Secret des affaires et IA générative : comment éviter les fuites d'informations stratégiques
Un collaborateur soumet un contrat de fusion-acquisition à ChatGPT pour en obtenir un résumé. Un ingénieur colle le code source d'un algorithme propriétaire dans un outil d'IA pour corriger un bug. Ces situations, banales en apparence, constituent des violations potentielles du secret des affaires — et elles se produisent chaque jour dans des milliers d'entreprises. L'IA générative a créé un vecteur de fuite inédit, invisible et difficile à auditer.
Ce que dit la loi : secret des affaires et IA générative
La directive européenne 2016/943, transposée en droit français par la loi du 30 juillet 2018, protège toute information qui réunit trois critères : elle est secrète, elle a une valeur commerciale du fait de son caractère secret, et son détenteur a pris des mesures raisonnables pour la maintenir secrète.
Or l'utilisation non encadrée d'un outil d'IA générative peut faire sauter le troisième critère. Si vous ne pouvez pas démontrer que vous avez mis en œuvre des mesures raisonnables pour éviter qu'un employé soumette vos données stratégiques à un LLM tiers, la protection légale s'affaiblit considérablement. En cas de contentieux, l'adversaire n'a qu'à prouver que l'information était librement accessible via un outil cloud pour contester son caractère secret.
L'AI Act ajoute une couche supplémentaire : les systèmes d'IA à usage général (GPAI) comme les grands modèles de langage sont soumis à des obligations de transparence sur l'utilisation des données d'entraînement. Rien ne garantit qu'une information soumise aujourd'hui ne servira pas à entraîner un modèle demain.
Les vecteurs de fuite concrets à identifier
Le shadow AI : la menace invisible
Le shadow AI désigne l'ensemble des outils d'IA utilisés sans validation de la DSI ou de la conformité. Selon plusieurs études récentes, plus de 60 % des salariés utilisant des outils d'IA générative le font sans en avoir informé leur employeur. Les données soumises peuvent inclure :
- des clauses contractuelles confidentielles ;
- des données financières non publiques ;
- des stratégies commerciales ou de R&D ;
- des informations sur des tiers (clients, partenaires, cibles d'acquisition).
Les outils « grand public » vs. les offres entreprise
Il existe une différence fondamentale entre soumettre des données à la version gratuite d'un LLM — où les conversations peuvent potentiellement être utilisées pour l'entraînement — et utiliser une API ou une offre enterprise avec des garanties contractuelles d'isolation des données. Cette distinction est souvent ignorée par les utilisateurs non formés.
Les intégrations tierces dans les workflows
Les plugins, connecteurs et intégrations (CRM, messagerie, outils de productivité) qui embarquent des fonctionnalités d'IA générative créent des flux de données difficiles à cartographier. Un simple résumé automatique d'e-mail peut envoyer des échanges sensibles vers des serveurs hors de l'Union européenne.
Le cadre de gouvernance à mettre en place
1. Cartographier les usages avant de les interdire
Interdire l'IA générative est contre-productif : cela pousse les usages dans l'ombre sans les éliminer. La priorité est d'inventorier les outils utilisés, de classifier les données par niveau de sensibilité (public, interne, confidentiel, secret des affaires) et de croiser ces deux cartographies pour identifier les risques réels.
2. Rédiger une politique d'usage acceptable (AUP IA)
Cette politique doit définir explicitement :
- quelles catégories de données ne peuvent jamais être soumises à un outil d'IA externe ;
- la liste des outils approuvés et leurs conditions contractuelles de traitement des données ;
- les procédures de signalement en cas d'usage non conforme ;
- les sanctions applicables, en cohérence avec le règlement intérieur.
3. Exiger des garanties contractuelles auprès des fournisseurs
Avant de déployer un outil d'IA générative, vérifiez : le fournisseur utilise-t-il les données soumises pour entraîner ses modèles ? Où sont hébergées les données ? Quelles sont les clauses de confidentialité applicables ? Pour les traitements de données personnelles, un DPA (Data Processing Agreement) est obligatoire au sens du RGPD — mais pour le secret des affaires, c'est une NDA ou des clauses contractuelles spécifiques qu'il faut négocier.
