La liste de contrôle avant d’envoyer un message client à une IA
Un message client contient souvent un nom, une adresse, un numéro de dossier ou une plainte détaillée. Avant de le copier dans un outil d’IA, quelques vérifications rapides évitent une erreur difficile à corriger.
Cette liste aide à préparer les bonnes questions. Elle ne constitue pas un avis juridique : pour un cas précis, l’avis d’un professionnel du droit ou d’un délégué à la protection des données reste nécessaire.
- Le message identifie-t-il une personne (nom, contact, numéro de dossier) ? Si oui, ce sont des données personnelles au sens du RGPD.
- L’outil utilisé est-il un service grand public, ou un outil documenté pour l’entreprise, encadré par un contrat ? La réponse change ce qui arrive ensuite à la donnée.
- Le fournisseur peut-il réutiliser le contenu envoyé pour entraîner ses modèles ? Cette option se désactive parfois dans les réglages du compte.
- Combien de temps l’historique de cet échange reste-t-il accessible dans l’outil ? Une durée doit être fixée, même sans obligation légale précise.
- Qui, dans l’équipe, peut consulter ce message et la réponse produite ? Un accès qui ne sert à rien est un accès à retirer.
- Un document interne décrit-il ce qui peut être saisi dans l’outil, et ce qui ne le peut pas ? À défaut, chacun applique sa propre règle.
- Le client doit-il être informé qu’une IA a participé au traitement de sa demande ? La transparence reste due, même pour une aide interne.
Un message client n’est pas une note interne
Une note prise pour soi-même n’engage que son auteur. Un message client engage un tiers, qui n’a pas choisi l’outil utilisé pour traiter sa demande.
Ce message devient une donnée personnelle dès qu’il identifie une personne, directement ou indirectement. Le RGPD s’applique alors, quelle que soit la taille de l’entreprise.
En introduisant cette donnée dans un outil d’IA, l’entreprise agit comme « responsable de traitement » au sens du règlement. La CNIL le rappelle dans sa fiche destinée aux TPE et PME, consultée le 20 septembre 2026 : cette qualification entraîne des obligations, y compris le respect des droits de la personne concernée.
Le secret professionnel, quand il s’applique à votre activité, ajoute une prudence supplémentaire : un contenu couvert par ce secret ne se traite pas comme une information ordinaire.
- Note prise pour soiReste sous le contrôle de son auteur, sans tiers concerné.
- Message clientConcerne une autre personne, identifiée ou identifiable.
- RGPD applicableDès qu’une personne est identifiable, quelle que soit la taille de l’entreprise.
Ce que l’outil fait de la donnée après l’envoi
Un outil d’IA grand public et un outil documenté pour l’entreprise ne traitent pas un message client de la même façon.
Avec un service grand public, gratuit ou par abonnement individuel, le contenu saisi peut servir à entraîner de futurs modèles, sauf désactivation explicite dans les réglages du compte. La CNIL le formule ainsi : « Tout ce que vous entrez dans les requêtes ou partagez pourra être utilisé comme données d’entraînement pour l’IA dans les outils en ligne grand public » (fiche CNIL et France Num « Prendre les précautions indispensables à un usage responsable et sécurisé », novembre 2024, consultée le 20 septembre 2026).
Avec un outil documenté pour l’entreprise, un contrat encadre la prestation. Le prestataire agit comme sous-traitant au sens de l’article 28 du RGPD : il ne traite la donnée que sur instruction écrite du responsable de traitement, protège sa confidentialité, et doit la supprimer ou la restituer à la fin du contrat (RGPD, chapitre IV, tel que présenté par la CNIL, consulté le 20 septembre 2026).
Cette distinction ne se réduit pas au prix de l’outil. Elle porte sur l’engagement contractuel du fournisseur, vérifiable avant tout usage régulier avec des données de clients.
| Outil IA grand public | Outil documenté pour l’entreprise | |
|---|---|---|
| Réutilisation pour l’entraînement | Possible, sauf désactivation dans le compte | Exclue si le contrat le prévoit |
| Statut du fournisseur | Non défini par contrat | Sous-traitant au sens de l’article 28 du RGPD |
| Suppression des données en fin d’usage | Selon les réglages du compte | Prévue par le contrat |
Faites défiler le tableau pour comparer les colonnes
Un chatbot entreprise documenté sur vos données : l’accompagnement DodoIA
Où passent vos données : les trois cas à distinguer
Derrière le mot « IA », trois situations très différentes coexistent. Avant d’envoyer un message client, situez l’outil dans l’une d’elles : les questions à poser ne sont pas les mêmes.
Un hébergement en Europe ne règle pas tout à lui seul : il faut aussi un contrat qui encadre ce que le fournisseur fait de la donnée. À l’inverse, un modèle installé sur vos propres serveurs garde les messages chez vous, mais la sécurité, les mises à jour et les accès deviennent votre affaire.
| Cas | Où va le message | La question à poser avant l’envoi |
|---|---|---|
| Outil grand public (compte personnel) | Chez l’éditeur, selon ses conditions générales et les réglages du compte. | La réutilisation pour l’entraînement est-elle désactivée ? Sinon, n’y mettez aucune donnée client. |
| Outil professionnel hébergé chez un fournisseur, en Europe ou ailleurs | Chez le fournisseur, qui agit comme sous-traitant si un contrat le prévoit. | Le contrat (article 28 du RGPD) est-il signé, et où les données sont-elles hébergées ? |
| Assistant installé sur vos serveurs | Reste dans votre infrastructure ou chez votre hébergeur. | Qui maintient le serveur, gère les accès et applique les mises à jour de sécurité ? |
Faites défiler le tableau pour comparer les colonnes
Ce qui est conservé, et pour combien de temps
Un échange avec une IA laisse une trace : l’historique de conversation, parfois des journaux techniques.
