Peut-on utiliser l'IA pour la gestion de projet sans risque ?

Oui, à une condition simple. Anonymisez les données personnelles avant d'envoyer le prompt. L'IA peut résumer un ticket, rédiger un point d'avancement ou planifier un sprint. Mais un outil de gestion de projet n'est pas neutre. Un ticket de bug peut contenir des données personnelles de clients. Il peut renfermer des logs avec des données personnelles. Il peut même cacher un secret collé à la hâte par un développeur. Votre roadmap, elle, contient des plans non publiés qu'un concurrent adorerait voir. Sous le RGPD, vous êtes le responsable de traitement de ces données clients et salariés. L'article 5(1)(c) impose de n'envoyer que le strict nécessaire. Donc masquez les noms et identifiants avant le prompt. Gardez la roadmap hors des outils grand public. Et donnez à l'assistant IA connecté l'accès le plus étroit possible.

Un ticket contient plus qu'une tâche

On croit qu'un ticket décrit juste une tâche. La réalité est plus large. Un rapport de bug embarque souvent bien plus. Le nom et l'email du client qui a signalé le problème. Un extrait de log avec une adresse IP ou un identifiant. Parfois une clé d'API qu'un développeur pressé a collée pour reproduire l'erreur. Exporter un ticket, ce n'est donc pas exporter un texte anodin.

• Des données personnelles de clients : nom, email, numéro de compte.
• Des logs avec des données personnelles : adresses IP, identifiants de session.
• Des secrets collés à la hâte : clés d'API, mots de passe, jetons.
• Des captures et pièces jointes qui montrent l'écran d'un vrai utilisateur.

L'OWASP classe la « Sensitive Information Disclosure » parmi les grands risques des applications à base de LLM (grands modèles de langage). Un modèle peut exposer des données personnelles, des identifiants et des informations métier confidentielles. En entrée comme en sortie. Un ticket réunit exactement ce mélange. Le pousser tel quel vers une IA grand public revient à le poser sur les serveurs d'un tiers.

La roadmap est une donnée concurrentielle

La roadmap n'est pas un document comme un autre. Ce sont vos plans non publiés, vos priorités et vos délais. C'est précisément ce qu'un concurrent cherche à connaître. Collée dans une IA grand public, elle atterrit sur les serveurs d'un tiers. Vous n'avez plus le contrôle de qui la lit ou la conserve.

La règle de bon sens est simple. Une roadmap et des secrets techniques n'ont rien à faire dans un outil grand public. Réservez-les à des outils d'entreprise encadrés par un contrat de traitement. Exigez une clause de non-entraînement. Ce point relève de la bonne pratique, pas d'une obligation légale. Mais il protège votre avantage.

Sprints et charge de travail : des données sur vos salariés

Le RGPD ne protège pas que les clients. Vos salariés aussi. Les chiffres de charge de travail, les notes de sprint et les observations de performance sont des données personnelles. Elles concernent des personnes identifiables : vos équipes. Les traiter via une IA déclenche les mêmes devoirs.

Deux notions clés viennent du RGPD. D'abord le responsable de traitement (article 4(7)). C'est la partie qui décide des finalités et des moyens du traitement. L'article 24 le rend responsable des mesures à mettre en place pour démontrer sa conformité. Si vous faites tourner Jira, Asana ou Linear, vous êtes ce responsable pour les données qu'ils contiennent. Vous restez comptable, même quand ces données passent dans une IA externe.

Ensuite la minimisation des données (article 5(1)(c)). Les données personnelles doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire ». Envoyer un export de ticket complet quand un résumé anonymisé suffit dépasse largement ce besoin.

Les assistants IA connectés : la question des accès

Certains assistants IA se branchent sur tout votre espace projet. C'est pratique. C'est aussi risqué. Un tel assistant obtient un accès très large à vos tickets, roadmaps et données d'équipe. C'est le même problème d'accès que pour un agenda ou un stockage cloud connecté.

Le principe du moindre privilège répond à ça. OAuth est le protocole qui accorde à une application un accès à vos données. Appliqué à OAuth, ce principe veut qu'une application ne demande que les autorisations dont elle a vraiment besoin. Pas plus. Un assistant qui réclame un accès complet à l'espace de travail est sur-dimensionné. Réduire le périmètre limite ce qu'une intégration compromise ou trop curieuse peut atteindre.

La parade : anonymiser, cloisonner, réduire les accès

Bonne nouvelle : l'IA reste utile pour la gestion de projet. Elle peut résumer un ticket, rédiger un point d'avancement, aider à planifier. Il suffit de lui retirer ce qu'elle n'a pas besoin de voir.

L'OWASP recommande de nettoyer les données sensibles avant qu'elles n'atteignent le modèle. Ainsi, le contenu fourni ne peut pas fuiter dans une réponse ou dans un entraînement. Anonymisez les identifiants clients et salariés avant le prompt. L'IA résume ou rédige alors sur une version dé-identifiée.

1. 1Anonymisez les identifiants clients et salariés dans le texte, côté navigateur.
2. 2Gardez roadmap et secrets techniques hors des outils grand public.
3. 3Accordez aux connecteurs IA le périmètre d'accès le plus étroit.
4. 4Pour les données sensibles, choisissez un outil d'entreprise avec contrat de traitement et clause de non-entraînement.

C'est le rôle d'ONYRI Sanitize. Le moteur détecte les données sensibles — noms de clients, emails, identifiants de salariés, secrets — et les remplace par des jetons réversibles avant l'envoi. La détection et le mapping restent dans votre navigateur. Seul un texte anonymisé atteint le modèle. L'IA n'y voit que des jetons, jamais vos vraies données de projet. Vous obtenez l'aide, sans exposer vos clients, vos équipes ni votre roadmap.