10 façons dont vos données peuvent fuir — sans le moindre piratage
Aucune de ces fuites ne nécessite un hacker : elles commencent toutes par « ça devrait aller » et finissent souvent par « on peut supprimer ça avant que la direction le voie ? ». Le problème n'est pas l'IA — c'est l'humain qui lui confie les clés du château et s'étonne qu'elle visite toutes les pièces. Voici les 10 angles morts et le réflexe qui les neutralise.
1. Capture d'écran
Risque — Vous avez investi dans la sécurité ; la touche « Impr. écran », elle, ne coûte rien à contourner.
Réflexe — Masquer les données sensibles à l'écran et tracer les exports.
2. Copier-coller
Risque — Le plus grand concurrent de votre RSSI, c'est Ctrl+C.
Réflexe — Définir noir sur blanc ce qui ne doit jamais finir dans une IA.
3. Connecteur / plugin tiers
Risque — Un outil branché via une URL inconnue peut accéder à bien plus que prévu — et en connaître d'autres que vous ne voyez pas.
Réflexe — Inventorier les connecteurs, n'installer que des sources vérifiées, au strict nécessaire.
4. Historique oublié
Risque — Un prompt confidentiel d'il y a des mois vit peut-être encore dans un historique.
Réflexe — Activer la suppression automatique des conversations sensibles.
5. Email automatique
Risque — L'IA envoie parfois le bon message… à la mauvaise personne.
Réflexe — Validation humaine obligatoire pour tout message externe sensible.
6. Outil de réunion
Risque — « Cette réunion sera enregistrée » — la phrase la plus ignorée après « avez-vous lu les CGU ? ».
Réflexe — Définir quelles réunions peuvent réellement être enregistrées.
7. Agent trop permissif
Risque — CRM, puis Drive, puis SharePoint, puis l'ERP… vous avez adopté un agent très curieux.
Réflexe — Limiter les accès au strict nécessaire, périmètre par périmètre.
8. Prompt partagé
Risque — « J'ai anonymisé les données »… puis vient la ligne « Bonjour Monsieur Dupont ».
Réflexe — Créer des modèles de prompts déjà nettoyés de toute donnée réelle.
9. Base documentaire mal réglée
Risque — Quand un profil junior peut consulter les documents du COMEX, on appelle ça un incident.
Réflexe — Tester régulièrement les droits d'accès réels, pas seulement théoriques.
10. Entraînement par erreur
Risque — Un clic sur « Accepter » et vos données nourrissent peut-être le modèle.
Réflexe — Vérifier les paramètres d'entraînement (Paramètres → Confidentialité) avant tout déploiement.
Vous traitez des données confidentielles d'un client ? Le protocole en 6 étapes
Cas concret : un client vous confie sa grille des salaires à analyser, ou son grand livre comptable à auditer. Ces fichiers contiennent des données personnelles (rémunérations, noms de salariés, fournisseurs) : le RGPD s'applique pleinement — et la CNIL est claire, c'est votre structure qui en est juridiquement responsable, pas « l'outil » ni le collaborateur qui a fait le copier-coller. Voici le protocole qui vous permet de dire oui à la mission, en confiance.
Choisir le bon cadre — avant d'ouvrir Claude. Sur les plans Team et Enterprise, les conditions commerciales s'appliquent : vos données ne servent jamais à entraîner les modèles, et un accord de sous-traitance (DPA) est inclus. Sur un compte individuel Pro/Max : Paramètres → Confidentialité, désactivez « Aider à améliorer Claude », et n'utilisez jamais les pouces 👍/👎 sur ces conversations — le feedback transmet toute la conversation à Anthropic.
Poser le cadre juridique avec le client. Vous agissez en sous-traitant au sens du RGPD : mentionnez l'usage d'une IA dans la lettre de mission, appuyez-vous sur le DPA d'Anthropic (sur trust.anthropic.com), informez le client par écrit et inscrivez le traitement à votre registre. Traitement RH d'ampleur ? Analyse d'impact (AIPD) et avis du DPO.
Minimiser : n'envoyez que les colonnes utiles. Une analyse d'équité salariale n'a besoin ni des noms, ni des IBAN, ni des adresses. Supprimez les colonnes identifiantes du fichier avant l'envoi — c'est la mesure la plus efficace, et la plus simple.
Pseudonymiser le reste. Remplacez noms et matricules par des codes (S001, S002…) et conservez la table de correspondance en local, chez vous — jamais dans Claude. « S014 · cadre · 58 k€ » s'analyse exactement aussi bien que « Mme Martin ». Demandez d'ailleurs à Claude de générer le fichier pseudonymisé… sur votre machine, via Cowork.
Verrouiller l'environnement de travail. Un Projet dédié au client (instructions + fichiers isolés), connecteurs et recherche web désactivés le temps de l'analyse, suppression de la conversation en fin de mission si votre politique le prévoit. Le plan Enterprise ajoute SSO, journaux d'audit et durée de rétention personnalisée.
Restituer proprement. Re-personnalisez les résultats en local grâce à votre table de correspondance, puis vérifiez qu'aucun livrable ne repart avec des données réelles vers d'autres outils — slides, emails, drive partagé.
Prenez un fichier client, supprimez les colonnes identifiantes et remplacez les noms par des codes avant tout envoi.
Résultat attendu : Un fichier pseudonymisé, et une table de correspondance conservée en local.