Hidden Tokens / Blog

Comment utiliser ChatGPT ou Claude avec des données clients sans les exposer

L'IA générative fait gagner des heures sur les contrats, les notes et les tableurs. Le problème, c'est ce qui voyage avec le fichier : les noms de vos clients, leurs identifiants et leurs chiffres. Voici comment garder le gain de productivité sans l'exposition.

L'équipe Hidden Tokens · 24 octobre 2026 · mis à jour le 28 octobre 2026 · 5 min de lecture

Ce qui se passe vraiment quand vous collez un dossier client dans une IA

Quand quelqu'un dépose un contrat dans ChatGPT, Claude, Gemini ou Copilot, le texte entier part sur les serveurs du fournisseur pour y être traité. Avec lui partent chaque nom, chaque numéro SIREN ou ICE, chaque IBAN, chaque salaire et chaque adresse qu'il contient. La suite dépend du fournisseur, du produit et de l'offre : combien de temps les conversations sont conservées, si elles peuvent être relues pour la détection des abus, si elles peuvent servir à améliorer les modèles, et dans quel pays elles sont traitées.

Rien de cela n'est forcément malveillant. Mais pour une organisation qui doit la confidentialité à ses clients ou à ses salariés, cela pose trois problèmes concrets :

• La perte de maîtrise. Une fois le fichier parti, vous dépendez des réglages, des contrats et de la sécurité d'un autre pour des données dont vous répondez.
• L'exposition juridique. Au regard du RGPD, envoyer des données personnelles à un fournisseur d'IA est un traitement : il faut une base légale, un contrat de sous-traitance (article 28) et, hors de l'Union, une garantie de transfert (chapitre V). Au Maroc, la loi 09-08 encadre de même ce traitement et soumet le transfert vers l'étranger à ses articles 43 et 44. Avocats, experts-comptables, médecins et bien d'autres sont en outre tenus à un secret professionnel qu'un contrat avec un éditeur ne suffit pas forcément à respecter. Pour l'avocat, ce secret couvre « en toutes matières » les consultations, les correspondances et toutes les pièces du dossier (loi n° 71-1130 du 31 décembre 1971, article 66-5) ; il appartient au client, et le cabinet ne peut pas y renoncer en acceptant les conditions d'utilisation d'un fournisseur.
• L'absence de preuve. Si un client, la CNIL, la CNDP ou un ordre demande ce que l'IA a reçu, la plupart des équipes ne savent pas répondre.

Les quatre façons dont les organisations réagissent

1. Interdire l'IA

C'est le réflexe, et il tient rarement. Le gain de productivité est trop grand : les équipes continuent d'utiliser l'IA, sur des comptes personnels, sur leur téléphone, hors de toute charte. Une interdiction déplace le risque hors de vue. Beaucoup d'organisations parlent désormais d'IA fantôme (« shadow AI »).

2. Souscrire une offre professionnelle ou entreprise

Les offres professionnelles des fournisseurs d'IA viennent avec de meilleures conditions : pas d'entraînement sur vos données par défaut, de l'administration, une conservation plus courte, parfois le choix de la région d'hébergement. C'est un vrai progrès, et souvent un préalable. Mais cela améliore le contrat, pas le contenu : le fournisseur reçoit toujours les noms et les chiffres de vos clients, et vous faites toujours confiance à ce qui se passe sur des serveurs que vous ne pouvez pas inspecter. La grille de lecture du CNB le relève : l'engagement de ne pas réutiliser les données n'est « en général ni prouvable ni vérifiable ».

3. Caviarder à la main

Certaines équipes noircissent les noms avant de déposer le fichier. Cela marche pour un document court. Cela ne tient pas pour un dossier de quarante pièces, il est facile d'oublier un nom, et cela casse le raisonnement de l'IA : si chaque personne devient « [CAVIARDÉ] », l'IA ne sait plus qui a fait quoi. Nous détaillons les pièges dans comment caviarder un fichier Word ou Excel avant qu'une IA le lise.

