Peut-on coller le mail d'un client dans un assistant IA ?

Retirez d'abord ce qui l'identifie : nom, adresse, téléphone, numéro de commande, signature. La CNIL recommande de ne jamais partager de données personnelles dans un service grand public.

Désactiver l'historique suffit-il ?

Cela limite les risques, mais ne rend pas autorisé ce qui ne l'était pas. La règle de base reste de ne soumettre que les informations que vous avez le droit de partager.

Les données à ne jamais mettre dans un prompt

Q: Qui est responsable si un salarié colle des données clients ?

La fiche France Num conçue avec la CNIL indique qu'en utilisant un outil d'IA avec des données personnelles, l'entreprise devient « responsable de traitement » au sens du RGPD, avec les obligations qui vont avec.

Ne mettez dans un prompt que ce que vous avez le droit de partager, et rien de ce qui permet d'identifier une personne ou de dévoiler un secret de l'entreprise. Avec un assistant grand public, la CNIL est nette : ne jamais y partager d'informations confidentielles, comme des données personnelles. Le reste de cette page détaille ce qui est concerné et comment travailler quand même.

Cette règle s'applique à chaque outil d'IA que vous utilisez.

Ce que disent la CNIL et France Num

Trois documents publics donnent le cadre :

Les questions-réponses de la CNIL sur l'utilisation d'un système d'IA générative (18/07/2024). Les utilisateurs ne devraient soumettre que des informations qu'ils sont autorisés à partager ; avec un service grand public, ne jamais partager d'informations confidentielles telles que des données personnelles. La CNIL conseille aussi d'éviter de créer les comptes avec des adresses électroniques personnelles et, le cas échéant, de désactiver la réutilisation des données d'usage par le fournisseur.
La fiche « Prendre les précautions indispensables » de France Num, conçue avec la CPME et la CNIL. Tout ce que vous entrez dans les outils en ligne grand public pourra être utilisé comme données d'entraînement : n'y introduisez pas de données confidentielles, personnelles ou stratégiques. Les données sensibles, comme les informations relatives à des personnes physiques ou les données contractuelles ou financières, ne doivent pas aller dans les prompts, ou doivent être anonymisées.
L'affiche « IA générative et vie privée » de la CNIL et de son homologue sud-coréen (27/05/2026). Elle cite comme informations à ne pas divulguer : le nom, l'adresse, l'école, les mots de passe, les informations bancaires et les problèmes personnels.

La liste à afficher près des postes

Ne collez pas	Exemples en PME	À la place
Identité de personnes	Nom d'un client, d'un salarié, d'un candidat	« le client », « la candidate A »
Coordonnées	Adresse, téléphone, mail personnel	Supprimer
Identifiants	Mots de passe, codes d'accès, clés	Jamais, même pour « tester »
Données bancaires	RIB, numéro de carte	Supprimer
Situation personnelle	Santé, arrêt maladie, difficulté familiale d'un salarié	Ne pas traiter avec un outil grand public
Données contractuelles	Contrat signé, conditions négociées, prix d'un client	Anonymiser ou résumer vous-même les termes utiles
Données financières	Comptes non publiés, marges, trésorerie	Ordres de grandeur ou données fictives
Secrets de l'entreprise	Projet de rachat, recette, procédé, offre en cours	Ne pas coller

Comment travailler quand même

La plupart des tâches n'ont pas besoin des données réelles pour être bien faites.

Remplacer avant de coller. Le nom devient « Client A », le montant « [montant] », la ville « [ville] ». L'assistant rédige aussi bien, et vous remettez les vraies valeurs dans votre logiciel.

Décrire au lieu de copier. Pour un mail de réponse à un litige, résumez la situation en trois lignes plutôt que de coller tout l'échange.

Demander une méthode plutôt qu'un traitement. « Comment structurer l'analyse de nos impayés ? » ne nécessite aucun fichier client.

Je vais te donner un texte où j'ai remplacé les informations personnelles par des étiquettes entre crochets ([CLIENT], [MONTANT], [DATE]).
Garde ces étiquettes telles quelles dans ta réponse, ne les remplace pas par des valeurs inventées.
Tâche : [rédige la réponse / résume / reformule].
<texte>
[texte anonymisé]
</texte>

Les réglages à vérifier

L'affiche de la CNIL donne des réflexes simples, avant, pendant et après l'utilisation :

Avant : lire la politique de confidentialité de l'outil pour savoir quelles données sont collectées et comment limiter leur utilisation ; utiliser un mot de passe robuste et la double authentification si vous créez un compte.
Pendant : vérifier les paramètres pour limiter l'utilisation de vos données pour l'entraînement ; utiliser le mode temporaire et désactiver l'historique quand c'est possible.
Après : relire et supprimer les anciennes conversations si c'est possible ; se déconnecter, surtout sur un poste partagé.

Dans l'entreprise

La fiche France Num conçue avec la CNIL rappelle qu'en utilisant un outil d'IA avec des données personnelles, l'entreprise devient « responsable de traitement » au sens du RGPD (règlement général sur la protection des données), avec des obligations à respecter. La CNIL recommande d'encadrer l'usage par une charte interne qui précise les usages autorisés et interdits. Un modèle de prompt réutilisable peut intégrer ces règles d'office.

Pour une question juridique sur votre situation (traitement de données de santé, profession réglementée), adressez-vous à votre délégué à la protection des données ou à un juriste : cette page donne les recommandations publiques, pas un avis sur votre cas.

À vérifier avant d'envoyer un prompt

Ai-je retiré tous les noms, coordonnées et identifiants, y compris dans les signatures de mails et les en-têtes de documents ?
Cette information est-elle nécessaire à la tâche ?
Ai-je le droit de la partager avec un service extérieur ?
Suis-je sur le compte de l'entreprise, avec les réglages vérifiés ?