Peut-on utiliser l'IA en conseil sans trahir le secret du client ?

La réponse courte : oui pour la méthode, non avec le dossier client tel quel. Une IA grand public est un tiers. Votre prompt est une divulgation à ce tiers. Or la lettre de mission et le NDA que vous avez signés interdisent souvent exactement cela. Le risque n'est donc pas d'abord technique, il est contractuel. S'y ajoutent le secret d'affaires (trade secret), qui suppose des mesures raisonnables de confidentialité, et les données personnelles de salariés que contiennent vos organigrammes. La parade est simple : anonymisez les noms, les chiffres et les détails identifiants avant le prompt. L'IA continue de travailler sur la structure et le raisonnement, qui sont ce que vous lui demandez vraiment.

Ce qu'un consultant colle vraiment dans une IA

Le métier produit des documents à très forte valeur. Ils sont aussi les plus confidentiels de l'entreprise cliente. Voici ce qui finit régulièrement dans un chat.

• Des decks de stratégie client et des plans non encore annoncés.
• Des modèles financiers : marges, coûts, prévisions, grilles de prix.
• Des organigrammes et des notes d'entretien avec les salariés.
• Du matériel de M&A : cibles, valorisations, calendrier de deal.
• Des diagnostics internes, avec noms de clients et de fournisseurs.

Chacun de ces documents est un cocktail de trois risques distincts. Un risque contractuel, un risque de secret d'affaires, un risque de données personnelles. Prenons-les dans l'ordre.

Le problème n°1 : votre contrat, pas la loi

Une lettre de mission encadre ce que vous pouvez faire du matériel du client. Un NDA (accord de confidentialité) va plus loin. Il interdit typiquement de divulguer ce matériel à des tiers non autorisés. C'est là que le raisonnement se ferme tout seul.

1. 1Un service d'IA grand public est une société tierce, extérieure à votre mission.
2. 2Coller un extrait du dossier dans son interface, c'est le lui transmettre.
3. 3Cette transmission est une divulgation à un tiers, au sens du contrat.
4. 4Si le contrat l'interdit, l'usage de l'IA peut constituer une violation.

Ce raisonnement n'est pas théorique. C'est précisément pour cela que les juristes écrivent désormais des clauses IA dans les contrats de conseil. Certaines encadrent l'usage. D'autres l'interdisent purement et simplement. Avant toute chose, relisez donc votre lettre de mission et votre NDA. La clause IA existe peut-être déjà, et vous ne l'avez pas vue.

Le problème n°2 : le secret d'affaires que vous fragilisez

L'OMPI (WIPO, l'organisation mondiale de la propriété intellectuelle) rappelle un point décisif. Un secret d'affaires n'existe que tant que l'information reste secrète. Pour être protégée, elle doit avoir une valeur commerciale parce qu'elle est secrète. Elle doit n'être connue que d'un cercle limité. Et son détenteur doit prendre des mesures raisonnables pour la garder secrète.

L'OMPI cite explicitement les accords de confidentialité parmi ces mesures raisonnables. Elle range aussi les informations financières parmi les exemples de secrets protégeables. Un modèle financier ou une grille de prix entrent donc pile dans la catégorie.

L'OMPI ajoute une nuance très utile pour un consultant. Un secret d'affaires peut être une combinaison d'éléments individuellement publics. C'est la combinaison secrète qui donne l'avantage concurrentiel. C'est la définition même d'un deck de stratégie. Chaque chiffre pris isolément peut sembler anodin ; l'assemblage, lui, ne l'est pas.

Attention à la mécanique exacte, souvent mal comprise. Vous ne perdez pas automatiquement la protection à la seconde où vous collez le texte. Mais la protection dépend de deux conditions : le secret, et les mesures raisonnables. Une divulgation négligente à un tiers attaque les deux. Elle peut donc fragiliser la protection, voire la faire perdre. L'OMPI précise aussi qu'une divulgation contraire aux usages commerciaux honnêtes constitue une violation. Et elle range la rupture de contrat et le manquement à une obligation de confidentialité parmi ces pratiques déloyales. En Europe, l'instrument de référence est la directive (UE) 2016/943 sur les secrets d'affaires.

