Données d'entreprise et outils IA : les vérifications à faire avant de brancher quoi que ce soit

Ce que « l'outil utilise vos données » veut dire

Première distinction : compte personnel ou compte d'entreprise. Un compte individuel suit des conditions pour particuliers, sans aucun contrôle d'administrateur pour l'entreprise. Les offres pour entreprises ont en général des conditions commerciales distinctes et une console d'administration.

Ensuite, « l'outil garde ou utilise vos données » recouvre plusieurs réalités, à vérifier une à une :

• Conservation : combien de temps vos requêtes et les réponses sont stockées, et qui peut les supprimer.
• Examen humain : si des employés du fournisseur peuvent lire du contenu, par exemple pour détecter des abus.
• Entraînement : si vos contenus servent à améliorer les modèles, par défaut ou seulement si vous l'acceptez.
• Sous-traitants : quelles autres entreprises participent au traitement, comme un hébergeur ou un fournisseur de modèle.
• Emplacement : dans quels pays les données sont traitées et stockées.

Enfin, les connecteurs changent l'échelle. Un outil relié à une boîte courriel, à un CRM ou à un lecteur partagé voit en principe tout ce que le compte connecté peut voir. Si ce compte a accès à tout, l'outil aussi, y compris les dossiers que personne n'avait pensé à protéger.

Le cadre canadien, sans jargon

Selon le Commissariat à la protection de la vie privée du Canada, la loi fédérale (LPRPDE) s'applique généralement aux renseignements personnels détenus par les entreprises privées non réglementées par le fédéral qui exercent leurs activités au Nouveau-Brunswick, en Nouvelle-Écosse, à l'Île-du-Prince-Édouard et à Terre-Neuve-et-Labrador. La même page signale des lois provinciales sur les renseignements de santé dans certaines de ces provinces. Si vous en traitez, faites confirmer la loi applicable.

Deuxième point : confier des données à un fournisseur ne transfère pas la responsabilité. Selon les lignes directrices de 2009 du Commissariat sur le transfert transfrontalier, toujours en vigueur, l'organisation reste responsable des renseignements confiés à un tiers aux fins de traitement, y compris hors du Canada. Elle doit assurer une protection comparable, par contrat ou autrement, et aviser clairement les personnes que leurs renseignements pourraient être traités à l'étranger et y être accessibles aux autorités.

En 2023, les commissaires fédéral, provinciaux et territoriaux ont publié des principes pour l'IA générative. Pour les organisations qui utilisent ces outils, ils rappellent notamment de n'entrer des renseignements personnels dans une requête, surtout s'ils sont sensibles ou confidentiels, que si c'est autorisé. Ils mentionnent aussi des évaluations comme l'évaluation des facteurs relatifs à la vie privée.

Classer vos données d'abord

Avant de comparer des outils, décidez ce qui peut y entrer. Le Commissariat rappelle que les renseignements de santé et financiers sont généralement sensibles, que tout renseignement peut le devenir selon le contexte, et que les mesures de sécurité doivent correspondre à la sensibilité. Quatre catégories suffisent.

Vérifier un outil précis

Pour chaque outil, cherchez cinq documents ou écrans, présents sous divers noms chez la plupart des grands fournisseurs.

• Les conditions commerciales et l'entente sur le traitement des données.
• La page sur l'utilisation des données : entraînement, conservation, examen humain, sous-traitants.
• La console d'administration : accès, fonctions et connecteurs permis.
• Les options de région ou de résidence des données, et qui y est admissible.
• Les journaux d'audit : ce qui est enregistré, combien de temps, qui peut les lire.

Voici ce qu'indiquaient quelques pages officielles au moment de notre vérification, le 15 septembre 2026. Ce sont des résumés, pas des recommandations, et ils ne couvrent pas toutes les offres.

• Microsoft : la documentation de Microsoft Copilot (anciennement Microsoft 365 Copilot) indique que les requêtes, les réponses et les données consultées par Microsoft Graph ne servent pas à entraîner les modèles de fondation, que Copilot n'affiche que les données que l'utilisateur peut au moins consulter, et que les requêtes des clients hors de l'Union européenne peuvent être traitées aux États-Unis, dans l'UE ou ailleurs.
• Google : la page de confidentialité de l'IA générative dans Google Workspace indique que Workspace n'utilise pas les données des clients pour entraîner des modèles sans leur permission ou instruction préalable, et que Gemini ne récupère que le contenu auquel l'utilisateur a accès.
• Anthropic : son centre de confidentialité indique que, par défaut, les entrées et sorties de ses produits commerciaux ne servent pas à entraîner ses modèles, sauf si vous envoyez une rétroaction ou acceptez autrement ce partage.
• OpenAI : la documentation de sa plateforme API indique que les données envoyées à l'API ne servent pas à entraîner ses modèles sans adhésion explicite, que les journaux de surveillance des abus sont conservés jusqu'à 30 jours par défaut, et que le Canada figure parmi les régions de résidence des données offertes aux clients admissibles.

Point commun entre Microsoft et Google : l'assistant respecte les permissions existantes. C'est rassurant et exigeant. Si un dossier de paie est partagé avec toute l'entreprise, l'assistant pourra le retrouver pour n'importe qui.

Brancher l'outil à vos systèmes

Relier un outil IA à la messagerie ou au CRM, c'est lui confier des clés. Appliquez les règles de tout nouvel accès, avec plus de soin.

• Moindre privilège : un dossier, une boîte ou une liste précise, pas tout le compte.
• Compte de service dédié : jamais celui du propriétaire ou d'un administrateur.
• Lecture seule d'abord : pendant l'essai, l'outil lit et propose, sans écrire ni envoyer.
• Environnement de test : données fictives ou copie limitée avant les vraies données.
• Journaux : enregistrez ce que l'outil consulte et fait, et lisez-les les premières semaines.
• Révocation : sachez qui coupe l'accès et comment, et testez-le une fois.
• Approbation humaine : envoyer un courriel ou modifier un dossier client attend le feu vert d'une personne.

Un exemple du début à la fin

La règle interne n'a pas besoin d'être longue. Une page claire, expliquée en réunion, vaut mieux qu'une politique de vingt pages que personne ne lit. Adaptez ce modèle à votre entreprise.

RÈGLE D'UTILISATION DES OUTILS IA
[Nom de l'entreprise] · En vigueur le [date] · Responsable : [nom, courriel]

1. Outils et comptes permis
- Seulement [outil approuvé], avec votre compte d'entreprise.
- Aucun compte personnel pour du travail qui touche des clients ou des données internes.

2. Ce qui est permis
- Rédiger ou reformuler des textes sans renseignements personnels.
- Résumer des documents publics ou internes non sensibles.
- Préparer un brouillon de réponse client après avoir retiré les noms, adresses et numéros, quand c'est possible.

3. Ce qui est interdit
- Entrer des renseignements sur la santé, des données financières, des dossiers d'employés, des pièces d'identité, des mots de passe ou des contrats confidentiels.
- Envoyer un texte produit par l'IA sans l'avoir relu.
- Connecter un outil IA à la messagerie, au CRM ou aux lecteurs partagés sans autorisation écrite de [responsable].

4. Toujours
- Vérifier faits, montants et noms avant d'envoyer.
- En cas de doute, ne pas coller et demander à [responsable].

5. En cas d'erreur
- Données sensibles entrées par erreur ? Prévenez [responsable] le jour même, sans crainte de reproche.

Prochaine révision : [date, au moins une fois par an]