Des données sensibles dans l’AI, le service juridique dit non ? Guide de protection des données pour les entreprises

On m’a posé cette question plusieurs fois récemment. Les équipes design commencent à utiliser des outils d’AI pour relire, harmoniser les couleurs, préparer des mises en page. Puis un jour, le service juridique ou le patron arrive et dit : « Les données client ne doivent pas être envoyées là-dedans. »

L’inquiétude du juridique n’est pas exagérée. La version publique de ChatGPT, celle que l’on ouvre directement dans le navigateur avec un compte personnel, a un point clé : ce que vous saisissez peut, par défaut, être utilisé par OpenAI pour améliorer ses modèles. Ce n’est pas un secret. La politique de confidentialité d’OpenAI l’indique clairement, simplement la plupart des gens ne la lisent pas vraiment

Où est le problème concret ? Si vous collez dans ChatGPT une confirmation de devis contenant le nom de l’entreprise cliente, le nom du contact et les articles commandés pour lui demander de la reformuler, ces données sont envoyées sur les serveurs d’OpenAI. Juridiquement, le contrôle des données n’est déjà plus entièrement chez vous

La loi taïwanaise sur la protection des données personnelles impose aux entreprises de collecter, traiter et utiliser les données personnelles pour une finalité précise, sans dépasser le périmètre nécessaire. Envoyer des données client à une plateforme d’AI tierce franchit cette limite, sauf si vous avez informé la personne concernée et obtenu son consentement lors de la collecte. Dans les ventes B2B d’impression, presque personne ne le fait

C’est la ligne rouge derrière le « non » du juridique. Ce n’est pas juste pour vous compliquer la vie

Interdire l’AI en bloc est l’autre extrême, et ce n’est pas nécessaire. Le point important est de savoir quel type d’AI vous utilisez. Le niveau d’isolement des données n’a rien à voir

Version publique (Consumer tier)

・ChatGPT gratuit, compte personnel Plus : les données saisies entrent par défaut dans le périmètre d’amélioration des modèles, sauf si vous désactivez manuellement l’option correspondante dans les paramètres

・Convient aux usages personnels et aux idées créatives ne contenant aucune information permettant d’identifier un client

Version entreprise et API (Enterprise / API tier)

・ChatGPT Enterprise, Microsoft 365 Copilot via Azure OpenAI : OpenAI s’engage explicitement à ne pas utiliser les données des clients Enterprise pour entraîner ses modèles. Les données sont chiffrées en transit et au repos

・Les appels via API, avec le paramètre user configuré et un compte relevant bien d’un plan API, relèvent également de la politique de non-entraînement

Déploiement local

・Exécuter un modèle open source, comme la famille Llama, dans son propre datacenter ou cloud privé : les données ne quittent pas l’environnement, le risque de conformité est le plus faible

・L’inconvénient, c’est le coût de mise en place IT. C’est surtout adapté aux imprimeries ou studios de design d’une certaine taille

En clair : deux outils peuvent tous deux s’appeler « AI », mais le destin des données varie énormément entre une version publique et une version entreprise. Quand une entreprise dit « on ne peut pas utiliser l’AI », ce qu’elle devrait souvent dire, c’est plutôt : « on ne peut pas utiliser une AI publique pour traiter des données client ». Ce n’est pas du tout la même chose

L’impression à données variables (Variable Data Printing, VDP) est le cas où le secteur de l’impression doit être particulièrement vigilant

En simple, le VDP consiste à imprimer un même lot de supports avec, sur chaque exemplaire, un nom, une adresse, un code-barres ou un contenu personnalisé différent. Enveloppes de publipostage, cartes de membre, polices d’assurance, couvertures de rapports médicaux : ce sont des applications VDP typiques. La caractéristique de ces travaux est claire : vous avez forcément entre les mains une grosse liste de données personnelles

J’ai vu une situation très courante : pour vérifier que la mise en page d’un gabarit VDP fonctionne, un designer colle dans un outil d’AI tout un CSV contenant 500 fiches clients et lui demande de « vérifier le format des champs ». Les noms, adresses et numéros de téléphone de ces 500 personnes partent ainsi vers l’extérieur

Pour tout travail VDP, il faut utiliser par défaut de fausses données désidentifiées pour tester le gabarit. La vraie liste client, dès son arrivée, doit rester dans un environnement contrôlé sur le plan sécurité et ne jamais toucher un outil d’AI public