Le problème n°3 : vos documents contiennent des personnes

Un organigramme n'est pas un schéma neutre. Ce sont des noms, des postes, des liens hiérarchiques. Des notes d'entretien, ce sont des propos attribués à des salariés identifiables. Ce sont des données personnelles, au sens du RGPD (règlement (UE) 2016/679).

L'ICO, le régulateur britannique de la protection des données, pose la distinction structurante. Celui qui détermine les finalités et les moyens du traitement est responsable de traitement. Il en porte la responsabilité juridique. Selon la mission, un cabinet de conseil peut être responsable de traitement, ou sous-traitant pour le compte du client. Dans les deux cas, il n'y a pas d'échappatoire : vous traitez des données personnelles dans un rôle juridique défini, avec les obligations qui vont avec.

Ce que devient réellement votre prompt

Soyons précis, car une confusion circule. Le NCSC, l'agence britannique de cybersécurité, indique qu'une information incluse dans une requête n'est pas automatiquement absorbée par le modèle pour être restituée à d'autres utilisateurs. C'est important, et c'est rassurant sur ce point précis.

Mais la suite l'est beaucoup moins. Toujours selon le NCSC, la requête est visible par l'organisation qui fournit le modèle. Elle est stockée. Elle sera presque certainement utilisée un jour pour développer le service ou le modèle. Le personnel du fournisseur, ses partenaires ou ses sous-traitants peuvent donc être en mesure de la lire. Le NCSC avertit aussi que ces requêtes stockées pourraient être piratées, fuitées ou rendues publiques par accident.

Le NCSC signale un dernier point, taillé pour notre sujet. Il met en garde contre l'agrégation d'informations issues de plusieurs requêtes faites depuis un même compte. Or un consultant traite souvent toute une mission dans le même fil de discussion. Mis bout à bout, ces fragments redessinent le dossier complet.

La parade : anonymiser avant le prompt

Voici la bonne nouvelle. Ce que vous demandez à l'IA, ce n'est presque jamais le nom du client. C'est une structure, une logique, un argument, une reformulation. Le modèle raisonne parfaitement sur un dossier anonymisé. Remplacez le nom du client, les noms des salariés, les montants et les détails identifiants par des jetons. La qualité de la réponse ne bouge pas ; l'exposition, elle, tombe.

1. 1Lisez d'abord la clause IA de la lettre de mission et du NDA.
2. 2Anonymisez le nom du client, les salariés, les montants et les identifiants.
3. 3Envoyez seulement le texte anonymisé au modèle.
4. 4Restaurez les vraies valeurs dans la réponse, en local.
5. 5Pour un usage régulier, exigez un outil entreprise avec DPA signé et clause de non-entraînement.

Un mot sur l'outillage. Le NCSC insiste : les conditions d'utilisation et la politique de confidentialité doivent être comprises avant de poser des questions sensibles. Pour un modèle hébergé, ces conditions deviennent le contrôle principal. La question à poser est simple. Qui peut voir mes requêtes, et à quelles conditions ? C'est l'argument en faveur d'un outil professionnel, plutôt que d'un compte grand public. Exigez un DPA (Data Processing Agreement, accord de traitement des données) signé et un engagement de non-entraînement.

Et si le client interdit l'IA ? Alors c'est non. Un cabinet vend de la confiance. Une fuite n'y est pas un incident cosmétique, c'est une question de survie.

C'est exactement le rôle d'ONYRI Sanitize. Le moteur repère les données sensibles d'un deck ou d'un modèle financier. Noms de sociétés, noms de personnes, montants, coordonnées. Il les remplace par des jetons réversibles avant l'envoi. La détection et le mapping restent dans votre navigateur. Seul un texte anonymisé atteint le modèle. Vous gardez la puissance de l'IA sur la structure et le raisonnement, sans transformer votre prompt en divulgation contraire au NDA que vous avez signé.