IA et données personnelles : que sait vraiment l'IA de vous ?

Intelligence artificielle et données personnelles : la question que tout le monde finit par se poser

Chaque jour, dans les entreprises, des collaborateurs confient à un outil d'IA des choses qu'ils garderaient pour eux au bureau. Des questions médicales. Des soucis d'argent. Des brouillons de courriels qu'ils hésitent à envoyer.

La question qui suit est légitime : que sait réellement une IA à mon sujet ? Se souvient-elle de ce que je lui ai dit la semaine dernière ? Quelqu'un lit-il mes conversations ? Vais-je recevoir de la publicité en fonction de ce que je viens de demander ?

Anthropic, la société qui édite Claude, a publié une vidéo pédagogique qui répond point par point à ces questions. Zoe, de l'équipe éducation d'Anthropic, y détaille ce qui se passe quand vous partagez une information avec une IA. Nous en reprenons ici l'intégralité du raisonnement, en français, et nous y ajoutons ce que cela implique concrètement pour une organisation belge qui travaille avec un ERP.

Une précision d'emblée, formulée par Anthropic elle-même : ce raisonnement vaut quel que soit l'outil que vous utilisez, Claude ou un autre. Les politiques varient d'un fournisseur à l'autre, donc vérifiez toujours les modalités propres à l'outil que vous choisissez.

IA et données personnelles : où, pourquoi, combien de temps

Voici la manière dont Anthropic propose d'aborder le sujet. Vous devriez pouvoir voir et contrôler ce que votre fournisseur d'IA conserve à votre sujet. Ce qui compte, c'est de savoir où vos données vont, pourquoi, et combien de temps elles restent.

Une partie de ce que vous partagez vit uniquement le temps de la conversation. Une partie persiste pour améliorer votre expérience du produit. Une petite partie peut améliorer l'expérience des autres utilisateurs. Et à chaque étape du parcours, il devrait exister un réglage qui vous laisse la main.

Prenons un détail que vous pourriez partager, et demandons-nous ce qu'il devient une fois la conversation fermée.

Imaginez que vous cherchez un cadeau d'anniversaire et que vous écrivez à une IA : « Mon conjoint adore la randonnée et nous habitons près de Denver, des idées ? » Pendant toute la durée de cet échange, l'IA travaille avec ces éléments : votre conjoint, son goût pour la randonnée, votre proximité avec Denver.

Ces éléments peuvent ensuite emprunter quatre chemins.

Les quatre destinations d'une information confiée à une IA.

Chemin n° 1 : la conversation elle-même

Le premier usage, c'est la conversation en cours.

Pris isolément, le modèle conserve le contexte uniquement pour la durée de cette conversation. Ouvrez un nouvel échange demain, et la conversation repart d'une page blanche. Livré à lui-même, le modèle ignore tout des goûts de votre conjoint.

Votre levier de contrôle est ici d'une grande simplicité : l'IA connaît uniquement ce que vous choisissez de placer devant elle.

Chemin n° 2 : la mémoire du produit

Le deuxième usage, c'est la mémoire du produit.

De nombreux outils d'IA enregistrent des détails d'une conversation à l'autre. Il s'agit d'une mémoire du produit, distincte du modèle lui-même : ce sont des éléments sauvegardés dans votre compte, auxquels le modèle accède quand vous démarrez un nouvel échange.

Selon le produit, cette mémoire est active par défaut ou bien à activer vous-même. Résultat : la semaine suivante, l'outil peut intégrer le goût de votre conjoint pour la randonnée dans une conversation consacrée à des idées de week-end.

Dans la plupart des produits, vous pouvez modifier cette mémoire, l'effacer, ou la désactiver entièrement.

Chemin n° 3 : les systèmes du fournisseur

Le troisième usage, ce sont les systèmes propres au fournisseur.

