Oui, mais seulement avec une offre professionnelle (API ou formule entreprise) encadrée par un contrat, et en envoyant le strict nécessaire. Évitez les comptes personnels gratuits, les données sensibles (santé, données bancaires, opinions) et les informations confidentielles inutiles à la tâche. Pseudonymisez quand c'est possible et fixez les règles dans une charte interne.
D'abord : quel compte utilisez-vous ?
Le même assistant n'offre pas les mêmes garanties selon le type de compte :
- Compte personnel (gratuit ou abonnement individuel) : les conditions sont celles d'un service grand public. Chez Anthropic par exemple, les comptes Claude Free, Pro et Max disposent d'un réglage d'« amélioration du modèle » que chaque utilisateur doit vérifier. L'entreprise n'a aucune visibilité ni contrat.
- Offre professionnelle (Team, Enterprise, Business) ou API : Anthropic indique ne pas utiliser par défaut les entrées et sorties de ses produits commerciaux pour l'entraînement ; OpenAI indique la même chose pour ses offres business et son API, et propose un contrat de traitement des données. L'entreprise administre les comptes.
Règle simple : aucune donnée client sur un compte personnel. Si vos équipes utilisent déjà l'IA (c'est souvent le cas), offrir un cadre professionnel est la meilleure protection.
Ensuite : quelle donnée ?
| Type de donnée | Exemples | Avec une offre pro encadrée |
|---|---|---|
| Publique ou non personnelle | Catalogue, fiche produit, procédure interne non confidentielle | Oui |
| Personnelle courante | Nom, mail, historique de commande, contenu d'une demande client | Oui, si nécessaire à la tâche, minimisée et prévue dans votre registre |
| Confidentielle business | Marges, contrats négociés, stratégie | Selon votre politique interne et le contrat du fournisseur |
| Sensible (RGPD art. 9) | Santé, opinions, religion, orientation sexuelle, biométrie | À éviter ; si indispensable, analyse d'impact et avis du DPO |
| Très sensible | Numéros de carte bancaire, identifiants, mots de passe | Non |
5 réflexes à donner aux équipes.
- Remplacer les noms par « le client » ou une initiale quand l'identité n'est pas utile à la tâche (reformuler un mail, résumer une réclamation).
- Envoyer l'extrait, pas le dossier : seulement le passage nécessaire.
- Ne jamais coller d'identifiants, de mots de passe ou de coordonnées bancaires.
- Relire avant d'envoyer : la CNIL recommande de ne jamais reprendre telles quelles les réponses générées.
- En cas de doute, demander au référent ou au DPO avant de saisir.
Un agent branché sur le CRM, c'est différent ?
Oui, et c'est souvent plus sûr que le copier-coller. Un agent bien conçu n'accède qu'aux champs nécessaires (par exemple l'historique de commandes, pas les coordonnées bancaires), avec un compte technique aux droits limités, et chaque accès est tracé. La CNIL rappelle toutefois qu'en connectant une base contenant des données personnelles, l'entreprise devient responsable de ce traitement : il doit être documenté comme les autres (voir IA et RGPD).
Et le secret des affaires ?
La question ne concerne pas que le RGPD. Des informations stratégiques (prix d'achat, conditions négociées, projets) méritent la même prudence. Les offres professionnelles réduisent le risque, mais la règle de minimisation reste valable : l'IA n'a besoin que de ce qui sert la tâche.
Mettre la règle par écrit.
Ces réflexes ne tiennent que s'ils sont écrits et expliqués. La CNIL recommande d'adopter une charte interne qui précise les usages autorisés et interdits, en excluant les données confidentielles ou personnelles selon le mode de déploiement de l'outil et la politique de réutilisation du fournisseur, et de former les utilisateurs pour qu'ils ne saisissent que les informations qu'ils sont autorisés à partager. Une page de règles claires et une formation d'une demi-journée suffisent souvent pour une PME (voir comment rédiger une charte IA).
Enfin, pensez à vos clients eux-mêmes : si un traitement nouveau les concerne (par exemple un agent qui analyse leurs demandes), vérifiez avec votre DPO si votre politique de confidentialité doit être mise à jour.
Ce que je fais concrètement pour vous.
Lors d'une formation Claude en entreprise (atelier dès 350 €), je configure avec vous les comptes professionnels et je travaille les bons réflexes sur vos vrais dossiers. Pour un agent, je limite ses accès au strict nécessaire et je documente les données traitées (Agent IA pour PME à Lyon).
J'ai mis en place ces pratiques en accompagnant des entreprises dans l'adoption de Claude, et chez XEFI lors de l'intégration d'agents IA dans les workflows des équipes.
Sources
- CNIL : Questions-réponses sur l'utilisation d'un système d'IA générativeconsulté le 13 octobre 2026
- CNIL : Utiliser l'IA générative dans les TPE et PME (fiches avec France Num et la CPME)consulté le 13 octobre 2026
- Anthropic : Is my data used for model training? (produits commerciaux)consulté le 13 octobre 2026
- Anthropic : Paramètre d'amélioration du modèle pour les comptes Claude Free, Pro et Maxconsulté le 13 octobre 2026
- OpenAI : Enterprise privacyconsulté le 13 octobre 2026
Dernière vérification des informations : 13 octobre 2026. Information générale, pas un avis juridique.