Le RGPD n’impose pas de durée universelle. Il pose un principe : les données ne se conservent pas indéfiniment, seulement le temps nécessaire à l’objectif qui a justifié leur collecte (CNIL, page « Les durées de conservation des données », consultée le 20 septembre 2026).
Ce principe s’articule avec une exigence de minimisation : ne conserver que les informations utiles à cet objectif, pas l’ensemble d’un échange par confort (CNIL, définition « Minimisation », consultée le 20 septembre 2026).
Concrètement, cela suppose de savoir combien de temps l’outil garde l’historique, si ce délai peut être réduit, et de documenter la raison métier qui justifie la durée retenue.
| Question à poser | Pourquoi elle compte |
|---|---|
| Combien de temps l’historique reste-t-il accessible dans l’outil ? | Une donnée conservée sans raison devient un risque, pas un service. |
| Ce délai peut-il être réduit, ou l’historique désactivé ? | Certains outils documentés pour l’entreprise le permettent par réglage. |
| La durée retenue correspond-elle à un objectif métier écrit ? | La CNIL demande de documenter ce choix, pas seulement de le fixer. |
Faites défiler le tableau pour comparer les colonnes
Qui a accès au message, et ce qui doit être écrit
Un accès large à un outil d’IA n’est pas un problème en soi. L’absence de règle écrite en est un.
La CNIL et France Num recommandent un document interne décrivant ce que chaque collaborateur peut faire avec l’outil : comment l’utiliser, comment vérifier les résultats, quelles précautions prendre en matière de confidentialité (fiche « Prendre les précautions indispensables », novembre 2024, consultée le 20 septembre 2026).
Ce document peut tenir sur une page. Il gagne à nommer en clair les données interdites : noms de clients, coordonnées, numéros de dossier, informations couvertes par un secret professionnel.
Sur le plan technique, l’Agence nationale de la sécurité des systèmes d’information publie des recommandations de sécurité propres aux systèmes d’IA générative, utiles pour cadrer les comptes et les accès utilisés (cyber.gouv.fr, référencé par la fiche CNIL et France Num, consulté le 20 septembre 2026).
- Les usages autorisés de l’outil, et ceux qui restent interdits.
- Les données qui ne doivent jamais être saisies, nommées explicitement.
- La façon de vérifier une réponse avant de l’utiliser ou de la transmettre à un client.
- La personne à qui signaler un doute ou une erreur de saisie.
Modèle de charte IA : générer ce document interne en cinq minutes
Former l’équipe aux bons réflexes avant de généraliser l’usage
Ce qu’on dit au client, et ce que cette page ne remplace pas
Un client dont le message a été traité avec l’aide d’une IA n’a pas à le découvrir par hasard.
Le RGPD impose d’informer les personnes de l’usage fait de leurs données, de façon claire et accessible (CNIL, page « Informer les personnes », consultée le 20 septembre 2026). Dans la pratique, une phrase dans vos informations client suffit souvent, sans détailler chaque outil interne.
Cette page aide à préparer ces questions avant la mise en production d’un flux qui touche des données clients. Elle ne constitue pas un avis juridique et ne remplace pas l’avis d’un professionnel du droit ou d’un délégué à la protection des données, en particulier pour une activité réglementée.
| Cette page vous aide à | Elle ne remplace pas |
|---|---|
| Poser les bonnes questions avant d’envoyer une donnée client à une IA | Un avis juridique sur votre situation précise |
| Vérifier la conservation, l’accès et l’information du client | Un contrat de sous-traitance déjà négocié et conforme au RGPD |
| Préparer un échange avec un professionnel du droit ou un DPO | Une garantie de conformité totale |
Faites défiler le tableau pour comparer les colonnes
Voir comment un flux IA se cadre, étape par étape
On prend le temps d’expliquer.
Vos questions, des réponses concrètes.
Cette page est-elle un avis juridique ?
Non. Elle aide à préparer les bonnes questions avant d’envoyer une donnée client à une IA. Pour un cas précis, l’avis d’un professionnel du droit ou d’un délégué à la protection des données reste nécessaire.
Un message déjà envoyé à une IA grand public peut-il être retiré ?
Cela dépend du fournisseur et de ses conditions. Certains outils permettent de désactiver la réutilisation pour l’entraînement dans les réglages du compte. Effacer une conversation ne garantit pas toujours la suppression complète des journaux techniques : vérifiez la documentation du fournisseur avant de compter sur un retrait.
Un outil payant est-il automatiquement conforme au RGPD ?
Non. Le prix ne dit rien du statut du fournisseur. Ce qui compte est l’existence d’un contrat qui l’engage comme sous-traitant, avec des garanties documentées, quel que soit le tarif de l’outil.
Faut-il informer chaque client qu’une IA a participé au traitement de sa demande ?
Le RGPD impose d’informer les personnes de l’usage fait de leurs données, de façon claire et accessible. La forme peut être une mention générale dans vos informations client, sans détailler chaque outil utilisé en interne.