La confidentialité des données en IA se joue largement ici. Les politiques de confidentialité des fournisseurs autorisent fréquemment un usage des données pour maintenir le service en fonctionnement, pour l'examen des questions de sécurité et d'abus, pour la correction de bugs, pour la recherche, pour des finalités commerciales telles que la diffusion de publicité, et, le cas échéant, pour l'amélioration du modèle.

À ce stade, vous fermez la conversation et vos informations restent chez le fournisseur. La façon dont cet accès est encadré dépend du fournisseur. Le réflexe fiable consiste donc à consulter la politique de confidentialité et les réglages de conservation des données.

Chemin n° 4 : l'entraînement des futurs modèles

Le quatrième usage, c'est l'entraînement des futurs modèles.

Certains fournisseurs peuvent utiliser les conversations pour améliorer la version suivante d'un modèle. Les données personnelles sont généralement retirées des conversations avant leur utilisation pour l'entraînement, et vos conversations restent extérieures au modèle, inaccessibles aux autres utilisateurs.

Une fois la conversation fermée, votre détail cesse d'exister sous la forme de vos mots exacts : il devient un motif.

Là où des fournisseurs entraînent leurs futurs modèles sur les conversations, beaucoup vous laissent la possibilité de vous y soustraire.

Ce que cela signifie en pratique

L'élément rassurant, c'est que vous gardez la main.

La politique de confidentialité d'un fournisseur décrit la manière dont vos données sont utilisées, et vous pouvez consulter les paramètres du produit pour y trouver des réglages complémentaires. Anthropic indique travailler à rendre ces choix simples à comprendre. Et lorsqu'une organisation déploie Claude, l'entraînement du modèle est désactivé par défaut, ce réglage est donc déjà en place pour vous.

Quatre réflexes pour garder le contrôle

Anthropic propose quatre habitudes qui rendent tout cela plus simple.

Un : accordez quelques minutes à vos réglages. La mémoire, l'historique des conversations, les applications connectées et le bouton d'entraînement se trouvent généralement dans les paramètres de votre compte ou de confidentialité. C'est là que vous découvrirez ce qui est enregistré et la façon dont c'est utilisé.

Deux : partagez selon votre propre niveau de confort, plutôt que selon une règle uniforme. Avant de partager quelque chose, pensez à ses usages possibles : dans la conversation, dans la mémoire enregistrée du produit, ou dans un futur cycle d'entraînement.

Trois : laissez de côté ce avec quoi vous êtes mal à l'aise. Si vous utilisez une IA pour reformuler un courriel, elle peut faire un excellent travail à partir d'un nom fictif pour le destinataire. Remplacez-le par un espace réservé, et vous obtiendrez la même valeur.

Quatre : accordez le produit à la sensibilité des données. Pour les usages quotidiens, la version grand public convient généralement. Pour des données confidentielles ou réglementées au travail, tournez-vous vers les offres business ou entreprise : elles s'accompagnent souvent de conditions de traitement des données différentes, que vous pouvez confirmer dans la documentation du produit.

Alors, que sait l'IA de vous ?

Sur l'instant et par défaut, elle sait ce que vous avez placé dans la conversation. Au-delà, la durabilité de cette information dépend des réglages par défaut du produit et des choix que vous posez dans les paramètres.

Quelques minutes en amont, associées à un usage réfléchi, vous garantissent de rester maître de vos informations.

Le prolongement Idealis : RGPD et intelligence artificielle dans votre système de gestion

La vidéo d'Anthropic raisonne à l'échelle d'un utilisateur. La question des données personnelles en entreprise se pose alors autrement, et c'est celle qui nous occupe chez nos clients : par où la donnée sort-elle de votre système de référence ?

Le scénario est toujours le même. Un commercial exporte une liste de comptes depuis Odoo pour faire rédiger une relance. Un responsable RH copie un extrait de dossier collaborateur pour reformuler une évaluation. Un contrôleur de gestion colle un tableau de marges pour obtenir une synthèse. Un juriste soumet un extrait de contrat pour en tirer un résumé. À chaque fois, une donnée gouvernée dans l'ERP se retrouve dans un outil qui suit d'autres règles.