Si vous avez besoin de l’AI pour améliorer la logique de conception ou les règles de composition d’un VDP, mettez les règles en texte, par exemple : « le champ nom contient au maximum 8 caractères chinois, au-delà réduire le corps à 8pt ». Envoyez les règles à l’AI, pas les vraies données avec

C’est la question qui revient le plus souvent en pratique. On peut la classer simplement ainsi :

Peut être envoyé directement à l’AI (faible risque)

・Informations publiques, comme des spécifications produit, présentations de matériaux, descriptions de procédés d’impression

・Textes de maquette entièrement fictifs, par exemple du Lorem Ipsum de test ou de fausses données rédigées en interne

・Documents de procédure internes ne contenant aucune information permettant d’identifier un client ou un employé

・Questions techniques, par exemple : « Quelle est la valeur standard de conversion Pantone 485C vers CMYK ? »

À désidentifier avant envoi

・Briefs client : remplacer le nom de l’entreprise par « client A » et les noms de personnes par « interlocuteur achats »

・Références de projets passés : flouter toutes les informations identifiantes avant de les décrire

・Brouillons de devis : les postes et spécifications peuvent rester, mais il faut retirer le nom du client, le numéro d’identification fiscale et le nom de l’acheteur

À ne jamais envoyer (risque élevé, quel que soit le type d’AI)

・Toute liste contenant des noms de personnes physiques, numéros de téléphone, adresses ou numéros d’identité

・Fichiers natifs de design ou chartes de marque couverts par un accord de confidentialité avec un client

・Données financières, clauses contractuelles, détails de devis, surtout dans les appels d’offres concurrentiels

・Salaires, évaluations de performance ou données RH des employés

Le principe central de la désidentification tient en une phrase : une fois les éléments retirés, personne ne doit pouvoir remonter depuis les données restantes vers une personne réelle ou une entreprise précise. Remplacer seulement le nom tout en gardant une description métier unique ne suffit pas

Si vous avez besoin d’aide pour préparer une proposition d’impression avec l’AI, vous pouvez discuter avec l’équipe de conseil de MINDS Knowledge Academy de la mise en place d’un flux de travail AI conforme, surtout pour les scénarios VDP et impression commerciale nécessitant une classification claire des données

Beaucoup d’entreprises regardent surtout les fonctions et le prix lorsqu’elles adoptent un outil d’AI. L’accord de confidentialité passe vite en second plan. C’est une erreur fréquente

Un NDA ou des conditions de service fiables pour un fournisseur d’AI doivent au minimum couvrir les points suivants :

Usage des données

・Le fournisseur s’engage-t-il explicitement à ne pas utiliser les données saisies pour entraîner ses modèles ?

・Existe-t-il une durée de conservation claire des données, par exemple suppression dans les 30 jours suivant le traitement ?

・Les données sont-elles utilisées uniquement pour les finalités prévues au contrat, sans divulgation à des tiers ?

Stockage et isolation des données

・Vérifier l’emplacement des serveurs : le GDPR européen et la loi taïwanaise sur la protection des données personnelles encadrent les transferts transfrontaliers. Des données stockées sur des serveurs américains ne sont pas forcément conformes

・Le compte Enterprise dispose-t-il d’une isolation logique garantissant que vos données sont totalement séparées de celles des autres locataires ?

Responsabilité en cas de manquement

・En cas de fuite de données, le fournisseur doit vous notifier dans un délai défini, souvent quelques heures. 72 heures est un standard courant dans le secteur

・Les clauses d’indemnisation doivent être concrètes, pas seulement écrire que le fournisseur fera « de son mieux »

Droit d’audit

・Pouvez-vous demander au fournisseur de fournir les registres de traitement des données ?

