IA et données d'entreprise : les règles simples à suivre

Les outils d'IA gratuits et publics sont utiles pour des tâches générales. Mais selon le service et ses paramètres, ce que vous tapez peut être stocké, relu par le fournisseur ou utilisé pour améliorer le service. En règle simple, ne collez pas :

• des noms de clients avec numéros de téléphone, adresses ou numéros d'identité
• des coordonnées bancaires, des données de paiement ou des factures contenant des informations personnelles
• des dossiers du personnel, des salaires ou des informations médicales
• des contrats, mots de passe ou codes d'accès
• des projets confidentiels, des conditions fournisseurs ou des stratégies de prix

Si vous avez besoin d'aide sur un document, retirez d'abord les noms et les éléments d'identification, ou utilisez un outil validé par votre entreprise.

Beaucoup de fournisseurs d'IA proposent des offres professionnelles à côté de leurs offres gratuites ou personnelles. Les offres professionnelles s'accompagnent souvent d'engagements plus solides : vos données ne servent pas à entraîner le service, les responsables contrôlent qui y a accès, et les règles de conservation des données sont plus claires.

« Souvent » est le mot clé. Lisez les conditions, ou demandez à une personne de confiance de les lire pour vous. Cherchez des réponses claires à trois questions :

1. Mes données servent-elles à entraîner ou améliorer le service ?
2. Qui, chez le fournisseur, peut les voir, et quand ?
3. Combien de temps sont-elles conservées, et puis-je les supprimer ?

Assurez-vous aussi que le personnel utilise le compte de l'entreprise pour le travail, et non son compte personnel.

Quand un assistant IA est connecté à vos systèmes, comme votre messagerie, votre fichier clients ou votre outil comptable, il ne voit que ce à quoi vous lui donnez accès. Donnez-lui le strict nécessaire. Un assistant de prise de rendez-vous a besoin de votre agenda, pas de votre compte bancaire.

C'est la même chose pour les personnes. Chaque employé n'a pas besoin de chaque outil d'IA ni de chaque fichier connecté. Utilisez des identifiants séparés, supprimez les accès quand quelqu'un part, et activez la vérification en deux étapes (un code envoyé sur votre téléphone à la connexion) partout où c'est possible.

Les outils d'IA écrivent avec aisance, ce qui rend leurs erreurs faciles à manquer. Ils peuvent inventer un chiffre, mal lire un contrat, confondre deux clients ou citer une règle qui n'existe pas, le tout sur un ton calme et convaincant. Exemples fréquents :

• un résumé qui omet la seule condition importante
• une traduction qui change le sens d'une phrase
• un calcul qui semble juste mais ne l'est pas
• une réponse qui promet quelque chose que votre entreprise ne propose pas

C'est pourquoi une personne doit toujours vérifier tout ce qui est important avant envoi : devis, contrats, chiffres financiers, informations juridiques ou médicales, et messages aux clients clés. L'IA prépare, un humain valide.

Pas besoin d'un manuel épais. Une page, rédigée simplement et partagée avec tout le monde, couvre l'essentiel des risques. Elle peut inclure :

• Outils approuvés : les outils d'IA que le personnel peut utiliser pour le travail.
• Ne jamais partager : les types de données qui ne doivent jamais aller dans un outil d'IA.
• Toujours vérifier : les productions qui doivent être relues par une personne avant envoi.
• Être transparent : les clients sont informés lorsqu'ils échangent avec un assistant IA.
• Demander d'abord : à qui s'adresser en cas de doute.
• Signaler les erreurs : que faire si quelqu'un partage quelque chose par accident.

Relisez cette page tous les quelques mois. Les outils évoluent vite, et votre charte doit suivre.

Dans beaucoup d'entreprises marocaines, les données les plus à risque ne sont pas dans une base de données. Elles se trouvent dans des discussions WhatsApp, des messages vocaux et des photos sur les téléphones du personnel. Cela change ce que « ne pas coller de données privées » veut dire en pratique.

Soyez attentif à ces habitudes du quotidien :

• Transférer des conversations WhatsApp avec des clients vers un outil d'IA pour les résumer. Ces échanges contiennent souvent des noms, numéros de téléphone, adresses et détails de commande.
• Photographier des documents comme une CIN, un RIB, un chèque ou un contrat signé, puis importer la photo pour demander à l'IA de « la lire ».
• Transcrire des messages vocaux en darija de clients ou de fournisseurs. La voix elle-même, comme ce qui est dit, peut constituer une donnée personnelle.
• Demander à l'IA de traduire entre l'arabe, le français et la darija. La traduction est un bon usage de l'IA, mais vérifiez soigneusement le sens, surtout dans les contrats et les messages aux clients. La darija en particulier est traitée de façon inégale par les outils d'IA.

La loi 09-08 encadre aussi le transfert de données personnelles hors du Maroc, et de nombreux services d'IA traitent les données sur des serveurs à l'étranger. C'est une raison de plus pour retirer les noms, numéros de CIN et coordonnées bancaires avant d'utiliser un outil public, et pour demander à tout fournisseur où vos données sont stockées.

Quelques mesures pratiques adaptées à la façon dont travaillent les équipes locales :

1. Rédigez votre charte IA d'une page dans les langues que votre personnel lit vraiment, souvent le français et l'arabe, et expliquez-la de vive voix en darija lors d'une réunion d'équipe.
2. Convenez que les discussions WhatsApp avec les clients sont des informations de l'entreprise, pas un matériau personnel pour faire des essais.
3. Montrez au personnel comment masquer un nom ou un numéro avant d'importer une photo.
4. Confiez à une seule personne la validation des nouveaux outils d'IA, pour que la décision ne revienne pas au premier qui découvre une nouvelle application.

Dans les entreprises familiales, où les rôles sont souvent informels, mettre ces règles simples par écrit compte encore plus. Chacun sait alors ce qui est autorisé, y compris les proches qui donnent un coup de main.

Le Maroc dispose d'une loi sur la protection des données personnelles, la loi 09-08, dont l'application est contrôlée par la CNDP, l'autorité nationale de protection des données. Si vos outils d'IA traitent des informations personnelles sur vos clients ou votre personnel, vous pouvez avoir des obligations, par exemple en matière de consentement et de traitement de ces données.

Cet article constitue un conseil général, pas un avis juridique. Vérifiez votre situation avec un conseiller qualifié ou directement auprès de la CNDP. Les entreprises d'autres pays africains doivent aussi vérifier leur réglementation nationale.

Africodex aide les entreprises à faire le point sur leur usage de l'IA, à choisir des outils adaptés et à mettre en place des assistants avec des contrôles d'accès raisonnables et des vérifications humaines intégrées. Si vous souhaitez un deuxième avis sur votre configuration, nous serons ravis de vous aider.