Garder les données personnelles hors des prompts d’IA

Un guide Sluis pour les équipes protection des données, sécurité et plateforme. Dernière vérification le 23 septembre 2026.

Chaque prompt qui parvient à un fournisseur d’IA est une divulgation. Ce guide traite des données personnelles qui se retrouvent typiquement dans les prompts, de l’efficacité de chaque méthode de détection pour les retirer, de ce que le remplacement par des espaces réservés apporte en droit de l’UE depuis l’arrêt de la Cour de justice de septembre 2025, et de ce que vous devez encore faire même lorsque la rédaction fonctionne.

En bref

• La recherche de motifs repère les identifiants structurés : adresses e-mail, numéros de téléphone, IBAN, numéros de carte, numéros d’identification nationaux, clés d’API. Elle a retiré 57 % des informations personnelles annotées dans notre test. Les noms et les descriptions sont ce qui lui échappe.
• Un modèle de reconnaissance d’entités entraîné comble l’essentiel de cet écart. Dans le même test, il a porté le taux de retrait à 98,7 %, au prix d’environ une demi-seconde par segment de texte.
• Remplacer les identifiants par des espaces réservés peut faire que le texte n’est plus une donnée personnelle pour le fournisseur d’IA. La Cour de justice l’a confirmé dans l’arrêt CEPD c. CRU, mais seulement lorsque le fournisseur n’a aucun moyen réaliste de réidentifier la personne, y compris en recoupant des informations.
• Pour vous, la donnée reste une donnée personnelle, et vous devez toujours informer les personnes qu’elle est transmise au fournisseur d’IA. La Cour a apprécié cette obligation du côté du responsable du traitement, au moment de la collecte des données.
• Vérifiez la conservation par défaut dans le contrat, pas sur la page marketing de votre fournisseur. Plusieurs grands fournisseurs ont changé leurs valeurs par défaut au cours des douze derniers mois.

Ce qui se retrouve dans les prompts

Ce que les collaborateurs collent dans les outils d’IA suit le travail qu’ils font. Les mêmes catégories reviennent dans presque toutes les organisations :

Les deux dernières lignes comptent le plus. Un détecteur trouve des valeurs ; il ne comprend pas qu’un intitulé de poste, un lieu et une date désignent ensemble une seule personne. Ces cas se traitent au mieux par une politique : certaines tâches ne devraient pas du tout aller vers un modèle externe.

L’efficacité de la détection : notre mesure

Nous avons mesuré trois configurations de détection dans notre propre gateway sur 105 cas de test synthétiques mis de côté (et non 105 documents indépendants), avec 372 informations annotées par configuration. Le fait que chaque information ait été retirée en contexte a été jugé par le correcteur à base de modèle du benchmark, un modèle de langage distinct, et non par une relecture humaine.

Mesuré le 15 septembre 2026. Deux points à garder en tête lorsque vous utilisez ces chiffres :

• Ils mesurent combien d’informations annotées ont été retirées en contexte. Ils ne mesurent pas si un document entier est devenu anonyme. Une seule information manquée peut suffire à identifier quelqu’un.
• Ce sont des mesures de notre propre pipeline sur notre propre jeu de test synthétique. Nous n’avons pas exécuté les produits d’autres éditeurs sur les mêmes cas de test. Réalisez un test similaire sur 50 de vos propres documents avant de vous fier au chiffre d’un éditeur, le nôtre compris.

Ce que cela coûte

Mesuré le 14 septembre 2026 sur un texte multilingue de 919 caractères, dans le processus, hors temps réseau. Pour un assistant de chat, une demi-seconde avant que le modèle commence à répondre est généralement acceptable. Pour une API à fort volume avec des objectifs de latence serrés, c’est une décision de conception.

Le rappel coûte aussi de la précision. Des règles agressives retirent des éléments qui ne sont pas des données personnelles. Une règle qui traite tout mot inconnu commençant par une majuscule comme un nom possible retirera aussi des noms de produits, des codes de projet et des noms de modèles, ce qui peut dégrader les réponses. C’est pourquoi nous livrons cette règle désactivée. Mesurez les faux positifs sur vos propres documents en même temps que le rappel.

Échouer en mode fermé

Décidez ce qui se passe lorsque la détection échoue : un modèle dépasse le délai, un document ne peut pas être analysé, un type de fichier est inconnu. Un pipeline qui échoue en mode ouvert envoie le texte non rédigé. Un pipeline qui échoue en mode fermé bloque la requête. Pour les données personnelles, échouez en mode fermé. Ce seul réglage compte plus que le choix du modèle.

Des espaces réservés plutôt que la suppression

Supprimer les données personnelles rend de nombreux prompts inutilisables : « Rédige une réponse à [supprimé] au sujet du remboursement de 40 EUR à [supprimé] » ne donne rien au modèle à exploiter. Les remplacer conserve la structure :

Rédige une réponse à «PERSON_NAME_1» au sujet du remboursement de 40 EUR à «IBAN_1».

Le gateway conserve la correspondance entre «PERSON_NAME_1» et le vrai nom, n’envoie au fournisseur que l’espace réservé, et rétablit les vraies valeurs dans la réponse avant qu’elle n’atteigne l’utilisateur. Deux détails font que cela fonctionne en pratique :

• Cohérence. La même personne reçoit le même espace réservé tout au long d’une conversation, afin que le modèle puisse suivre qui est qui.
• Information de type. «PERSON_NAME_1» et «IBAN_1» indiquent au modèle quel genre de valeur se trouvait là, ce qui garde des réponses grammaticalement correctes et utiles.

