter ni fermer. Ce n'est pas l'intelligence artificielle qui crée le risque ici, c'est l'absence de cadre.
Ces politiques évoluent vite. Ne vous fiez pas à ce que vous avez lu il y a un an, ni à cet article dans deux ans : ouvrez la page du fournisseur avant de décider.
Ce que la loi suisse sur la protection des données exige
Dès que vous transmettez des données personnelles, c’est-à-dire toute information se rapportant à une personne identifiée ou identifiable, la loi fédérale sur la protection des données s’applique. Un nom de client dans un courriel en est une. Trois exigences méritent votre attention.
Le fournisseur devient votre sous-traitant. Confier un traitement à un tiers est prévu par la loi, à condition que ce tiers ne traite les données que comme vous auriez le droit de le faire vous-même, et que ce cadre soit contractuel. Une case cochée dans des conditions générales acceptées par un employé sur son compte privé ne remplit pas cette condition.
Les données partent souvent à l’étranger. Communiquer des données personnelles hors de Suisse suppose que l’État de destination assure une protection adéquate, selon la liste tenue par le Conseil fédéral, ou à défaut que des garanties appropriées soient mises en place, par exemple des clauses contractuelles types reconnues. Cette liste évolue : vérifiez-la au moment de choisir votre outil, plutôt que de vous fier à une affirmation générale.
Les données sensibles demandent davantage. Données de santé, données relatives à des poursuites, opinions religieuses ou syndicales, données biométriques : la loi les protège plus strictement. Un dossier médical, un certificat d’arrêt de travail ou un dossier de candidature détaillé n’ont, en règle générale, rien à faire dans un service d’IA grand public.
Ces principes sont détaillés dans notre article sur les obligations de la nLPD pour les PME. Pour un cas particulier, notamment si vous traitez des données de patients ou de personnes vulnérables, faites valider votre situation par un spécialiste.
Quels usages posent réellement problème ?
Tous les usages ne se valent pas. Voici comment les trier sans transformer la question en débat philosophique.
Sans risque particulier. Reformuler un texte que vous publieriez de toute façon, rédiger une annonce, expliquer une notion, écrire un modèle de courrier vide de tout nom.
À encadrer. Résumer un compte rendu de réunion interne, faire relire une offre commerciale, produire un tableau à partir de chiffres d’activité. Ces contenus sont confidentiels sans être forcément personnels. Ils justifient une offre professionnelle plutôt qu’un compte privé.
À éviter, sauf cadre contractuel vérifié. Coller un contrat client complet, un dossier du personnel, une liste de patients ou de bénéficiaires, un fichier de salaires, un dossier de litige, ou du code source qui contient vos secrets de fabrication ou, pire, des identifiants et des clés d’accès.
Une responsable des ressources humaines doit synthétiser douze entretiens annuels. Elle colle les comptes rendus complets, avec les noms, les appréciations et deux mentions d'arrêt maladie, dans un service gratuit ouvert avec son adresse privée. Le résumé est excellent et lui fait gagner une demi-journée. Elle vient pourtant de transmettre des données sensibles de douze collègues à un tiers, sans contrat, sans information des personnes concernées et sans que sa direction en sache rien. Personne n'a agi de mauvaise foi : la règle n'existait simplement pas.
Faut-il interdire l’IA dans son entreprise ?
L’interdiction pure est tentante. Elle est aussi la moins efficace des réponses, pour une raison observable partout : elle ne supprime pas l’usage, elle le rend invisible.
Un collaborateur qui gagne deux heures par semaine grâce à un outil ne va pas y renoncer parce qu’une note de service le lui demande. Il va l’utiliser depuis son téléphone personnel, sur son compte privé, sans en parler. Vous aurez alors réuni les deux pires conditions : le niveau de protection le plus faible, et aucune visibilité.
Le laisser-faire complet n’est pas meilleur. Il revient à espérer que chacun devine seul la limite entre un texte anodin et un dossier du personnel.
La voie praticable est au milieu : un outil désigné, dans une offre professionnelle, et quelques règles écrites que tout le monde comprend.
Une politique d’usage qui tient sur une page
Voici une trame que vous pouvez reprendre et adapter. Elle vise la clarté, pas l’exhaustivité juridique.
- Un outil autorisé, souscrit par l’entreprise. Choisissez-en un, dans une offre professionnelle, avec des comptes créés et supprimés par vous. Les comptes personnels pour un usage professionnel sont exclus.
- Une liste de ce qu’on n’y colle jamais. Données de santé, dossiers du personnel, contrats clients complets, fichiers de salaires, identifiants et mots de passe, code source sensible. Six lignes suffisent, écrivez-les.
- Le principe de l’anonymisation. Retirez les noms, les adresses et les numéros avant de coller. Un texte anonymisé donne presque toujours un aussi bon résultat.
- La relecture humaine obligatoire. Rien de ce que produit l’outil ne part à un client, à une assurance ou à une autorité sans qu’une personne l’ait lu et validé. Ces systèmes se trompent avec assurance.
- La règle de l’écran. Si vous n’afficheriez pas ce contenu sur un écran dans la salle d’attente, ne le collez pas. C’est le test le plus rapide, et vos équipes le retiennent.
- Un référent et un droit de poser des questions. Une personne à qui l’on peut demander « est-ce que je peux mettre ça ? » sans crainte d’être sanctionné.
N'ouvrez pas un nouveau classeur pour six règles. Ajoutez-les à votre charte informatique, que vos collaborateurs ont déjà signée, et faites-la circuler à nouveau. Une règle rattachée à un document connu se respecte bien mieux qu'une note isolée. Profitez-en pour revoir la section sur les comptes personnels et le stockage cloud, qui pose exactement le même problème.
Ce qu’une PME ne peut pas régler seule
Les six règles ci-dessus vous placent devant la grande majorité des entreprises suisses de votre taille, et elles écartent les erreurs les plus coûteuses. Elles ne suffisent pourtant pas à répondre à toutes les questions.
Trois zones demandent un regard extérieur. L’analyse de vos flux réels d’abord : quelles données circulent chez vous, lesquelles sont sensibles, lesquelles appartiennent à vos clients plutôt qu’à vous. Cette cartographie dépend de votre métier et n’existe dans aucune liste générique. La vérification contractuelle ensuite : lire ce que vous avez signé, et confirmer que le transfert à l’étranger repose sur une base valable. Les assistants intégrés à vos outils existants enfin, qui exposent à chaque collaborateur tout ce que ses droits lui permettent déjà d’atteindre. Si vos permissions n’ont jamais été révisées, le sujet rejoint directement la gestion des accès.
Ces mesures constituent un socle solide, elles ne remplacent pas l’examen de votre situation particulière.
Pour situer votre niveau général, le check-up cyber balaie en quelques minutes les domaines qui comptent. Et si votre préoccupation est la sortie de données hors de l’entreprise, notre article sur le vol de données traite les autres canaux, souvent plus banals que l’intelligence artificielle. Les mesures de base sont regroupées dans le pilier Bonnes pratiques.