Violation de données via un chatbot d’IA : la procédure des 72 premières heures
En bref
Lorsqu’un salarié saisit des données personnelles dans un chatbot d’IA public, les autorités de protection des données y voient une violation de données. Vous disposez de 72 heures après en avoir pris connaissance pour évaluer s’il faut notifier. Établissez ce qui a été partagé, limitez les dégâts (supprimer la conversation, demander la suppression au fournisseur), évaluez le risque pour les personnes, notifiez la CNIL en cas de risque, et documentez tout.
Heures 0 à 4 : constater et contenir
- Réagir sans chercher de coupable. Le salarié qui signale vous donne la meilleure chance d’agir à temps. Remerciez-le.
- Établir ce qui a été partagé. Quel outil, quel compte (personnel ou professionnel), quelles données, concernant combien de personnes, et quand ? Faites des captures d’écran de la conversation avant sa suppression.
- Limiter les dégâts. Supprimez la conversation et les fichiers téléversés. Vérifiez si le compte conserve l’historique ou utilise les données pour l’entraînement, et désactivez-le. Avec un contrat professionnel, demandez par écrit la suppression au fournisseur.
- Informer le DPO et, s’il s’agit aussi d’un incident de sécurité, votre équipe sécurité.
Heures 4 à 48 : évaluer le risque
Toute violation n’est pas à notifier. La question est de savoir si elle est susceptible d’engendrer un risque pour les droits et libertés des personnes concernées. Pesez notamment : Quand l’usage de ChatGPT devient une violation de données : ChatGPT est-il conforme au RGPD ?
| Facteur | Risque plus élevé si… |
|---|---|
| Nature des données | Il s’agit de santé, d’infractions, de données financières ou du numéro de sécurité sociale |
| Volume | De nombreuses personnes sont concernées, par exemple un fichier client entier |
| Identification | Des noms, adresses ou numéros de dossier figuraient dans la saisie |
| Maîtrise | Vous ne pouvez pas obtenir la suppression, par exemple avec un compte personnel |
| Vulnérabilité | Des enfants, des patients ou d’autres personnes vulnérables sont concernés |
Heures 48 à 72 : notifier et documenter
- Notifier la CNIL dans les 72 heures après en avoir pris connaissance, en cas de risque (article 33 du RGPD), via son téléservice. Si vous ne savez pas encore tout, notifiez ce que vous savez et complétez ensuite.
- Informer les personnes concernées si le risque est élevé (article 34 du RGPD), en termes clairs : ce qui s’est passé, les conséquences possibles et ce qu’elles peuvent faire.
- Consigner dans votre registre des violations, même sans notification, avec votre raisonnement.
- NIS2 : la France n’a pas encore transposé la directive, mais les entités concernées ont intérêt à préparer dès maintenant une alerte sous 24 heures pour les incidents importants. Voir NIS2 et IA.
Ensuite : éviter que cela se reproduise
Une violation via l’IA n’est presque jamais malveillante. C’est un salarié qui cherchait de l’aide dans son travail. La ville néerlandaise d’Eindhoven a constaté en 2025 que cela se produisait à grande échelle. Voir Shadow AI. Solutions structurelles :
- un environnement d’IA validé permettant les mêmes tâches, y compris sur des données sensibles ;
- des garde-fous bloquant numéros de sécurité sociale, IBAN et numéros de dossier avant qu’ils n’atteignent un modèle ;
- le blocage des services d’IA publics, une fois l’alternative en place ;
- une charte IA et une formation. Voir Rédiger une charte IA.
Avec werqly, cet environnement tourne sur votre propre nœud, dans votre salle serveur. Ce qui y est saisi ne quitte pas votre organisation : aucun fournisseur d’IA externe n’obtient d’accès non autorisé, donc pas de violation de ce type.
Questions fréquentes
Questions sur ce sujet
Saisir des données personnelles dans ChatGPT est-il toujours une violation ?
Lorsqu’un salarié le fait de sa propre initiative et contrairement aux consignes, les autorités y voient une violation : le fournisseur obtient un accès non autorisé. La nécessité de notifier dépend du risque pour les personnes concernées.
Dans quel délai faut-il notifier ?
Dans les 72 heures après avoir pris connaissance de la violation, si elle est susceptible d’engendrer un risque pour les personnes concernées. S’il manque des informations, notifiez ce que vous savez et complétez ensuite.
Puis-je demander à OpenAI de supprimer les données ?
Avec un contrat professionnel, vous pouvez demander la suppression, et la durée de conservation est souvent encadrée. Avec le compte personnel d’un salarié, celui-ci peut supprimer la conversation, mais l’organisation n’a aucune prise contractuelle.
Faut-il sanctionner le salarié ?
C’est généralement contre-productif : si le signalement est sanctionné, les incidents suivants restent cachés. Attaquez la cause : une alternative validée, des règles claires et une formation.
Sources
- CNIL — Notifier une violation de données personnelles
- RGPD (règlement (UE) 2016/679), articles 33 et 34
- Autoriteit Persoonsgegevens — Caution: use of AI chatbot may lead to data breaches (2024)
Cet article est une information générale, pas un conseil juridique. Les règles et les recommandations évoluent ; en cas de doute, consultez les sources citées ou votre juriste ou DPO.