Que deviennent vos données ?
Lorsque vous écrivez à un chatbot ou téléversez une image, votre contenu peut être : stocké, utilisé pour améliorer le modèle, examiné par des humains pour la modération, transmis à des sous-traitants ou à un autre pays. Les conditions varient selon le service et la formule (gratuit, pro, entreprise).
Les principaux risques
- Fuite de données sensibles — informations médicales, juridiques, professionnelles confidentielles.
- Mémorisation des modèles — un LLM peut, dans de rares cas, restituer des données vues à l'entraînement.
- Hameçonnage augmenté — l'IA permet des attaques personnalisées à grande échelle.
- Empoisonnement — manipulation des données d'entraînement pour piéger un modèle.
- Injections de prompt — détournement d'un agent IA via des instructions cachées dans un contenu externe.
- Deepfakes — usurpation d'identité par image, voix ou vidéo.
- Agents et navigateurs IA — un assistant qui lit vos pages, vos courriels ou vos fichiers peut être détourné par une consigne cachée dans un site visité, et agir à votre place (achat, envoi, suppression).
- Fuites par extensions et connecteurs — brancher une IA sur votre messagerie ou votre cloud élargit d'autant la surface d'exposition en cas de compromission du fournisseur.
Bonnes pratiques pour les utilisateurs
- Ne jamais transmettre de données sensibles (santé, mots de passe, numéros bancaires) à un chatbot grand public.
- Désactiver, quand c'est possible, l'utilisation de vos conversations pour l'entraînement.
- Privilégier les offres « entreprise » ou souveraines pour les usages professionnels.
- Vérifier les informations produites (sources, dates, citations).
- Activer la double authentification, vérifier l'expéditeur d'un message inattendu.
- Limiter les autorisations accordées aux agents IA (lecture seule quand c'est possible) et exiger une confirmation avant toute action irréversible.
- Convenir d'un mot de passe familial oral pour déjouer les appels frauduleux imitant la voix d'un proche.
Bonnes pratiques pour les organisations
- Charte d'usage de l'IA, formation des équipes.
- Cartographie des données traitées par les outils IA (registre RGPD).
- Contrats clairs avec les fournisseurs (sous-traitance, localisation).
- Tests d'intrusion (red teaming) sur les systèmes IA déployés.
- Plans de réponse en cas d'incident impliquant un système d'IA.
- Inventaire de l'« IA fantôme » : outils utilisés par les équipes sans validation de la direction.
- Journalisation des actions des agents autonomes et principe du moindre privilège pour leurs accès.
Cadre légal
En Europe, le RGPD encadre tout traitement de données personnelles par une IA. L'AI Act ajoute des obligations propres aux systèmes à risque, dont la transparence des contenus générés à partir d'août 2026, et impose depuis février 2025 une exigence de formation des personnels à l'IA. La CNIL publie régulièrement des recommandations spécifiques (entraînement des modèles, bases légales, fiches pratiques pour les développeurs), et la directive NIS 2 renforce en parallèle les obligations de cybersécurité des organisations concernées.