Peut-on utiliser l'IA dans une association ou une ONG sans risque ?

Oui, mais avec une limite ferme. L'IA peut vous aider à rédiger un dossier de subvention ou une lettre d'appel aux dons. Elle n'a pas à voir le nom, l'adresse ni le dossier d'un bénéficiaire. Une association manipule deux jeux de données. Les donateurs, avec leurs noms, leur historique de dons et leurs coordonnées bancaires. Les bénéficiaires, avec leur santé, leur situation familiale, parfois des faits de violence. Une grande partie de ce second jeu relève de l'article 9 du RGPD : les données dites sensibles. En cas de fuite, le préjudice n'est pas la gêne. C'est le danger. La parade est simple : anonymisez les identifiants avant l'envoi, et laissez le modèle travailler sur la structure.

Deux jeux de données, deux risques très différents

La plupart des associations raisonnent comme une entreprise. Une base de contacts, un fichier, des tableurs. C'est une erreur d'analyse. Vous tenez en réalité deux fichiers de nature opposée, et un seul des deux peut blesser quelqu'un.

• Les donateurs : nom, coordonnées, historique de dons, moyens de paiement, parfois des notes d'évaluation de capacité de don. Une fuite ici est un problème commercial et réputationnel. Elle est grave, mais réparable.
• Les bénéficiaires : état de santé, handicap, origine, croyance, dossiers de protection de l'enfance, situations de violence conjugale, parcours d'asile. Une fuite ici peut exposer une personne réelle à un risque physique.

Prenez le cas le plus dur. Une femme suivie pour violences conjugales. Son adresse d'hébergement figure dans une note de suivi. Si cette note se retrouve hors de votre contrôle, ce n'est pas un incident administratif. C'est une question de sécurité physique. Le même raisonnement vaut pour un demandeur d'asile dont le dossier révèle son origine, sa religion ou son état de santé.

Il faut le dire posément, sans dramatiser. Le risque n'est pas théorique. Il porte un nom et un visage. C'est ce qui distingue une association d'une PME classique.

Article 9 du RGPD : la barre est plus haute

Le RGPD (et sa version britannique) traite certaines catégories de données à part. L'article 9 les protège spécifiquement. Origine raciale ou ethnique. Opinions politiques. Convictions religieuses ou philosophiques. Appartenance syndicale. Données génétiques. Données biométriques d'identification. Données de santé. Données sur la vie sexuelle ou l'orientation sexuelle.

L'Information Commissioner's Office (ICO), le régulateur britannique, résume la règle clairement. Le traitement de ces données est interdit par défaut. Pour le lever, il vous faut une condition de l'article 9, en plus de votre base légale ordinaire de l'article 6. Autrement dit : deux justifications, pas une.

Regardez maintenant vos notes de suivi. Santé, handicap, origine, foi, vulnérabilité liée à un parcours migratoire. Le statut migratoire n'est pas listé tel quel à l'article 9. Mais les données qui l'accompagnent le sont presque toujours. Un dossier d'asile parle d'origine, de religion, de santé, parfois de persécutions. Vous êtes en plein dans l'article 9.

L'ICO ajoute un critère décisif. La plupart des conditions de l'article 9 exigent que le traitement soit réellement « nécessaire ». Nécessaire veut dire ciblé et proportionné à la finalité. Pas simplement pratique ou habituel. Coller un dossier de bénéficiaire entier dans un chatbot grand public pour aller plus vite ne passe pas ce test. Le même brouillon peut être produit à partir d'une trame anonymisée.

Le statut associatif n'est pas une exemption

C'est le malentendu le plus répandu du secteur. « Nous sommes une petite association bénévole, la loi sera indulgente. » Non. La loi s'applique selon ce que vous faites des données personnelles. Pas selon votre taille ni selon votre but non lucratif.

L'ICO maintient d'ailleurs un service de conseil dédié aux petites structures, associations et clubs compris. On y trouve des auto-évaluations, une ligne d'assistance et des guides courts. Le message de fond est constant : certaines micro-structures peuvent être dispensées de la redevance d'enregistrement, mais aucune n'est dispensée des principes de protection des données. Votre association reste responsable de traitement. Elle doit pouvoir démontrer sa conformité.

Côté sécurité, le National Cyber Security Centre (NCSC) britannique publie un guide pensé pour les petites organisations, associations incluses. Ses conseils sont volontairement peu coûteux. Sauvegarder les données essentielles. Chiffrer et verrouiller les appareils. Utiliser des mots de passe forts et distincts. Repérer et signaler le phishing. Mettre à jour les logiciels. Former les équipes. Le NCSC cite explicitement les bases de donateurs et de bénéficiaires. Ce sont les données sans lesquelles une association ne peut plus fonctionner. Il renvoie aussi vers la certification Cyber Essentials.

Ajoutez maintenant l'ingrédient qui manque. Des bénévoles qui tournent. Des appareils personnels. Des comptes IA grand public ouverts en deux clics. Ces comptes n'offrent en général aucun accord de sous-traitance signé, un DPA (Data Processing Agreement, contrat de sous-traitance). Ils peuvent réutiliser les saisies pour améliorer les modèles. Et ils ne laissent aucune piste d'audit exploitable. Sécurité mince, bénévoles non formés, outils grand public : la combinaison est mauvaise.

Ce dont l'IA a vraiment besoin pour vous aider

Bonne nouvelle : l'IA reste très utile à une association. Elle structure un dossier de subvention. Elle resserre une lettre d'appel aux dons. Elle transforme des notes en prose lisible. Pour tout cela, elle a besoin de la forme du récit, pas de la personne.

La parade : anonymiser avant l'envoi

La mesure qui marche est ennuyeuse, et c'est très bien ainsi. Retirez les identifiants avant tout prompt. Le modèle n'a besoin ni du nom, ni de la date de naissance, ni de l'adresse, ni du diagnostic. Il a besoin de la structure du dossier.

1. 1Collectez le moins de données possible, dès le formulaire d'accueil.
2. 2Repérez les identifiants dans votre texte : noms, adresses, dates, numéros de dossier, montants, santé.
3. 3Remplacez-les par des jetons réversibles, côté navigateur, avant l'envoi.
4. 4N'envoyez que le texte anonymisé au modèle, puis restaurez les vraies valeurs en local.
5. 5Choisissez des outils fournissant un DPA et excluant vos saisies de l'entraînement.
6. 6Formez salariés et bénévoles aux mêmes règles, et gardez les dossiers de protection les plus sensibles hors des IA grand public.

Cette liste ne coûte presque rien. C'est le point important pour un budget associatif. Les auto-évaluations de l'ICO sont accessibles, les guides du NCSC sont pensés pour les petites structures. Vous n'avez pas besoin d'un programme de conformité coûteux pour protéger vos bénéficiaires. Vous avez besoin d'une règle simple, tenue par tout le monde.

C'est exactement le rôle d'ONYRI Sanitize. Le moteur détecte les données sensibles : noms, adresses, dates, numéros de dossier, montants de dons, mentions de santé. Il les remplace par des jetons réversibles avant l'envoi. La détection et la table de correspondance restent dans votre navigateur. Seul un texte anonymisé atteint le modèle. Votre dossier de subvention est rédigé, votre lettre d'appel est écrite, et aucun bénéficiaire n'est identifiable dans le prompt.