4. Pseudonymiser sur le poste, puis décoder sur le poste

La quatrième approche retire les identités avant que le fichier ne quitte l'ordinateur, mais les remplace par des codes cohérents plutôt que par des cases noires. « Ghizlane Ouarzazi » devient NOM-001 dans toutes les pièces du dossier ; « Sanaflux Logistique SARL » devient SOCIETE-001. L'IA peut encore raisonner, comparer et rédiger, parce que la structure est intacte. Quand le résultat revient, les codes sont remplacés par les vraies valeurs sur votre poste. La clé qui relie les codes aux identités ne sort jamais.

C'est ce que les juristes et les spécialistes de la protection des données appellent la pseudonymisation, et c'est l'approche qu'automatise Hidden Tokens. Le guide du CNB sur la déontologie et l'IA (avril 2026) recommande d'ailleurs de « pseudonymiser ou anonymiser systématiquement les données avant toute utilisation d'un outil d'IA générative ».

Une liste de contrôle avant que vos équipes utilisent l'IA sur des dossiers clients

1. Cartographiez les flux. Quelles équipes utilisent quelle IA, pour quels documents ? Posez la question ; la réponse est en général « plus que vous ne le pensez ».
2. Choisissez l'offre en connaissance de cause. Une offre professionnelle avec un contrat de sous-traitance plutôt que des comptes personnels, et lisez ses réglages de données.
3. Décidez de ce qui peut sortir du cabinet. Pour la plupart des dossiers clients, la règle la plus facile à défendre est : les identités ne sortent jamais, seuls les codes sortent.
4. Codez des dossiers entiers, pas des prompts isolés. Le même client doit porter le même code dans toutes les pièces, sinon le résultat de l'IA sera incohérent.
5. Couvrez aussi le navigateur. Les fichiers ne sont que la moitié du flux ; les messages tapés dans ChatGPT ou claude.ai demandent la même protection.
6. Surveillez les identifiants indirects. « Le dirigeant d'une biotech lyonnaise, né en 1971 » désigne quelqu'un sans le nommer.
7. Gardez la preuve. Soyez en mesure de montrer à un client, à un DPO ou à un auditeur ce que l'IA a réellement reçu.
8. Écrivez-le. Une charte IA d'une page que les équipes peuvent suivre vaut mieux qu'une longue qu'elles ne suivront pas. Ajoutez-y le registre des traitements et, quand le RGPD ou la loi 09-08 l'exige, l'analyse d'impact.

À quoi ressemble une bonne organisation

Dans un cabinet bien organisé, l'avocat dépose le dossier dans un dossier surveillé ; chaque pièce est codée sur le portable en quelques secondes ; il travaille dans Claude ou ChatGPT sur les copies codées (essayez sur un dossier d'exemple) ; la note que rédige l'IA revient avec les vrais noms, dans Word, sur le même portable. Rien d'identifiant n'a quitté le cabinet, et un journal local montre exactement ce que l'IA a vu.

C'est pour ce parcours que Hidden Tokens a été conçu. Quel que soit l'outil que vous choisissez, jugez-le sur les trois mêmes questions : la clé reste-t-elle chez vous, les codes restent-ils cohérents sur tout le dossier, et pouvez-vous prouver ce que l'IA a reçu ?

Sources : RGPD, article 28 et chapitre V ; loi n° 09-08 du 18 février 2009, articles 43 et 44 ; loi n° 71-1130 du 31 décembre 1971, article 66-5 ; CNB, Grille de lecture du groupe de travail sur l'intelligence artificielle, juin 2025, v1.2 ; CNB, La déontologie et l'intelligence artificielle, avril 2026. Détail et liens dans notre rapport État de la confidentialité de l'IA 2026. Cet article ne vaut pas avis juridique.