Données clients et IA : ce qu’on peut envoyer (ou pas)

Avant d’envoyer un document à une IA, identifiez les personnes qu’il permet de reconnaître, le travail demandé et les conditions du service. Un abonnement payant, un contrat de sous-traitance ou un serveur en Suisse ne constitue pas, à lui seul, une autorisation de transmettre tout votre dossier client.

Pour essayer une nouvelle méthode de rédaction, commencez par un exemple fictif. Pour travailler sur de vrais dossiers, il faut examiner le traitement prévu. Cette grille aide à préparer cet examen ; elle ne remplace pas l’analyse juridique d’un cas particulier.

Ce que la LPD et le RGPD changent

Le PFPDT rappelle que la LPD s’applique aux traitements utilisant l’IA. Le fonctionnement et les finalités doivent être expliqués aux personnes concernées. Un traitement présentant un risque élevé peut notamment nécessiter une analyse d’impact et des mesures adaptées.

Le RGPD, article 3, possède son propre champ territorial. Il peut concerner une entreprise suisse, notamment lorsqu’elle cible des personnes dans l’Union par son offre ou suit leur comportement dans l’Union. Avoir un client européen ne permet pas, à lui seul, de résumer tous les critères d’application.

Au cabinet médical, le secret professionnel et le contexte de soins demandent un examen complémentaire. Voir la préparation de courriers et de rapports.

Enlever un nom n’est pas forcément anonymiser

Une fonction rare, une date de consultation, une adresse ou plusieurs détails combinés peuvent permettre de retrouver une personne. Le PFPDT décrit ce risque de réidentification par recoupement. Remplacer un nom par « Client A » peut laisser des données personnelles dans le texte.

Pour un exercice, inventer entièrement le contexte est souvent plus simple que de tenter de rendre anonyme un dossier réel. Dans un projet, le choix des données utiles et les possibilités de réidentification doivent être étudiés.

Six vérifications avant la transmission

Voici une grille de préparation proposée par Kervia. Elle sert à documenter le projet et les questions à soumettre au responsable compétent.

Question	Ce qu’il faut préciser
Quelle tâche ?	Préparer une réponse, relever une référence, classer un document : définir un résultat précis.
Quelles informations ?	Limiter le contenu aux éléments utiles ; distinguer données personnelles, informations publiques et secrets commerciaux.
Quel service exact ?	Offre, paramètres, conservation, réutilisation éventuelle des données et sous-traitants.
Quels accès ?	Personnes, applications, administrateurs et services qui peuvent consulter ou modifier les informations.
Quels lieux de traitement ?	Hébergement, sauvegardes et accès distants ; examiner les conditions des transferts éventuels.
Quel contrôle ?	Personne responsable, validation avant action, traitement des erreurs et retrait des accès.

Les informations de santé appellent une attention particulière. Les données concernant un enfant ou une dette peuvent aussi demander des précautions, sans appartenir automatiquement à la même catégorie juridique. Une classification interne peut être plus restrictive que la loi : elle doit être présentée comme telle.

Quatre situations illustratives

Ces exemples sont fictifs et servent à expliquer les points à vérifier.

Préparer une relance. Pour travailler le ton du message, une consigne inventée suffit : « rédiger une relance polie pour une facture professionnelle échue ». Le nom, l’IBAN et l’historique du client ne sont pas nécessaires à cet exercice. Le montant réel et le destinataire restent à vérifier avant l’envoi.

Résumer un devis. Un document commercial peut contenir des coordonnées et des informations confidentielles même s’il n’est pas médical. Le besoin est de retrouver les engagements utiles à la réunion, pas de transmettre automatiquement toutes les pièces jointes.

Consulter un CRM. Un agent peut n’avoir besoin que du statut et de la prochaine action d’un dossier. Cela justifie d’étudier des accès limités, plutôt que de copier tout le fichier clients pour un usage encore indéfini.

Héberger un modèle en local. Le calcul peut rester sur une machine contrôlée par l’entreprise. Il faut encore examiner les comptes, les journaux, les sauvegardes et les connexions de l’application.

Une règle d’équipe qui se comprend

Un document court peut décrire les usages autorisés, les données exclues des essais et la personne à contacter en cas de doute. Il accompagne les mesures nécessaires ; il ne les remplace pas.

Lors de la formation, prenez une situation fictive et faites suivre le parcours complet : information reçue, données retenues, service utilisé, réponse préparée, contrôle avant envoi. L’équipe doit pouvoir reconnaître le moment où elle doit interrompre le traitement et demander de l’aide.

Kervia peut vous aider à décrire ce fonctionnement et ses points à examiner. Un premier échange permet d’identifier le besoin et, si nécessaire, de définir une étude détaillée.