Confidentialité et RGPD : protéger les personnes dont tu parles

1. À la fin de cette leçon, tu sauras

Reconnaître une donnée personnelle, et une donnée sensible.
Expliquer avec des mots simples les grands principes du RGPD.
Distinguer données personnelles, secret professionnel et secret des affaires.
Transformer une demande à risque en demande sans données personnelles.

2. Pourquoi ça t’intéresse

Amina est responsable d’une agence d’intérim. Elle veut que l’IA l’aide à rédiger des retours après des entretiens. Elle a les notes : noms, âges, situation familiale, une remarque sur un arrêt maladie passé. Elle se demande si « c’est grave ». Oui, potentiellement : ces informations appartiennent aux candidats, pas à elle, et certaines sont sensibles. Mais elle peut obtenir exactement l’aide voulue en changeant sa façon de demander. Cette leçon lui donne les repères pour le faire sans y passer une heure.

3. Avant de commencer


Il te faut	Un document de travail réel qui parle de personnes (compte rendu, mail, tableau), ta fiche « Règles IA » de la leçon précédente, un chatbot
Coût	0 €
Durée	40 à 50 min

Cette leçon donne des repères généraux, pas un conseil juridique. Pour un cas précis, adresse-toi au délégué à la protection des données de ton organisation ou consulte cnil.fr.

4. Comprendre en 3 minutes

Le RGPD (règlement général sur la protection des données) est le texte européen qui protège les informations sur les personnes. Son idée centrale : ces informations appartiennent d’abord aux personnes concernées.

Une donnée personnelle, c’est toute information qui permet d’identifier quelqu’un, directement (un nom) ou indirectement (« la seule comptable de l’agence de Brest, arrivée en mars »). Certaines sont dites sensibles et très protégées : santé, origine, opinions politiques, convictions religieuses, appartenance syndicale, orientation sexuelle, données génétiques ou biométriques.

Les principes, en langage courant :

Principe	En clair	Pour tes demandes à l’IA
Finalité	On utilise les données pour un but précis et connu	Le client t’a confié ses infos pour sa commande, pas pour nourrir un chatbot
Minimisation	Seulement ce qui est nécessaire	L’IA n’a presque jamais besoin d’un vrai nom
Sécurité et confidentialité	On protège les données contre les fuites	On ne les envoie pas dans un outil non validé
Durée limitée	On ne garde pas tout indéfiniment	Pense à l’historique de tes conversations
Transparence et droits	Les personnes peuvent savoir et demander l’accès, la correction, l’effacement	Tu dois pouvoir dire où sont passées leurs données

À côté du RGPD, deux autres protections :

Le secret professionnel : certains métiers y sont tenus par la loi (santé, droit, travail social, banque, notamment). Le confier à un outil non prévu pour cela peut constituer une faute.
Le secret des affaires et la confidentialité contractuelle : prix, stratégie, contrats, informations qu’un client t’a confiées.

Image mentale : tu es le gardien des informations des autres, pas leur propriétaire.

5. Faire ensemble

Étape 1 · Repérer les données dans un document

Prends ton document réel et ouvre une copie (jamais l’original).
Surligne en une couleur les données personnelles, et en une autre les données sensibles.
Surligne en troisième couleur ce qui relève du secret professionnel ou des affaires.

Étape 2 · Te demander ce dont l’IA a vraiment besoin

Pose-toi la question de la minimisation : pour la tâche voulue, l’IA a-t-elle besoin des noms ? Des dates exactes ? Des montants ? Le plus souvent, elle a besoin de la structure et du ton, pas des faits identifiants.

Étape 3 · Reformuler la demande sans les personnes

Au lieu de coller les notes, décris la situation de façon générique :

Je suis [ton métier]. Je dois rédiger un [type de document, par exemple retour écrit après entretien] pour une personne dans la situation suivante, décrite de façon générale : [situation sans nom, sans date, sans détail de santé ni de vie privée]. Propose une structure et un modèle de texte avec des zones à compléter. Je compléterai moi-même, hors de cet outil.

L’IA produit un modèle. Tu y ajoutes les vraies informations dans ton logiciel habituel.

Étape 4 · Relire avec l’œil de la personne concernée

Avant d’envoyer quoi que ce soit, demande-toi : « Si cette personne voyait ce que j’ai collé, serait-elle d’accord ? » Si la réponse est non ou incertaine, tu enlèves encore.

Piège fréquent : croire qu’enlever le nom suffit. « Le directeur financier de notre filiale lyonnaise, en arrêt depuis son accident de ski » identifie quelqu’un aussi sûrement qu’un nom. Retire aussi les détails qui permettent de reconnaître.

6. Faire toi-même

Prends une tâche orange de ta carte, celle qui touche à des personnes.

Réalise les étapes 1 à 4 sur un vrai document.
Obtiens de l’IA un modèle ou une structure, sans aucune donnée personnelle.
Complète le modèle hors de l’outil.
Écris en trois lignes ce que tu as retiré et pourquoi.

Résultat attendu : un document de travail terminé, produit avec l’aide de l’IA, sans qu’aucune donnée personnelle ou sensible ne soit sortie.

7. Vérifier

J’ai distingué dans mon document les données personnelles, sensibles et confidentielles.
Ma demande à l’IA ne contenait ni nom, ni détail permettant de reconnaître quelqu’un.
J’ai complété le modèle avec les vraies informations en dehors de l’outil.
Je peux expliquer avec mes mots les principes de finalité et de minimisation.
Je sais si mon métier est soumis à un secret professionnel, ou je sais à qui le demander.

8. Ce que tu gardes

Dans ton carnet de bord, rubrique « Données » :

La liste des données sensibles, à connaître par cœur.
La question réflexe : « De quoi l’IA a-t-elle vraiment besoin ? »
La demande « modèle à compléter » de l’étape 3.

9. Pour aller plus loin

cnil.fr publie des fiches pratiques sur le RGPD et sur l’intelligence artificielle, pour les particuliers comme pour les professionnels.
service-public.fr explique les droits des personnes sur leurs données (accès, rectification, effacement).
Le texte du RGPD est consultable sur legifrance.gouv.fr et sur europa.eu.