Que ne pas partager avec un chatbot : la règle en trois gestes

Fiche complémentaire de la leçon « Ce qu’on peut partager (ou pas) avec un chatbot » — cours Vie privée en ligne

Un chatbot, ou agent conversationnel, est un programme d’intelligence artificielle (IA) avec lequel on échange par écrit. Il répond souvent mieux quand on lui donne du contexte, et c’est justement pour cela qu’il vaut la peine de s’arrêter un instant avant d’écrire. Cette fiche porte sur ce qu’il vaut mieux ne pas partager avec un chatbot, et sur ce qui peut l’être sans souci : une règle simple, garder, généraliser, partager, et un court exercice pour transformer une requête réelle en une requête qui fonctionne aussi bien sans en dire plus que nécessaire.

A. Pourquoi c’est important

Une conversation avec un chatbot donne une impression d’intimité. On écrit avec ses propres mots, sur son écran, et la réponse semble faite sur mesure. Cette impression fait partie de ce qui rend ces outils utiles, et c’est aussi une bonne raison de ralentir un instant.

Ce que deviennent les mots une fois envoyés, et combien de temps ils sont conservés, fait l’objet d’une autre fiche de ce cours. Ici, on s’intéresse au moment d’avant : décider de ce que l’on écrit dans la requête (en anglais, « prompt »), donc de ce qu’il vaut mieux ne pas partager avec un chatbot et de ce qui peut l’être. C’est la partie que l’on maîtrise. La règle présentée plus bas est une proposition de ce cours, pas une obligation légale.

La bonne nouvelle, c’est qu’une requête soignée n’est pas forcément moins bonne. Souvent, l’aide recherchée dépend du type de problème, pas de l’identité des personnes concernées. Savoir faire la différence s’apprend, et devient rapide avec l’habitude.

Ce que disent les sources

Cybermalveillance.gouv.fr, le service public d’assistance aux victimes de cybermalveillance, propose un guide sur l’usage de l’IA pour les particuliers et les professionnels, mis à jour le 5 octobre 2026. Il recommande : « Évitez de partager avec les IA des sujets ou des documents personnels sensibles. » Il précise que les requêtes et les documents peuvent révéler des centres d’intérêt et servir à entraîner l’IA.

La CNIL, l’autorité française de protection des données personnelles, donne un conseil proche dans une fiche écrite pour les petites entreprises : « N’introduisez pas de données confidentielles, personnelles ou stratégiques. » Elle invite à exclure des requêtes, ou à anonymiser, les données sensibles, comme les informations sur des personnes ou les données financières et contractuelles. Elle rappelle aussi que ce qui est saisi dans un outil grand public peut servir à entraîner l’IA. Cette fiche s’adresse à des organisations, mais sa logique vaut tout autant pour un usage personnel.

Pour les enseignants, la CNIL a publié en juin 2025 une page dédiée. Elle déconseille de saisir les noms des élèves, ainsi que les informations qui, mises ensemble, permettent de les identifier : nom de l’école, classe, genre, courriel. Elle cite aussi les éléments de la vie privée de l’enseignant ou d’autres personnes, et rappelle que l’usage de l’outil n’est pas un échange privé avec une personne, mais une entrée d’informations dans un système.

Au travail, la décision ne dépend pas que de vous. Selon Cybermalveillance.gouv.fr, le cadre d’usage figure en général dans le règlement intérieur, la charte informatique, la politique de sécurité de l’information ou une charte d’usage de l’IA. Son conseil : « Utilisez exclusivement le service d’IA souscrit par votre employeur. »

B. Notions clés

Cinq idées pour décider de ce qui entre dans un message à un chatbot.

Garder, généraliser, partager

C’est une règle simple, proposée par ce cours et non par les sources, avec trois issues possibles pour chaque détail d’une requête. Garder un détail, c’est le laisser chez soi : il n’entre pas dans le message. Généraliser, c’est le remplacer par quelque chose de moins précis qui joue le même rôle, comme « une collègue » à la place d’un nom. Partager, c’est laisser entrer un détail utile et sans enjeu.

Pourquoi c’est important pour vous : L’essentiel du travail se joue dans l’option du milieu. Généraliser permet d’obtenir une aide comparable sans faire entrer dans la conversation une personne, un compte ou un lieu réels.

Les données personnelles, y compris celles des autres

Pour la CNIL, « une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable ». Le nom et le prénom identifient directement ; un numéro de téléphone, une adresse, une voix ou une image peuvent identifier indirectement. Dans une requête à un chatbot, cela inclut les personnes dont on parle, pas seulement soi.

Pourquoi c’est important pour vous : Les autres n’ont pas accepté de faire partie de votre conversation. En généralisant leurs détails, vous protégez leur vie privée autant que la vôtre.

Les informations qui méritent plus d’attention

La CNIL range parmi les données dites sensibles : l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, les données génétiques, les données biométriques servant à identifier une personne, les données de santé, la vie sexuelle et l’orientation sexuelle. En principe, leur collecte et leur utilisation par un organisme sont interdites, sauf exceptions. Une requête peut en contenir sans qu’on y songe, par exemple en collant un courriel ou un document entier.

Pourquoi c’est important pour vous : Ces informations touchent à ce qu’il y a de plus intime dans une vie. Si votre demande en a besoin, décrivez la situation en termes généraux, et laissez de côté celles des autres.

La combinaison qui identifie

Une requête peut désigner quelqu’un sans contenir aucun nom. « Ma collègue, la seule professeure de musique d’un petit collège d’une commune précise » décrit une seule personne. Généraliser, c’est donc relire le message dans son ensemble, et pas mot par mot.

