IA et données clients : ce que tu risques en freelance
Tu bosses sur le dossier d’un client, tu veux gagner du temps, alors tu copies-colles son compte-rendu d’entretien, sa liste de contacts ou son cahier des charges dans ChatGPT pour qu’il te résume tout ça. Deux minutes de gagnées. Sauf que tu viens peut-être d’exposer des données personnelles que tu n’avais pas le droit de faire sortir. La question que presque aucun indépendant ne se pose : quand tu utilises une IA grand public avec des données clients, qui est responsable si ça fuite ? Réponse courte : toi. Cet article t’explique pourquoi le RGPD concerne directement chaque freelance qui touche à l’IA, ce que tu risques réellement, et comment continuer à gagner du temps sans transformer chaque prompt en problème juridique. Sans te faire peur pour rien, mais sans rien minimiser non plus.
Le réflexe dangereux que presque tous les freelances ont
Le geste est devenu automatique. Un mail client trop long ? Dans l’IA pour un résumé. Un fichier Excel de prospects à nettoyer ? Copié-collé. Un contrat à reformuler, un verbatim d’interview à retranscrire, une base d’adhérents à trier ? Pareil.
Le problème n’est pas l’IA. Le problème, c’est ce que tu mets dedans. Dès qu’un document contient un nom, un email, un numéro de téléphone, une adresse ou une donnée de santé, tu manipules des données personnelles. Et une IA grand public comme ChatGPT ou Gemini envoie ces données sur des serveurs américains, où elles échappent à ton contrôle et, souvent, servent à entraîner les modèles.
Concrètement : ces informations ne t’appartiennent pas. Elles appartiennent à ton client, qui te les a confiées pour une mission précise. Les envoyer ailleurs, c’est déjà sortir du cadre.
Ce que dit la loi : tu es sous-traitant au sens du RGPD
Voici le point que beaucoup d’indépendants ignorent. Quand tu traites des données personnelles pour le compte d’un client, le RGPD te qualifie de sous-traitant. Ton client, lui, est le responsable de traitement. Cette relation est encadrée par l’article 28 du règlement.
Qu’est-ce que ça change pour toi ? Trois choses. D’abord, tu es censé traiter ces données uniquement selon les instructions de ton client, pas les balader où bon te semble. Ensuite, un contrat de sous-traitance (ou une clause dédiée) devrait normalement encadrer cette relation. Enfin, si toi tu envoies les données dans un outil non conforme, c’est ta responsabilité qui est engagée, pas seulement celle de ton client.
Le statut de sous-traitant s’applique que tu sois auto-entrepreneur, en portage ou en société. La taille de ta structure ne te sort pas du champ du RGPD.
Précision utile : je ne suis pas juriste. Pour un contrat sensible ou une situation litigieuse précise, consulte un professionnel du droit ou un DPO. Cet article te donne le cadre général, pas un avis personnalisé.
Les risques concrets (pas forcément ceux que tu crois)
On parle souvent des amendes. Les sanctions les plus lourdes prévues par le RGPD peuvent atteindre jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. Mais soyons honnêtes : ces montants visent les grands manquements de grandes entreprises. Le risque qu’un freelance solo se prenne l’amende maximale pour un copier-coller est faible.
Le vrai danger est ailleurs, et il est plus immédiat :
- La rupture d’une clause de confidentialité. Beaucoup de contrats freelance interdisent de transmettre les données du client à un tiers. Une IA grand public est un tiers. Tu peux être en faute contractuelle sans même le savoir.
- La perte du client. Le jour où un client découvre que ses données sensibles sont passées par un outil américain, la confiance s’effondre. Et un client qui part en parle autour de lui.
- L’atteinte à ta réputation. Dans les métiers de la donnée, du juridique, de la santé ou du conseil, ta crédibilité repose sur ta capacité à protéger ce qu’on te confie.
- Ta propre responsabilité en cas de fuite. Si les données que tu as exposées finissent dans une brèche, tu es en première ligne.
Autrement dit : l’amende est le risque le plus spectaculaire, mais la perte de client et de réputation est le risque le plus probable.
Les données à ne jamais coller dans une IA non souveraine
Un repère simple : dès qu’une information permet d’identifier une personne, tu redoubles de prudence. En pratique, garde hors des IA grand public :
- Les noms, prénoms, coordonnées (email, téléphone, adresse) de clients ou de leurs contacts.
- Les données de santé, d’orientation, d’opinions ou tout ce que le RGPD classe comme « sensible ».
- Les données financières : RIB, chiffres d’affaires confidentiels, contrats commerciaux.
- Les documents juridiques contenant des parties identifiables. Pour ce type de contenu, une traduction ou reformulation juridique respectueuse de la confidentialité passe par un outil qui garde tout en Europe.
