IA en entreprise : où vont vraiment vos données ?

Deux mondes : compte personnel et contrat entreprise

Les grands éditeurs de LLM appliquent presque tous la même séparation : d’un côté les offres destinées aux particuliers, de l’autre les offres professionnelles et l’accès par API. Les règles d’entraînement et de conservation n’y sont pas les mêmes, et c’est cette ligne de partage qu’un dirigeant doit connaître.

Les offres grand public : l’entraînement par défaut

Chez OpenAI, la page d’aide sur l’usage des données pour l’entraînementpage d’aide sur l’usage des données pour l’entraînement l’écrit clairement : ChatGPT s’améliore en s’entraînant sur les conversations de ses utilisateurs, sauf s’ils s’y opposent dans leurs réglages. Chez Anthropic, la mise à jour des conditions grand public de Claudemise à jour des conditions grand public de Claude s’applique aux offres Free, Pro et Max : si l’utilisateur accepte l’usage de ses échanges pour l’entraînement, ils sont conservés jusqu’à cinq ans ; sinon, la durée reste de 30 jours. Chez Mistral AI, le centre d’aide de Mistralcentre d’aide de Mistral indique que les données des offres gratuites peuvent servir à l’entraînement, avec un droit d’opposition.

Aucun de ces éditeurs ne cache rien : tout est écrit. Le problème est qu’un salarié qui ouvre un compte personnel n’a ni lu ces pages, ni désactivé l’option, ni mesuré ce qu’il colle dans la fenêtre.

Les offres entreprise et l’API : pas d’entraînement par défaut

Côté professionnel, le principe s’inverse. La documentation d’OpenAI sur les données de l’APIdocumentation d’OpenAI sur les données de l’API précise que depuis le 1er mars 2023, les données envoyées à l’API ne servent pas à entraîner les modèles, sauf adhésion explicite. Les journaux de surveillance des abus sont conservés jusqu’à 30 jours, une option de conservation nulle existe sur validation, et un point d’accès européen permet le stockage et le traitement dans l’Espace économique européen, sous conditions. Anthropic, de son côté, n’utilise pas par défaut les données de ses offres commercialesn’utilise pas par défaut les données de ses offres commerciales (Claude for Work, API) pour l’entraînement. Mistral exclut ses clients Enterprise de l’entraînement par défaut.

Le shadow AI, vrai risque de la PME

Dans une PME, la fuite de données par l’IA ne vient presque jamais d’une faille chez l’éditeur. Elle vient du shadow AI : des salariés qui, faute d’outil fourni par l’entreprise, utilisent leur compte personnel pour gagner du temps. Ils ne font rien de malveillant ; ils résolvent un problème réel avec l’outil à portée de main. Interdire sans proposer d’alternative ne fait que rendre l’usage invisible.

La bonne réponse est symétrique : fournir un outil encadré qui rend le même service, et expliquer ce qu’on n’y met pas. C’est souvent le point de départ le plus rentable d’un projet d’IA, comme nous le décrivions dans pourquoi intégrer l’IA dans votre entreprisepourquoi intégrer l’IA dans votre entreprise.

IA et RGPD : ce que recommande la CNIL

Dès qu’un prompt contient des données personnelles (un nom de client, un dossier RH, un échange par e-mail), le RGPD s’applique comme pour n’importe quel traitement. La CNIL a publié en juillet 2024 ses questions-réponses sur l’utilisation d’un système d’IA générativeses questions-réponses sur l’utilisation d’un système d’IA générative. Le fil directeur est pragmatique : partir d’un besoin concret, puis encadrer les usages par une liste d’utilisations autorisées et interdites, par exemple ne pas fournir de données personnelles au système ou ne pas lui confier de prise de décision. Elle insiste aussi sur la formation des utilisateurs à ses limites, car une confiance excessive dans ses réponses conduit à des décisions erronées.

Pour les entreprises qui vont plus loin et développent leurs propres systèmes, la CNIL a complété ce socle par une série de fiches pratiques sur l’IAune série de fiches pratiques sur l’IA, finalisées en 2025, qui couvrent la finalité, la sécurité et l’annotation des données.

L’AI Act : le calendrier qui vous concerne

Le règlement européen sur l’intelligence artificielle s’applique par étapes. Selon la page de la Commission européenne consacrée à l’AI Actpage de la Commission européenne consacrée à l’AI Act, il est entré en vigueur le 1er août 2024, avec les interdictions et l’obligation de maîtrise de l’IA par les équipes au 2 février 2025, les règles des modèles à usage général au 2 août 2025, et les obligations de transparence en août 2026. Le paquet de simplification adopté en juillet 2026 a décalé les règles des systèmes à haut risque au 2 décembre 2027 pour des domaines comme l’emploi ou l’éducation.

Pour une PME qui utilise l’IA pour préparer des devis ou trier des e-mails, l’essentiel tient en deux points : former les personnes qui l’utilisent, et signaler clairement à un client ou un usager qu’il échange avec une machine quand c’est le cas. Les usages à haut risque, comme le tri automatisé de candidatures, appellent une analyse à part.

Ce qu’un agent sur-mesure fait différemment

Un agent construit pour votre entreprise ne change pas les modèles disponibles. Il change le chemin des données. Concrètement, quand nous concevons un agent IA sur-mesureagent IA sur-mesure, cinq décisions sont prises au cadrage, avant d’écrire la première ligne de code.

Ces choix s’appliquent quel que soit le degré d’autonomie de l’agent, du simple pré-remplissage à la boucle complète décrite dans notre article sur l’IA agentiquenotre article sur l’IA agentique. Pour les données de santé, une couche s’ajoute : l’hébergement certifié, détaillé dans notre guide sur l’hébergement HDSnotre guide sur l’hébergement HDS. Et si la question suivante est celle du budget, nous avons chiffré le coût d’un agent IA en productionle coût d’un agent IA en production.

C’est la même logique que tout ce que nous construisons chez pragma oncepragma once : un outil qui fait gagner du temps sans que personne ait à se demander où partent les données.