Peut-on utiliser l'IA dans un musée sans risque ?

La réponse tient en une ligne. L'IA peut rédiger un texte de catalogue ou un appel aux dons, mais ne lui confiez jamais vos dossiers réels. Un musée détient des données très sensibles. Le nom d'un donateur et son historique de dons. Les coordonnées d'un collectionneur ou d'un prêteur. Une provenance parfois contestée. Les données de vos membres et visiteurs. Sous le RGPD, votre établissement est le « controller », le responsable de traitement de ces données. Coller une liste de donateurs dans un ChatGPT grand public peut trahir une identité promise à l'anonymat. C'est une promesse rompue, pas un détail technique. La bonne méthode existe : anonymisez les identifiants avant tout prompt.

Un musée détient des données plus sensibles qu'on ne croit

On imagine un musée gardien d'objets. Il est aussi gardien de données personnelles. Le service développement suit chaque grand donateur. Nom, historique de dons, parfois une estimation de richesse. Le registre des prêts liste des collectionneurs privés. Ces propriétaires d'œuvres de valeur tiennent à leur discrétion. Les dossiers de provenance retracent la chaîne des propriétaires, parfois sur des cas de restitution sensibles.

Ces informations circulent vite quand une équipe teste l'IA. On lui demande de résumer un dossier de mécène. De rédiger un appel ciblé. De trier un fichier de membres. Le geste paraît anodin. Il ne l'est pas. Chaque nom collé quitte votre contrôle et rejoint un outil tiers.

• Dossiers de donateurs : nom, historique de dons, estimation de richesse (wealth screening).
• Collectionneurs et prêteurs : coordonnées confidentielles de propriétaires d'œuvres de valeur.
• Provenance et acquisitions : chaîne de propriété, parfois liée à des cas de restitution.
• Membres, abonnés et visiteurs : données personnelles au sens du RGPD.
• Archives et recherche : données de personnes vivantes et identifiables.

Le musée est le « controller » de ses données

Le droit désigne un responsable clair. Sous le RGPD, celui qui décide des finalités et des moyens d'un traitement est le « controller », le responsable de traitement. C'est le niveau de responsabilité le plus élevé. L'ICO, le régulateur britannique de la protection des données, le formule ainsi. Le controller doit respecter tous les principes et démontrer qu'il les respecte. Un musée qui collecte les données de ses donateurs, membres et visiteurs et décide de leur usage en est le controller.

Cette responsabilité ne disparaît pas quand vous confiez les données à un outil. Selon l'ICO, le controller reste responsable de la conformité de tout « processor » qu'il emploie. Un processor n'agit que sur instructions documentées du controller. C'est pourquoi un outil externe exige un contrat qui fixe ces instructions. En pratique, un accord de traitement des données (DPA, data processing agreement) avant tout transfert de données personnelles.

Le statut associatif ne change rien. Le Fundraising Regulator britannique le rappelle. Les organismes caritatifs et de collecte de fonds ont les mêmes obligations de protection des données que les entreprises commerciales. Le but caritatif ne les efface pas. Il faut une base légale pour contacter donateurs et soutiens. Et il faut être transparent sur l'usage des informations et sur qui y a accès.

Le donateur anonyme : une promesse, pas une case

Certains donateurs exigent l'anonymat. C'est un engagement de confidentialité pris par le musée. Exposer cette identité via un système externe trahit les devoirs de transparence, de sécurité et de loyauté que le controller doit à cette personne. Ce n'est pas un accident technique. C'est une promesse rompue. Une liste de donateurs collée dans une IA grand public peut révéler le nom que vous aviez juré de taire.

Attention à ne pas confondre deux notions. Les données de richesse et l'historique de dons sont sensibles et doivent être sécurisés. Mais sous le RGPD britannique, ce ne sont pas des « special category data » au sens de l'article 9. Cette catégorie spéciale vise une liste précise : santé, origine raciale ou ethnique, opinions religieuses, données biométriques, entre autres. Elle exige une base légale de l'article 6 ET une condition distincte de l'article 9.

La nuance compte pour un musée. Un dossier médical dans une archive peut, lui, relever de la catégorie spéciale. De même, un dossier de provenance sur des œuvres spoliées peut révéler qu'une personne était juive. C'est alors une donnée sur l'origine ethnique ou la religion, donc special category. Traitez la richesse comme sensible, mais réservez l'article 9 aux cas de santé, d'origine ou de croyance.

Sécurité, minimisation et personnes vivantes

Deux principes du RGPD guident la bonne pratique. La minimisation d'abord. Ne collectez et ne conservez que le minimum de données, et pas plus longtemps que nécessaire. C'est une raison de ne pas exposer une liste entière de donateurs ou de membres à un outil tiers qui n'a aucun besoin du dossier complet. La sécurité ensuite. Les données financières doivent être protégées par des mesures adaptées.

N'oubliez pas les archives et la recherche. Les données de personnes vivantes et identifiables y restent des données personnelles soumises au RGPD. Le caractère historique ou scientifique du matériel n'efface pas, à lui seul, les droits de ces individus. Un dossier d'acquisition ou une fiche de chercheur peut donc contenir de la donnée protégée.

Un mot sur la sécurité physique. Les détails d'œuvres de grande valeur et de leur emplacement présentent un risque de vol. Ce n'est pas d'abord une question de droit des données, mais de sécurité opérationnelle. Raison de plus pour ne jamais coller une localisation précise dans un outil que vous ne maîtrisez pas.

La parade : anonymiser avant l'envoi

Bonne nouvelle : l'IA reste utile au musée. Elle rédige un texte de catalogue, un appel aux dons, une réponse d'accueil visiteur. Sur du texte dé-identifié, elle fait tout ce travail sans voir un seul nom réel. Posez la demande en termes neutres. Gardez donateurs, collectionneurs, prêteurs et membres hors du prompt.

Quand vous devez inclure un cas concret, anonymisez d'abord. Remplacez chaque identité par un jeton. L'IA raisonne sur la structure de votre dossier, sans jamais voir les vraies valeurs. Vous restaurez ensuite les valeurs réelles, en local.

1. 1Repérez les identités dans votre texte : donateurs, collectionneurs, prêteurs, membres.
2. 2Ne collez jamais une identité de donateur anonyme ni une provenance confidentielle.
3. 3Remplacez chaque identifiant par un jeton réversible, côté navigateur.
4. 4N'envoyez que le texte anonymisé, et n'utilisez que des outils sous DPA.
5. 5Restaurez les vraies valeurs dans la réponse, en local.

C'est le rôle d'ONYRI Sanitize. Le moteur détecte les données sensibles — noms de donateurs, coordonnées de collectionneurs, montants, identités de membres — et les remplace par des jetons réversibles avant l'envoi. La détection et le mapping restent dans votre navigateur. Seul un texte anonymisé atteint le modèle. L'IA n'y trouve que des jetons, jamais l'identité d'un donateur promis à l'anonymat. Vous obtenez l'aide, sans trahir la confidentialité que votre musée doit, en tant que controller, à ceux qui lui font confiance.