Vos équipes utilisent l'IA. Vos données, elles, partent où ?

Un collaborateur crée un compte gratuit ou personnel sur ChatGPT, Claude, Gemini ou un autre outil, et l'utilise pour son travail. C'est le shadow AI : de l'IA utilisée dans l'entreprise sans que l'entreprise le sache.

• Aucun contrat entre votre entreprise et le fournisseur. Aucun accord de traitement des données.
• Selon l'offre et les réglages, les conversations peuvent être conservées et servir à améliorer les modèles.
• Zéro visibilité : qui utilise quoi, avec quelles données ?
• L'employé part ? L'historique de ses conversations, et vos données, partent avec lui.

Coller une fiche de salaire, un dossier RH, un CV ou une liste de clients dans une IA, c'est un traitement de données personnelles. En Suisse, il relève de la nLPD (en vigueur depuis le 1er septembre 2023). Cela implique notamment :

• Une finalité claire et des données limitées au strict nécessaire.
• Un contrat de sous-traitance avec le fournisseur d'IA.
• L'information des personnes concernées.
• Un cadre pour la communication de données à l'étranger.

La majorité des grands outils d'IA sont opérés par des entreprises américaines. Le CLOUD Act (2018) permet aux autorités américaines d'exiger d'un fournisseur américain la remise de données, même stockées en Europe.

Utiliser ces outils n'est pas illégal en soi : des mécanismes encadrent les transferts vers les États-Unis (Swiss-U.S. Data Privacy Framework, clauses contractuelles). Mais le risque résiduel existe, et il doit être évalué, surtout pour les données sensibles ou stratégiques.