Protéger sa vie privée lors de l'utilisation d'outils d'IA
Ce que vous saisissez dans un chatbot (agent conversationnel) d'IA est visible par l'entreprise qui le fournit, et les requêtes stockées en ligne peuvent être piratées, divulguées ou rendues accessibles publiquement par accident (UK NCSC).
Ce que recommandent les autorités de régulation et les agences de cybersécurité
- Ne communiquez pas d'informations sensibles aux chatbots publics. Le National Cyber Security Centre britannique recommande de ne pas inclure d'informations sensibles dans les requêtes adressées aux modèles de langage d'IA publics, et de ne pas soumettre de requêtes qui poseraient problème si elles étaient rendues publiques (NCSC).
- Lisez d'abord les conditions d'utilisation et la politique de confidentialité. Selon le NCSC, les requêtes sont stockées et seront presque certainement utilisées à un moment ou à un autre pour développer le service ; il faut donc comprendre les conditions d'utilisation et la politique de confidentialité avant de poser des questions sensibles (NCSC).
- Omettez les données personnelles. L'agence espagnole de protection des données conseille de ne pas partager de données personnelles avec les outils d'IA, comme votre nom complet, votre adresse, votre numéro de téléphone, votre numéro de pièce d'identité ou des images de personnes, ni d'informations sensibles comme des données médicales ou financières, et suggère de décrire plutôt un cas fictif (AEPD).
- N'utilisez pas d'images d'autres personnes pour générer de nouveaux contenus, en particulier des images d'enfants ; selon l'agence, cela pourrait enfreindre la législation sur la protection des données, voire constituer une infraction pénale (AEPD).
- Au travail, suivez les règles de votre organisation en matière d'information et de sécurité, et n'incluez pas d'informations confidentielles sur l'organisation, son personnel ou ses clients (AEPD).
- Paramètres d'historique des conversations. Les consignes destinées aux juges et à leur personnel d'appui en Angleterre et au pays de Galles leur demandent de désactiver l'historique des conversations dans les chatbots d'IA publics lorsque cette option existe, car cela devrait empêcher l'utilisation de leurs données pour entraîner le chatbot, mais préviennent que, même avec l'historique désactivé, il faut partir du principe que les données saisies sont divulguées (consignes judiciaires).
- Soyez prudent avec les outils d'IA qui traitent des contenus rédigés par d'autres. Un texte caché dans un document, comme un CV, peut finir par être traité par un système d'IA comme une instruction. Le NCSC appelle cela l'injection de prompt indirecte et affirme que de telles attaques pourraient ne jamais être totalement atténuées (NCSC).
- Les entreprises doivent tenir leurs engagements en matière de confidentialité. La Federal Trade Commission américaine a averti les entreprises de type model-as-a-service, qui développent et hébergent des modèles d'IA destinés à être utilisés par d'autres, que si elles ne respectent pas leurs engagements de confidentialité envers leurs utilisateurs et clients, y compris les promesses de ne pas utiliser les données des clients à des fins secrètes comme l'entraînement de leurs modèles, elles peuvent engager leur responsabilité au titre des lois qu'elle applique (FTC).
- Si vous pensez que vos données ont été mal traitées, dans la plupart des cas, adressez-vous d'abord à l'organisation concernée. Au Royaume-Uni, si sa réponse ne vous satisfait pas, vous pouvez ensuite déposer une plainte auprès de l'Information Commissioner's Office (ICO).
Sources
- ChatGPT and large language models: what's the risk?, National Cyber Security Centre britannique, 14 mars 2023.
- Prompt injection is not SQL injection (it may be worse), National Cyber Security Centre britannique, 8 décembre 2025.
- La AEPD publica un decálogo con recomendaciones para proteger la privacidad al usar herramientas de IA, Agence espagnole de protection des données (AEPD), 27 janvier 2026.
- Artificial Intelligence (AI) – Judicial Guidance (October 2025), Courts and Tribunals Judiciary, 31 octobre 2025.
- AI Companies: Uphold Your Privacy and Confidentiality Commitments, Federal Trade Commission américaine.
- Check if you can complain, Information Commissioner's Office britannique.