Selon le Blog du Modérateur, qui relaie le dernier classement de Surfshark, tous les assistants IA ne se valent pas quand il s'agit de données personnelles. Muse, l'agent IA de Meta, collecterait 31 types de données sur les 35 recensés. Ce qui en fait l'un des plus gourmands de la comparaison, qui met aussi en regard des outils comme ChatGPT et Claude.
Ce type de classement a ses limites. Il repose sur la méthode de l'éditeur du comparatif et sur les informations que les applications déclarent. Il ne dit pas ce que chaque outil fait réellement de ces données. Mais il pose une bonne question à tout dirigeant dont les équipes utilisent déjà l'IA : que savez-vous de ce qui quitte votre entreprise quand un collaborateur colle un texte dans un assistant ?
Cet article revient sur ce que signifie « collecter des données » dans ce contexte, sur les risques concrets pour une TPE ou une PME, et sur les réflexes simples à adopter.
Ce que recouvre la collecte de données d'un assistant IA
Quand on parle de données collectées, on pense d'abord aux conversations. C'est une partie du sujet, pas le tout. Les applications mobiles d'IA peuvent aussi recueillir des informations liées à votre identité, à votre appareil, à vos usages, à votre localisation ou à vos contacts, selon les autorisations que vous accordez.
Le classement de Surfshark compte 35 catégories de données possibles. Un outil qui en collecte 31 touche donc à presque tout : de quoi alimenter le profilage publicitaire ou l'amélioration des modèles. Les finalités varient d'un éditeur à l'autre, et c'est dans les conditions d'utilisation et la politique de confidentialité qu'il faut les chercher.
Deux points méritent d'être distingués :
- Les données collectées pour faire fonctionner le service : compte, abonnement, paiement, sécurité.
- Les données collectées pour d'autres usages : amélioration des modèles, statistiques, personnalisation, publicité selon les cas.
C'est surtout la seconde catégorie qui doit retenir l'attention d'une entreprise.
Pourquoi c'est un sujet pour une petite entreprise
Dans une TPE, l'usage de l'IA est rarement encadré. Un assistant administratif reformule un mail client. Un commercial résume un devis. Un dirigeant fait relire un contrat. Chaque fois, du contenu professionnel passe par un service tiers, souvent via un compte personnel et une version gratuite.
Les risques sont de trois ordres.
Les données de vos clients
Noms, coordonnées, situations particulières : dès que vous saisissez des données personnelles, le RGPD s'applique. Vous restez responsable du traitement, même si c'est un salarié qui a utilisé l'outil de sa propre initiative.
Vos informations confidentielles
Tarifs, marges, projets non annoncés, documents internes. Rien de cela n'est personnel au sens du RGPD, mais tout cela a une valeur pour vos concurrents.
Les données de vos équipes
Une application installée sur un téléphone professionnel peut demander des accès larges. Plus l'outil collecte de catégories de données, plus la surface d'exposition augmente.
Ce risque est d'ailleurs voisin de celui évoqué dans d'autres affaires récentes de fuites : la sécurité de vos données dépend aussi de celle de vos prestataires. Une IA grand public en est un, que vous l'ayez choisie ou non.
Gratuit, payant, professionnel : des règles différentes
Un point général, bien établi : les offres grand public et les offres professionnelles n'ont pas les mêmes conditions. Les versions gratuites reposent souvent sur une contrepartie en données ou en usage des conversations. Les offres pour entreprises prévoient en général des engagements plus stricts : non-utilisation des contenus pour entraîner les modèles, contrôle des accès, contrat de traitement des données.
Ce n'est pas automatique. Il faut vérifier, offre par offre, ce que prévoient les conditions. Ne vous fiez ni au nom de l'éditeur ni à une réputation. Fiez-vous aux documents contractuels, et, en cas de doute, à un avis juridique adapté à votre situation, que cet article ne peut pas remplacer.
Le classement de Surfshark rappelle aussi un point de méthode : comparer. Entre deux outils aux fonctions proches, la quantité de données exigée peut être très différente. À service équivalent, choisissez le plus sobre.
Ne pas sur-réagir : l'interdiction totale ne marche pas
Face à ce constat, certains dirigeants interdisent purement et simplement l'IA. Cela fonctionne rarement. Les équipes continuent à s'en servir sur leur téléphone personnel, hors de tout cadre. Vous perdez à la fois le gain de productivité et la visibilité sur les usages.
Une démarche plus réaliste consiste à proposer des outils validés, à dire clairement ce qui peut y être saisi, et à former les équipes. Un cadre simple, compris de tous, vaut mieux qu'une charte de vingt pages que personne ne lit.
En pratique
Voici des actions concrètes, réalisables en quelques semaines sans budget important.
- Faites l'inventaire. Demandez à chaque collaborateur quels assistants IA il utilise, sur quel compte et pour quelles tâches. Sans reproche : l'objectif est de voir la réalité.
- Lisez les conditions des outils retenus. Cherchez deux choses : l'utilisation de vos contenus pour entraîner les modèles, et la durée de conservation. Désactivez dans les paramètres ce qui peut l'être.
- Privilégiez les comptes professionnels. Un compte d'entreprise permet de gérer les accès, de les retirer au départ d'un salarié et d'obtenir des garanties contractuelles.
- Définissez ce qui ne doit jamais être saisi. Par exemple : données de santé, pièces d'identité, coordonnées bancaires, contrats en cours de négociation. Anonymisez les textes avant de les soumettre.
- Limitez les autorisations des applications mobiles. Localisation, contacts, micro, photos : n'accordez que ce qui est nécessaire au service.
- Documentez. Si vous traitez des données personnelles avec un outil d'IA, mentionnez-le dans votre registre des traitements et informez vos clients si nécessaire.
- Réévaluez régulièrement. Les conditions d'utilisation changent, les outils aussi. Un point par semestre suffit.
Si vous souhaitez aller plus loin, par exemple intégrer l'IA à vos process sans exposer vos données, ou bâtir un outil interne sous votre contrôle, notre page sur l'intégration d'IA et l'automatisation détaille la façon dont nous accompagnons les petites structures. Dans bien des cas, une solution connectée à vos propres outils, avec des accès maîtrisés, répond mieux aux enjeux de confidentialité qu'un assistant grand public.
Le classement de Surfshark n'est pas un verdict, mais un rappel utile : l'IA gratuite et pratique a un coût, et il se paie parfois en données. À vous de décider, en connaissance de cause, lesquelles vous acceptez de confier.