Ce que dit le droit

La Cour de justice : CEPD c. CRU, 4 septembre 2025

L’affaire (C-413/23 P) concernait le Conseil de résolution unique, qui avait remplacé les noms des personnes ayant soumis des observations par des codes de 33 chiffres générés aléatoirement, conservé la table liant les codes aux noms, et transmis 1 104 observations à Deloitte. La Cour a jugé :

1. Les opinions sont des données personnelles concernant leur auteur (points 58 à 60). Le texte que vos collaborateurs écrivent dans un prompt est, en règle générale, une donnée personnelle les concernant.
2. Les données pseudonymisées ne sont pas automatiquement des données personnelles pour tout le monde. L’existence d’une table de correspondance signifie que des données pseudonymisées ne peuvent jamais être traitées comme anonymes dans tous les cas (point 73). Mais la pseudonymisation « peut, selon les circonstances de l’espèce, empêcher effectivement des personnes autres que le responsable du traitement d’identifier la personne concernée de telle sorte que, pour elles, celle-ci ne soit pas ou plus identifiable » (point 86).
3. Pour le destinataire, cela dépend de deux conditions (point 77) : le destinataire ne peut pas défaire la pseudonymisation, et il ne peut pas identifier la personne « par le recours à d’autres moyens d’identification tels que le recoupement avec d’autres éléments ».
4. Votre obligation d’information ne change pas. La question de savoir si vous deviez informer les personnes que leurs données seraient transmises à un destinataire s’apprécie du point de vue du responsable du traitement, au moment de la collecte (points 111 et 112). Ce que le destinataire peut ou ne peut pas identifier ensuite est sans incidence sur cette obligation.

Appliqué aux prompts :

Les lignes directrices du CEPD ne sont encore qu’un projet

Les lignes directrices 01/2025 sur la pseudonymisation du CEPD ont été publiées pour consultation en janvier 2025 ; la consultation s’est clôturée le 14 mars 2025. Nous n’avons pas trouvé de version finale. Le projet adopte la position selon laquelle des données pseudonymisées restent des données personnelles lorsqu’elles peuvent être attribuées à l’aide d’informations supplémentaires. Il est antérieur à l’arrêt, et l’on ne voit pas encore comment le texte final en tiendra compte.

En pratique : traitez les prompts comme des données personnelles dans vos propres registres et votre AIPD ; utilisez les deux conditions de l’arrêt pour apprécier la situation du fournisseur ; et consignez votre raisonnement par écrit.

Ce que vous devez encore faire

• Nommer le fournisseur d’IA comme destinataire dans votre politique de confidentialité, ou la catégorie de destinataires, comme le précise le point 111 de l’arrêt.
• Réaliser une AIPD lorsque l’usage est susceptible d’engendrer un risque élevé, par exemple pour des données RH, de santé ou de clients à grande échelle.
• Tenir un registre des traitements qui inclut le fournisseur d’IA comme sous-traitant ou destinataire.
• Vérifier la situation en matière de transfert si le fournisseur ou sa maison mère est hors de l’UE. Notre guide sur l’exposition au CLOUD Act traite ce point.

Ce que les fournisseurs conservent

Les valeurs de conservation par défaut ont changé à plusieurs reprises l’an dernier. Les positions ci-dessous sont celles rapportées par les fournisseurs dans leurs annonces et pages d’aide ; confirmez-les par rapport aux conditions que vous signez réellement.

L’ordonnance du tribunal dans l’affaire du New York Times, qui obligeait OpenAI à conserver indéfiniment les journaux de sorties de ChatGPT, a été levée en octobre 2025, avec des exceptions pour les journaux déjà préservés et les comptes signalés dans l’affaire. Elle est encore citée comme un risque actuel ; ce n’est plus une obligation sans limite.

Liste de contrôle

• Cas d’usage rapprochés des données qu’ils placent dans les prompts
• Tâches qui ne devraient jamais aller vers un modèle externe définies dans la politique d’usage de l’IA
• Couches de détection choisies par cas d’usage, avec un modèle entraîné partout où des noms apparaissent
• Pipeline en échec fermé lorsque la détection échoue ou dépasse le délai
• Rappel et faux positifs mesurés sur au moins 50 de vos propres documents
• Espaces réservés utilisés plutôt que la suppression, cohérents au sein d’une conversation
• La politique de confidentialité nomme le fournisseur d’IA ou la catégorie de destinataires
• AIPD réalisée pour les usages à haut risque
• Paramètres de conservation et d’entraînement du fournisseur confirmés dans les conditions signées

Sources

• Cour de justice de l’Union européenne, CEPD c. CRU, affaire C-413/23 P, arrêt du 4 septembre 2025, points 23 à 28, 58 à 60, 72 à 77, 85, 86, 111 et 112
• Comité européen de la protection des données, lignes directrices 01/2025 sur la pseudonymisation, version soumise à consultation, période de commentaires du 17 janvier au 14 mars 2025
• OpenAI, Offering Zero Data Retention for frontier models, 19 août 2026
• Anthropic, documentation sur l’API et la conservation des données
• La levée de l’ordonnance de conservation dans l’affaire du New York Times (ordonnance du 9 octobre 2025) et le dispositif de conservation d’Anthropic de l’automne 2026 proviennent de la presse, notamment Engadget et CNBC.
• Chiffres de détection et de latence : mesures Sluis des 15 et 14 septembre 2026. La méthode est décrite dans la documentation Sluis sur la protection des données.