Peut-on utiliser l'IA pour organiser un événement sans risque ?

Utiliser l'IA pour organiser un événement est sûr à une condition : tenir votre liste d'invités brute à l'écart. L'IA peut bâtir un planning, rédiger des e-mails prestataires ou penser un plan de table. Elle n'a pas besoin des vrais noms pour ça. Mais une liste d'invités contient plus que des noms. Elle porte des coordonnées, et souvent des notes de régime et d'accessibilité. Sous le RGPD, une note comme halal ou une allergie aux fruits à coque peut révéler la religion ou la santé. Ce sont des données sensibles. Anonymisez les noms avant le prompt, et ne collez jamais un numéro de carte.

Une liste d'invités contient plus que des noms

Ouvrez n'importe quelle liste d'invités. Vous y trouvez des noms à côté de coordonnées. Des numéros de téléphone. Des adresses e-mail. Parfois une adresse postale pour les invitations. En soi, c'est déjà une donnée personnelle. Le RGPD la protège. Vous manipulez les informations d'autrui, pas les vôtres.

Viennent ensuite les notes. Une colonne pour les repas. Une colonne pour les besoins d'accès. Une place pour fauteuil roulant. Une salle au calme. Un interprète en langue des signes. Ces petites notes rendent la liste bien plus sensible qu'elle n'en a l'air.

• Noms et coordonnées — téléphone, e-mail, parfois une adresse postale.
• Notes de régime — une allergie, ou un régime halal, casher ou médical.
• Besoins d'accessibilité et d'aménagement — accès de plain-pied, salle au calme, interprète.
• Parfois des mineurs — des enfants viennent aux mariages et fêtes de famille, et leurs données sont plus protégées.

Pourquoi les notes de régime et d'accès sont sensibles

C'est le point que les organisateurs oublient. Sous l'article 9 du RGPD, certaines données sont plus protégées. Cela inclut les données révélant les convictions religieuses ou philosophiques. Cela inclut aussi les données de santé. Une note de régime ou d'accès peut pointer droit vers ces catégories.

L'ICO britannique (Information Commissioner's Office) le dit clairement. Un choix comme halal ou casher peut révéler la religion d'une personne. Une note sur la santé ou un handicap est une donnée de santé. Une liste d'invités avec des notes d'allergie ou d'accès peut donc contenir des données sensibles.

La portée a des limites, et ça compte. Une simple note « végétarien » est plus faible. Halal ou casher pointe vers une conviction. « Cœliaque » ou « allergie aux arachides » pointe vers la santé. Une donnée sensible exige plus qu'une base légale ordinaire. Il faut aussi une condition distincte de l'article 9. Coller toute la liste dans un chatbot grand public n'en est pas une.

Numéros de carte et acomptes : un autre règlement

Un événement, c'est de l'argent. Acomptes, paiements prestataires, remboursements. Des numéros de carte circulent donc dans votre boîte mail. Les données de carte ont leur propre règlement. Il s'appelle PCI DSS (la norme de sécurité des données de l'industrie des cartes de paiement). Le PCI Security Standards Council la pilote, fondé par American Express, Discover, JCB, Mastercard et Visa.

PCI DSS est strict sur les données de carte. Vous ne pouvez les garder que pour une raison métier ou légale réelle. Un numéro de carte stocké doit être rendu illisible. Les données d'authentification sensibles — la piste complète ou le code de sécurité — ne doivent jamais être conservées après l'autorisation. L'affichage est plafonné aux six premiers ou quatre derniers chiffres pour qui n'en a pas vraiment besoin.

Mettez cela en face d'un prompt de chatbot. Taper un numéro de carte d'acompte complet dans une IA enfreint ces règles d'un coup. PCI DSS n'interdit pas l'IA. Il interdit de traiter un numéro de carte complet ainsi. La règle est simple : ne collez jamais un numéro de carte dans un prompt.

Beaucoup de mains, un seul événement — et vous êtes le responsable

Un événement tourne à plusieurs mains. Des indépendants. Du personnel temporaire. Un coordinateur du jour J. Mélangez cela avec des IA grand public, et la liste d'invités se diffuse vite. Voici le point clé. Quand vous collectez une liste pour un client, vous décidez de son usage. Sous le RGPD, cela fait de vous le responsable de traitement.

La responsabilité repose sur vous, pas sur l'invité ni le client. Cela inclut le fait que la liste atteigne, ou non, une IA tierce. C'est votre choix, et votre responsabilité. Certains événements incluent aussi des mineurs, dont les données sont plus protégées. Raison de plus pour garder la liste brute hors du prompt.

Le remède : anonymiser avant le prompt

Vous n'avez pas à renoncer à l'IA. Vous devez changer l'ordre. Anonymisez d'abord, puis demandez. Le modèle bâtit toujours le planning et la logique du plan de table. Il travaille juste sur des jetons plutôt que sur de vrais noms.

1. 1Remplacez les noms et identifiants des invités par des jetons réversibles, dans le navigateur.
2. 2Gardez toute note de régime ou d'accès minimale, et détachée des vrais noms.
3. 3N'envoyez que le texte anonymisé à l'IA.
4. 4Ne collez jamais de numéro de carte ; gérez les acomptes dans votre outil de paiement.
5. 5Utilisez des outils vérifiés, couverts par un contrat de sous-traitance (DPA).

C'est le rôle d'ONYRI Sanitize. Le moteur repère les données sensibles — noms, coordonnées, et le reste — et les remplace par des jetons réversibles avant tout envoi. La détection et le mapping restent dans votre navigateur. Seul un texte anonymisé atteint le modèle. L'IA bâtit votre planning ou votre plan de table à partir de jetons, jamais d'une vraie liste d'invités. Vous obtenez l'aide, et vos invités gardent leur vie privée.