Gevoelige gegevens en AI-agent: wat toevertrouwen, wat beschermen?

Un agent IA qui relance des impayés, prépare des devis ou trie des factures a besoin d'informations pour travailler. Certaines sont anodines : un prénom, une date de commande. D'autres sont sensibles : un RIB, un salaire, un numéro de sécurité sociale. La frontière n'est pas toujours évidente, et les conséquences d'une erreur peuvent être sérieuses. Ce guide vous donne une méthode pour décider, protéger et, parfois, refuser.

IQu'est-ce qu'une donnée sensible au sens du RGPD ?

Le règlement européen impose de ne collecter que les données strictement nécessaires, de les protéger par des mesures adaptées, et de pouvoir justifier leur traitement. Confier ces données à un agent IA ne vous exonère pas de cette responsabilité : vous restez le responsable du traitement. Si l'agent divulgue par erreur un salaire ou un RIB, c'est votre entreprise qui devra rendre des comptes.

IIQuelles données peut-on confier sans risque majeur ?

Certaines informations sont indispensables au travail de l'agent et présentent un risque limité. Un prénom, une adresse mail professionnelle, une date de commande, un numéro de facture interne : ces éléments permettent de personnaliser un message ou de retrouver un dossier sans exposer la vie privée de quiconque. Un artisan qui veut relancer un devis en attente peut transmettre le nom du client, la date du devis et la nature des travaux.

Les données publiques ou semi-publiques posent peu de problèmes : le nom d'une entreprise, son adresse, son numéro SIRET. Un agent qui prépare une prospection peut les utiliser sans précaution particulière. En revanche, dès qu'on touche à des montants, des identifiants personnels ou des informations financières, la prudence s'impose.

IIIQuelles données exigent des précautions particulières ?

Les coordonnées bancaires (RIB, IBAN), les salaires, les numéros de sécurité sociale, les montants exacts de factures impayées, les identifiants fiscaux : toutes ces informations peuvent être exploitées en cas de fuite. Un pirate qui récupère un RIB peut tenter une fraude au virement. Un concurrent qui obtient vos grilles salariales peut déstabiliser votre équipe. Un client dont le montant de dette est divulgué peut vous poursuivre.

IVComment anonymiser ou masquer les données avant transmission ?

Ces techniques demandent quelques minutes de préparation, mais elles réduisent considérablement le risque. Un cabinet comptable qui veut faire préparer des relances peut exporter un fichier avec le nom du client, la date de la facture et la mention « impayé », sans jamais inclure le montant ni les coordonnées bancaires.

VQuand faut-il refuser de transmettre une donnée à l'agent ?

Certaines informations ne devraient jamais quitter votre système, quelle que soit la promesse de sécurité. Les mots de passe, les codes d'accès bancaires, les données de santé nominatives, les pièces d'identité complètes : ces éléments n'ont pas leur place dans un échange avec un agent IA. Si l'agent vous demande un RIB pour « vérifier un virement », posez-vous la question : a-t-il vraiment besoin de cette information pour accomplir sa tâche ?

VIOù vont les données et qui peut y accéder ?

Quand vous confiez un document à un agent IA, celui-ci est traité par des serveurs. Les données peuvent être conservées temporairement (le temps du traitement) ou plus longtemps (pour améliorer le service). Les logs, ces journaux qui enregistrent les échanges, peuvent contenir des extraits de vos fichiers. Un pirate qui accède à ces logs récupère potentiellement des informations sensibles.

Chez ABYS, les documents transmis servent uniquement à faire travailler l'agent. Ils ne sont pas utilisés pour entraîner d'autres systèmes. Mais cette politique varie d'un fournisseur à l'autre. Avant de choisir un outil, vérifiez sa politique de conservation des données et son lieu d'hébergement. Un hébergement en Europe offre les garanties du RGPD ; un hébergement hors Union européenne peut poser des questions de conformité.

VIIQuelles alternatives pour les données les plus sensibles ?

Pour certaines tâches, il vaut mieux ne pas faire intervenir d'agent IA du tout, ou limiter son rôle à la rédaction sans accès aux données brutes. Un restaurateur qui veut analyser ses marges peut demander à l'agent de lui fournir un modèle de tableau, puis remplir lui-même les chiffres. Un cabinet d'avocats peut faire rédiger des courriers types, puis ajouter manuellement les noms et les montants.

VIIIComment limiter le risque cyber au quotidien ?

Ces précautions ne garantissent pas un risque zéro, mais elles réduisent considérablement la surface d'attaque. Un pirate qui intercepte un fichier contenant des fourchettes de montants et des codes internes ne peut pas en faire grand-chose. En revanche, un fichier avec des RIB et des montants exacts devient une cible de choix.

IXQue faire en cas de doute sur une donnée ?

Si vous hésitez, la réponse est simple : ne transmettez pas. Demandez-vous ce qui se passerait si cette information était publiée sur internet demain matin. Si la réponse vous inquiète, trouvez une alternative. Un agent IA bien configuré peut accomplir énormément de tâches avec des informations partielles ou masquées. La sécurité données IA repose avant tout sur votre vigilance au moment de préparer les fichiers.