・Une certification ISO 27001 ou SOC 2 constitue un seuil de base. Elle indique que le fournisseur a passé un audit de cybersécurité par un tiers

Si les conditions du fournisseur sont seulement un document en ligne public, impossible à adapter pour vous, votre seule marge de manœuvre est de vérifier que la politique d’usage de la plateforme répond bien à vos besoins. Sinon, vous traitez des données client d’une manière qui n’est pas fiable

Les principaux outils SaaS pour l’impression, comme Adobe Creative Cloud ou Canva Enterprise, publient depuis quelques années des déclarations de conformité au GDPR et aux lois sur les données personnelles. Mais ces déclarations ne remplacent pas un NDA. Seul un contrat entreprise signé apporte une vraie protection

J’utilise moi-même cette checklist lorsque j’accompagne des imprimeries et des studios de design dans l’intégration de flux de travail AI. Ce n’est pas un cadre théorique, c’est une liste issue de cas réels

Avant l’adoption

・Vérifier la version des conditions d’utilisation de la plateforme AI et sa description des usages des données

・Évaluer s’il faut une version entreprise, une version API ou un déploiement local, selon le niveau de sensibilité des données

・Confirmer avec le juridique si les contrats clients existants contiennent une clause interdisant de confier les données client à un tiers pour traitement

Mise en place de règles internes

・Établir une grille de classification des données utilisables avec l’AI, en s’appuyant sur la logique de classement ci-dessus

・Définir quels flux de travail peuvent utiliser l’AI et lesquels sont interdits, par exemple interdiction de l’AI publique sur toute opération VDP

・Mettre en place une formation interne à l’usage de l’AI, au moins une fois par an

Gestion des fournisseurs

・Demander à tous les fournisseurs d’outils AI un DPA, Data Processing Agreement

・Vérifier que le fournisseur dispose d’une certification ISO 27001 ou SOC 2

・Après signature, revoir chaque année les mises à jour de la politique de confidentialité du fournisseur

Opérations quotidiennes

・Avant de coller du contenu dans l’AI, faire un contrôle de désidentification : ce contenu permet-il d’identifier une personne précise ou une entreprise précise ?

・S’il y a un doute, remplacer les éléments sensibles avant l’envoi. Ne jouez pas avec ça

・Après une tâche sensible, effacer l’historique de conversation dans la plateforme AI. La plupart des plateformes proposent une suppression manuelle

Si votre entreprise prend en charge des travaux d’impression exigeant une forte protection des données personnelles, par exemple dans le médical, la finance ou les marchés publics, il est préférable de travailler directement avec un imprimeur commercial doté d’un processus complet de conformité, comme MINDS. De la conception à l’imposition, le travail reste dans un environnement contrôlé, ce qui réduit les failles de sécurité possibles

・La version publique de ChatGPT peut, par défaut, utiliser vos saisies pour entraîner les modèles. Les versions Enterprise et API s’engagent clairement à ne pas le faire. Le niveau de risque juridique n’est pas du tout le même

・Dans les travaux d’impression à données variables (VDP), les vraies listes clients doivent être entièrement séparées des outils d’AI dès leur arrivée. Les tests de gabarit doivent utiliser uniquement de fausses données

・La limite de la désidentification est simple : après retrait, il doit être impossible de remonter vers une personne réelle ou une entreprise réelle. Remplacer le nom tout en gardant une description métier unique ne compte pas

・Avant de signer avec un fournisseur d’AI, regardez quatre choses : usage des données, emplacement des serveurs, obligation de notification, droit d’audit. Sans DPA, il n’y a pas de vraie protection

・Les règles internes d’usage de l’AI ne doivent pas rester au niveau du discours. L’interdiction de l’AI publique pour le VDP doit être inscrite dans le SOP opérationnel

Sur la conformité, le secteur de l’impression a en réalité un avantage sur beaucoup d’autres secteurs. Nous sommes déjà habitués à gérer des informations confidentielles client : fichiers de création non divulgués, épreuves qui ne sortent pas, devis non publics. Ce sont des bases du métier. Étendre cette logique aux outils d’AI n’a rien d’insurmontable

La prochaine étape la plus concrète tient en une action : lister tous les outils d’AI actuellement utilisés dans l’entreprise, puis vérifier un par un s’il s’agit bien de versions entreprise et si un DPA a été signé. Si certains outils sont utilisés via des comptes personnels créés par les employés, passez dès maintenant à des comptes entreprise ou à Enterprise. Ce n’est pas compliqué, et cela élimine déjà 80% du risque

Les studios de design et les imprimeries n’ont pas besoin d’attendre un incident pour agir sur la conformité AI. Créer maintenant une grille de classification des données et apprendre aux équipes ce qui peut être envoyé ou non coûtera beaucoup moins cher qu’une réparation après coup