Régler un assistant IA pour protéger ses données
Une checklist valable pour tous les assistants IA : entraînement, historique, mémoire, partage, connecteurs et suppression des données.
Sommaire de la page
Avant de commencer
Les noms des menus changent selon l'assistant, l'appareil et le type de compte. Cherchez des rubriques comme Confidentialité, Données, Historique, Mémoire, Personnalisation ou Contrôles des données. Si un réglage n'existe pas ou reste incompréhensible, considérez que l'information vous manque et ne transmettez pas de donnée personnelle.
Cette fiche s'applique aux assistants qui produisent du texte, des images, du son ou du code. Un grand modèle de langage, souvent appelé LLM, est le modèle qui permet notamment à un assistant de comprendre et de produire du texte.
Les réglages indispensables
1 - Refuser l'utilisation pour l'entraînement
Dans les réglages de confidentialité ou de données, désactivez, lorsqu'elle existe, l'option permettant d'utiliser vos conversations, fichiers, images ou enregistrements pour entraîner, améliorer ou développer les modèles.
Le bouton peut porter un autre nom. Lisez la phrase entière : une option formulée positivement comme « contribuer à l'amélioration » doit généralement être désactivée si vous refusez cette réutilisation.
Important : désactiver l'entraînement ne garantit pas l'effacement immédiat de vos échanges. Le fournisseur peut encore annoncer une conservation limitée pour la sécurité, la prévention des abus ou une obligation légale. Vérifiez séparément la durée de conservation.
2 - Limiter l'historique et la mémoire
- Utilisez une conversation temporaire ou sans historique lorsqu'elle est proposée.
- Désactivez la mémoire si vous ne voulez pas que l'assistant réutilise des informations d'une conversation à l'autre.
- Examinez ce que l'assistant dit avoir mémorisé et supprimez les éléments inutiles.
- Ne confondez pas la suppression d'une conversation avec la suppression de la mémoire : certains services les gèrent séparément.
3 - Couper les accès inutiles
Vérifiez les connecteurs et autorisations : messagerie, agenda, stockage en ligne, contacts, appareil photo, microphone, localisation et fichiers. N'autorisez que ce qui est nécessaire pour la tâche du moment, puis retirez l'accès lorsque vous avez terminé.
Dans un cadre associatif ou professionnel, n'ajoutez pas un connecteur vers une boîte aux lettres, un espace partagé ou un fichier de membres sans décision préalable de l'organisme et sans vérifier le cadre RGPD.
4 - Contrôler le partage
- N'activez pas un lien public de conversation par défaut.
- Avant de partager, relisez le titre, le texte, les pièces jointes et les informations cachées dans les documents.
- Supprimez les anciens liens de partage devenus inutiles.
- Vérifiez qui peut ouvrir le lien : toute personne qui le reçoit, des personnes nommées ou seulement vous.
5 - Préparer la suppression
Repérez avant d'en avoir besoin les commandes permettant de supprimer une conversation, les fichiers envoyés, la mémoire et le compte. Si nécessaire, demandez au fournisseur quelles données il conserve encore et pendant combien de temps. Le RGPD prévoit notamment des droits d'accès, d'opposition, de rectification, de portabilité et, dans certaines situations, d'effacement.
Le réglage le plus sûr reste ce que vous ne transmettez pas
Même avec de bons réglages, appliquez le principe de minimisation : ne fournissez que les informations nécessaires.
Ne copiez pas dans un assistant grand public :
- une liste de membres, des adresses, des numéros de téléphone ou des dates de naissance ;
- des informations médicales, sociales, bancaires ou fiscales ;
- un mot de passe, un code reçu par SMS, une pièce d'identité ou un justificatif ;
- un compte rendu nominatif, un dossier de salarié, un document confidentiel ou une conversation privée ;
- la photo ou la voix reconnaissable d'une autre personne sans nécessité et sans l'en informer.
Pour un exercice, remplacez les noms, dates, lieux et chiffres par des données fictives. Retirer seulement le nom ne suffit pas toujours : plusieurs détails peuvent permettre de reconnaître une personne.
La checklist en deux minutes
Avant d'utiliser un assistant, vérifiez :
- Entraînement ou amélioration des modèles : désactivé, si le réglage existe.
- Historique : désactivé ou conversation temporaire pour un besoin ponctuel.
- Mémoire et personnalisation : désactivées si elles ne sont pas utiles.
- Connecteurs et autorisations : aucun accès inutile.
- Partage public : désactivé ; anciens liens supprimés.
- Conservation : durée annoncée repérée dans la politique de confidentialité.
- Suppression et export : commandes localisées et droits compris.
- Contenu envoyé : aucune donnée sensible ou inutile.
Refaites cette vérification après une mise à jour importante : un service peut ajouter un réglage ou modifier ses conditions.
Service en ligne ou solution libre locale ?
Un logiciel libre donne la liberté d'utiliser, d'étudier, de modifier et de redistribuer le programme. Cela permet notamment de contrôler son fonctionnement ou de le faire vérifier. Libre ne veut pas dire automatiquement gratuit, simple, sécurisé ou conforme au RGPD.
Une solution exécutée entièrement sur votre ordinateur peut limiter l'envoi des conversations à un fournisseur. Mais il faut encore vérifier :
- que le programme est téléchargé depuis sa source officielle et régulièrement mis à jour ;
- que le modèle et les extensions ne contactent pas un service externe ;
- que l'ordinateur est protégé et assez puissant ;
- où sont enregistrés l'historique, les fichiers et les sauvegardes ;
- qui peut ouvrir la session de l'ordinateur.
Pour des données personnelles ou des documents sensibles dans une organisation, la CNIL indique qu'une solution déployée sur site peut être plus appropriée qu'un service grand public. Ce choix ne se résume toutefois pas au logiciel : il demande une analyse du besoin, des risques, de l'hébergement, des accès et des responsabilités.
Ce que cette fiche ne peut pas garantir
- Un réglage visible aujourd'hui peut changer de nom ou disparaître.
- Une option désactivée ne prouve pas à elle seule tout le fonctionnement interne du service.
- La suppression affichée peut être soumise à des délais ou à des exceptions légales.
- Un logiciel libre ou local n'est pas automatiquement privé : sa configuration et ses connexions comptent.
- Pour un usage associatif ou professionnel comportant des données personnelles, cette checklist ne remplace pas l'avis du responsable de l'organisme ou de son délégué à la protection des données.
Sources officielles
- Questions-réponses sur l'utilisation d'un système d'IA générative, CNIL, 18 juillet 2024, français.
- Les six grands principes du RGPD, CNIL, consulté le 12 octobre 2026, français.
- Les droits pour maîtriser vos données personnelles, CNIL, consulté le 12 octobre 2026, français.
- Recommandations de sécurité pour un système d'IA générative, ANSSI, 29 avril 2024, français.
- Qu'est-ce que le logiciel libre ?, projet GNU, consulté le 12 octobre 2026, français.