4. Déployer des contrôles techniques
Les mesures organisationnelles seules ne suffisent pas. Les outils de Data Loss Prevention (DLP) peuvent être configurés pour détecter et bloquer l'envoi de documents classifiés vers des URL d'IA générative. Les solutions de CASB (Cloud Access Security Broker) permettent de superviser les flux vers des services cloud non approuvés. Ces contrôles constituent également la preuve des « mesures raisonnables » exigées par la loi.
5. Former et sensibiliser les équipes
La formation n'est pas optionnelle : elle conditionne la responsabilité de l'employeur en cas d'incident. Elle doit être documentée, répétée et adaptée aux profils (juristes, commerciaux, ingénieurs n'ont pas les mêmes risques). Un cas pratique concret — « que se passe-t-il si vous collez ce contrat dans cet outil ? » — est plus efficace qu'un slide de sensibilisation générique.
Le rôle du DPO et du RSSI dans ce dispositif
La protection du secret des affaires et la conformité RGPD se recoupent sans se confondre. Le DPO veille à ce que les données personnelles soumises aux outils d'IA bénéficient d'une base légale et d'un encadrement contractuel adéquat. Le RSSI supervise les contrôles techniques et la gestion des risques cyber. Le responsable conformité ou le juriste d'entreprise assure la cohérence avec la loi de 2018 et gère les clauses contractuelles avec les fournisseurs.
Dans les structures où ces fonctions coexistent, la gouvernance de l'IA générative doit être traitée comme un sujet transversal, avec un comité ou un référent IA clairement désigné. C'est précisément ce que permet une plateforme de gouvernance IA : centraliser les inventaires, les politiques, les évaluations de risques et les preuves de conformité en un seul endroit auditable.
Ce que vous risquez en cas de fuite
Les conséquences d'une fuite de secret des affaires via un outil d'IA générative sont multiples : perte de l'avantage concurrentiel, impossibilité d'agir en contrefaçon faute de pouvoir prouver le secret, responsabilité contractuelle vis-à-vis des clients ou partenaires dont les données ont été exposées, et atteinte à la réputation. Dans certains secteurs réglementés (banque, santé, défense), des sanctions administratives supplémentaires peuvent s'appliquer.
FAQ
L'utilisation d'un outil d'IA générative peut-elle faire perdre la protection du secret des affaires ?
Oui, si vous ne pouvez pas démontrer avoir pris des « mesures raisonnables » pour empêcher la divulgation. L'absence de politique d'usage et de contrôles techniques affaiblit la protection prévue par la loi du 30 juillet 2018.
Quelle différence entre la version grand public et l'offre enterprise d'un LLM ?
Les offres enterprise incluent généralement des garanties contractuelles d'isolation des données et excluent leur utilisation pour l'entraînement du modèle. La version grand public offre rarement ces garanties, ce qui crée un risque de fuite irréversible.
Le RGPD couvre-t-il le secret des affaires dans le contexte de l'IA ?
Le RGPD protège les données personnelles, pas directement le secret des affaires. Les deux régimes sont complémentaires : un DPA couvre les données personnelles, mais des clauses contractuelles spécifiques ou une NDA sont nécessaires pour le secret des affaires.
Comment détecter le shadow AI dans mon organisation ?
Via des outils CASB ou DLP qui analysent les flux réseau, des enquêtes internes auprès des métiers, et l'audit des licences SaaS souscrites hors DSI. Un inventaire régulier des outils utilisés par département est une bonne pratique de base.
L'AI Act impose-t-il des obligations spécifiques sur la protection du secret des affaires ?
L'AI Act n'aborde pas directement le secret des affaires, mais impose des obligations de transparence aux fournisseurs de modèles GPAI. Ces obligations peuvent révéler des pratiques d'utilisation des données soumises, ce qui renforce l'importance de vérifier les conditions contractuelles des fournisseurs.