Ça arrive. Un collaborateur colle un contrat client dans ChatGPT pour gagner cinq minutes, sans se douter que le fichier contenait le nom, l'adresse et les coordonnées bancaires d'un client, et il s'en aperçoit une fois la réponse affichée. Le réflexe, c'est la panique. À tort. Une fuite de données via une IA se gère, à condition d'agir vite et dans le bon ordre. Voici la marche à suivre.
Constater
Identifier ce qui est parti, quand, et vers quel outil.
Contenir
Couper l'accès, supprimer la conversation, changer ce qui peut l'être.
Notifier
Informer la CNIL sous 72h si risque, et les personnes si risque eleve.
Prevenir
Pseudonymiser a la source pour que ca ne se reproduise plus.
A noter : ceci est une demarche générale, pas un avis juridique. Selon le contexte, faites valider la qualification de la violation et l'obligation de notification par votre DPO ou un conseil.
Le réflexe qui change tout : prevenir
Presque toujours, l'incident naît d'un geste anodin. Pas de malveillance. Juste quelqu'un qui voulait aller plus vite. Interdire l'IA ne règle rien, car les équipes la réutiliseront en douce, sur un compte perso, là où vous ne voyez plus rien passer. La vraie parade est ailleurs. Elle consiste à faire en sorte que les données identifiantes ne quittent jamais vos murs. Pseudonymisez le document avant de le coller, et la fuite disparaît. Plus rien à notifier. Plus rien à contenir.
Le coût d'une fuite
L'amende n'est que la partie visible. Une fuite coûte aussi des heures passées à colmater, de la confiance abîmée auprès du client concerné, et une réputation qui met des mois à se reconstruire alors qu'elle s'effondre en une après-midi. Nous avons chiffré tout cela dans le coût d'une fuite via l'IA.
Safe-Doc agit en amont. Il masque les données identifiantes avant qu'elles n'atteignent l'IA, traite tout en Union européenne, puis purge sans rien conserver, ce qui ferme la brèche au lieu de courir derrière une fuite déjà partie. Pour le détail, voir le guide ChatGPT et RGPD en entreprise.
Le meilleur incident est celui qui n'arrive jamais. Pseudonymisez avant l'IA. Une habitude, et le problème s'éteint.