Quatre réflexes de gouvernance des données découlent directement des quatre chemins décrits plus haut.

Cartographiez les sorties de données avant d'écrire une charte. La grille des quatre destinations offre un langage commun à vos équipes métier, à votre IT, à votre DPO et à votre direction. Elle transforme une conversation abstraite sur « les risques de l'IA » en un inventaire concret des réglages à poser.

Distinguez les comptes personnels des comptes professionnels. Un abonnement grand public souscrit à titre privé et utilisé sur des données clients place votre organisation dans une position délicate, puisque les conditions de traitement des données du contrat grand public s'appliquent à votre patrimoine informationnel.

Inscrivez le réglage d'entraînement dans votre check-list de déploiement. La grille ci-dessus vaut pour chaque nouvel outil que vos équipes adoptent, et le moment de poser ce réglage se situe à l'ouverture du compte, plutôt qu'au premier incident.

Traitez la formation comme une obligation, parce qu'elle en est une. L'article 4 du règlement européen sur l'intelligence artificielle, l'AI Act, impose depuis le 2 février 2025 un niveau suffisant de maîtrise de l'IA aux organisations qui déploient ces systèmes. Une session d'une heure sur les quatre destinations des données couvre une part appréciable de cette exigence.

En Belgique, votre interlocuteur pour la protection des données personnelles dans vos usages de l'IA reste l'Autorité de protection des données, l'architecture de supervision prévue par le règlement européen sur l'IA restant en cours de finalisation dans la loi belge.

Questions fréquentes

Un assistant IA utilise-t-il mes conversations pour entraîner ses modèles ?

Cela dépend du fournisseur et de l'offre souscrite. Comme le rappelle la vidéo d'Anthropic, certains fournisseurs utilisent les conversations pour améliorer la version suivante d'un modèle, en retirant généralement les données personnelles au préalable, et proposent un réglage pour s'y soustraire. Chez Claude, l'entraînement est désactivé par défaut dès qu'une organisation déploie l'outil.

Quelle différence entre une offre IA grand public et une offre entreprise sur le plan du RGPD ?

Les offres business et entreprise s'accompagnent de conditions de traitement des données distinctes, généralement assorties d'un accord de sous-traitance au sens de l'article 28 du RGPD, d'engagements de conservation spécifiques, de garanties de sécurité et de l'exclusion de l'entraînement. Confirmez ces éléments dans la documentation du produit.

Le compte gratuit d'un collaborateur engage-t-il la responsabilité de l'entreprise ?

Dès lors que des données personnelles dont votre organisation est responsable de traitement transitent par cet outil, votre organisation reste responsable de leur traitement. C'est la raison pour laquelle l'encadrement des comptes personnels sur des usages professionnels mérite une place dans votre politique interne.

Combien de temps mes conversations sont-elles conservées ?

La durée dépend du fournisseur et du réglage d'entraînement retenu. Ces durées figurent dans la politique de confidentialité et dans les paramètres de conservation des données du produit.

Puis-je soumettre des données clients issues de mon ERP à un assistant IA ?

Techniquement oui, et c'est précisément pourquoi la question mérite d'être tranchée en amont. Accordez le niveau de sensibilité de la donnée au type de contrat souscrit, et privilégiez les espaces réservés lorsque l'identité réelle des personnes reste facultative pour obtenir un bon résultat.

Comment désactiver la mémoire de mon assistant IA ?

Dans la plupart des produits, la mémoire se modifie, s'efface ou se désactive entièrement depuis les paramètres du compte ou de confidentialité, au même endroit que l'historique des conversations, les applications connectées et le réglage d'entraînement.

Source de la partie pédagogique : Anthropic, « What does AI actually know about you? », chaîne Claude, 13 août 2026. Voir la vidéo