- Les bases de données entières de prospects, adhérents ou salariés.
Ce qui reste sans risque : les textes que tu inventes, les contenus déjà publics, ou tout document où tu as remplacé les identifiants par des étiquettes génériques.
Comment te protéger : IA souveraine et bonnes pratiques
Bonne nouvelle : tu n’as pas à choisir entre productivité et conformité. La parade tient en deux volets.
Premier volet : une IA souveraine pour les données sensibles. Une IA souveraine, l’alternative qui garde tes données en Europe traite et héberge tes requêtes sans les envoyer hors de son cadre juridique. C’est là qu’entre en jeu Euria, l’assistant d’Infomaniak, l’hébergeur suisse. Ses données restent dans les data centers suisses, sans transfert à l’étranger ni prestataire externe, et l’outil ne s’entraîne pas sur tes requêtes. Infomaniak annonce une conformité au RGPD et à la loi suisse (LPD), et cible explicitement les métiers sensibles : droit, santé, finance, administration.
La logique que je recommande : réserver Euria à tout fichier contenant la moindre donnée client, pour ne plus avoir à se demander à chaque prompt « est-ce que j’ai le droit ? », et garder les IA grand public pour le reste — brainstorming, contenus publics, code sans secret.
Transparence : certains liens de cet article sont des liens affiliés. Si tu t’inscris via ces liens, je peux percevoir une commission, sans aucun surcoût pour toi. Je ne recommande que des outils que j’utilise et en lesquels je crois.
Second volet : deux réflexes de base, quel que soit l’outil. L’anonymisation (tu remplaces « Marie Dupont, 06… » par « Cliente A ») et la minimisation (tu ne donnes à l’IA que le strict nécessaire à ta demande). Ces deux gestes réduisent massivement le risque, même sur un outil non souverain.
| Outil | Prix indicatif | Où vont tes données | Idéal pour |
|---|---|---|---|
| ChatGPT (OpenAI) | Gratuit, offre ≈ 20 €/mois | Serveurs US, soumis au Cloud Act | Contenus sans donnée personnelle |
| Gemini (Google) | Gratuit, offres payantes | Serveurs US, soumis au Cloud Act | Usage grand public, non sensible |
| Le Chat (Mistral AI) | Gratuit, offres payantes | Hébergement européen | Réduire l’exposition hors UE |
| Euria (Infomaniak) | Gratuit, kSuite Pro payant | Suisse, aucun transfert externe | Données clients sensibles, métiers réglementés |
La checklist du freelance responsable
Avant de coller quoi que ce soit dans une IA, passe ces cinq points en revue :
- Y a-t-il une donnée personnelle (nom, contact, santé, finance) dans ce que je m’apprête à envoyer ? Si oui, je bascule sur une IA souveraine ou j’anonymise.
- Mon contrat client contient-il une clause de confidentialité qui interdit le transfert à un tiers ?
- Ai-je réduit le contenu au strict nécessaire (minimisation) ?
- Ai-je remplacé les identifiants par des étiquettes génériques quand c’était possible ?
- Mon outil est-il adapté au niveau de sensibilité de la donnée ?
Si tu coches ces cases, tu utilises l’IA en freelance de façon sereine, pas paranoïaque.
FAQ
Un freelance peut-il vraiment être sanctionné par la CNIL pour avoir utilisé ChatGPT ?
En théorie oui, car le RGPD s’applique quelle que soit la taille de la structure. En pratique, les sanctions financières lourdes visent surtout les gros manquements. Pour un indépendant, le risque le plus immédiat reste la rupture de contrat et la perte du client.
ChatGPT est-il conforme au RGPD ?
OpenAI propose des options plus protectrices (offres entreprise, désactivation de l’entraînement), mais ses serveurs restent soumis au Cloud Act américain. Pour des données clients sensibles, ça ne suffit pas à te couvrir en tant que sous-traitant.
Comment anonymiser des données avant de les mettre dans une IA ?
Remplace noms, adresses, numéros et identifiants par des étiquettes génériques (Client A, Société X). Ne garde que ce qui est strictement utile à ta demande. C’est le principe de minimisation, et il réduit énormément l’exposition.
Conclusion
Le vrai risque, quand tu mélanges IA et données clients en freelance, ce n’est pas une amende RGPD spectaculaire : c’est de perdre la confiance d’un client et d’engager ta responsabilité sur un simple copier-coller. La bonne nouvelle, c’est que la solution est simple et tient en une décision claire : réserve une IA souveraine comme Euria à tout ce qui contient des données personnelles, et garde les IA grand public pour le reste.
Si tu ne fais qu’une chose après cet article : teste Euria sur ta prochaine tâche sensible, et compare. Tu verras que protéger tes données clients ne te coûte ni temps ni productivité — juste un changement d’habitude.