Pourquoi c’est important pour vous : La CNIL explique qu’une personne peut être identifiée à partir du « croisement d’un ensemble de données », même si aucune ne l’identifie seule. Vérifier la combinaison, c’est vérifier ce qui reste vraiment anonyme.

Les secrets qui n’ont pas leur place dans un message

Certaines choses n’ont guère leur place dans une conversation avec un chatbot : mots de passe, codes à usage unique, codes de secours, numéros de carte bancaire ou de compte, numéro de sécurité sociale, pièce d’identité. Cette liste est une indication de ce cours, pas une norme : elle va au-delà des sources, qui parlent de documents personnels sensibles et de données confidentielles. Vous pouvez l’ajuster à votre situation.

Pourquoi c’est important pour vous : Un chatbot peut expliquer comment réinitialiser un mot de passe sans jamais voir le vôtre. Sur le point de coller un secret ? C’est le moment de s’arrêter.

C. Un exemple concret : la soirée de préparation de Sarah

Sarah a 28 ans et enseigne dans un collège de Toulouse. Un dimanche soir, elle ouvre un chatbot pour préparer sa semaine plus vite. Elle a quatre demandes en tête.

• Des questions de révision sur le cycle de l’eau pour le cours du lundi.
• La réponse à un parent qui a écrit, assez contrarié, au sujet des devoirs du week-end. Sa première idée est de coller le courriel en entier, avec le nom du parent, la classe et le nom de l’établissement.
• Un mot pour organiser le remplacement d’une collègue, en expliquant qu’elle est absente pour une intervention médicale.
• Une aide avec l’espace numérique de travail de l’établissement, qui refuse sa connexion. Elle s’apprête à coller son identifiant et son mot de passe pour que le chatbot « voie ce qui ne va pas ».

Ce qui a changé quand Sarah a appliqué la règle

Sarah s’est arrêtée avant la deuxième demande et a classé ses détails en garder, généraliser et partager.

• Les questions de révision, elle les a partagées telles quelles : elles ne concernent personne.
• Pour le courriel du parent, elle a généralisé : « Un parent est mécontent que des devoirs soient donnés pour le week-end. Aide-moi à répondre poliment, en expliquant la règle et en proposant un rendez-vous. » Elle a retiré le nom, la classe et l’établissement, et résumé le courriel au lieu de le coller. La réponse était tout aussi utile.
• Pour le mot de remplacement, elle a gardé entièrement le motif médical. « Une collègue est absente cette semaine » suffisait au chatbot. La raison de l’absence appartient à la collègue, pas à Sarah.
• Ses identifiants, elle les a gardés. Elle a demandé à la place : « Pour quelles raisons courantes un formulaire web d’établissement scolaire refuse-t-il une connexion correcte ? » Puis elle a écrit à l’assistance informatique de l’établissement, qui peut consulter son compte.

Avant la semaine suivante, elle a aussi vérifié un point qu’elle n’avait jamais regardé : son établissement a-t-il des règles sur l’usage d’outils d’IA dans le travail ? Il en a, et elles indiquent l’outil que le personnel peut utiliser. Le réflexe lui prend désormais quelques secondes par requête.

D. À vous de jouer : réécrire une requête réelle (10 minutes)

Quatre étapes courtes, sur papier ou dans une note de téléphone. Prenez une requête réelle que vous avez faite, ou que vous allez faire, à un chatbot.

Étape 1 — Écrire la requête comme elle vient (2 minutes)

• Choisissez quelque chose d’ordinaire : un courriel à rédiger, un souci au travail, une lettre, un projet.
• Écrivez-la comme si vous ne pensiez pas à la vie privée, avec tous les détails qui vous viennent.
• C’est votre point de départ, pas un test.

Étape 2 — Marquer chaque détail Ga, Gé ou P (3 minutes)

• Soulignez chaque nom, lieu, date, numéro, organisme et situation personnelle.
• À côté de chacun, notez Ga (garder), Gé (généraliser) ou P (partager).
• Posez-vous deux questions pour chaque détail : la réponse en dépend-elle ? Est-ce à moi de le partager ?
• Un mot de passe, un code, un numéro de compte ou de pièce d’identité reste en Ga.

Étape 3 — Réécrire la requête (3 minutes)

• Remplacez chaque Gé par un terme général : « une collègue », « un client », « une ville du nord », « le mois dernier ».
• Retirez complètement chaque Ga. S’il semblait indispensable, décrivez le problème plutôt que le détail.
• Relisez la nouvelle version en entier. Un proche pourrait-il deviner de qui ou de quoi il s’agit ? Si oui, généralisez un détail de plus.

Étape 4 — Vérifier le contexte et décider (2 minutes)

• Si la requête concerne le travail, voyez si votre organisation a des règles sur les outils d’IA, et si cet outil est celui qu’elle autorise. Dans le doute, renseignez-vous avant d’envoyer quoi que ce soit de professionnel.
• Comparez les deux versions. La version réécrite donnerait-elle une réponse utile ? Souvent, on le sent tout de suite.
• Décidez : envoyer la version réécrite, la retoucher encore, ou garder cette demande hors du chatbot. Les trois issues sont de bonnes issues, puisque c’est vous qui avez choisi.

E. Vidéos, articles et autres ressources

Des sources institutionnelles françaises, toutes en français. Les pages de la CNIL sont lues en français ; celle de Cybermalveillance.gouv.fr est un guide récent, susceptible d’évoluer.

Sources institutionnelles françaises

Cybermalveillance.gouv.fr — Utiliser l’IA, conseils pour les particuliers et les professionnels
Un guide pour les particuliers et les professionnels : éviter de partager des sujets ou documents personnels sensibles, et respecter le cadre d’usage de son employeur.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/utiliser-ia-conseils-pour-les-particuliers-et-les-professionnels

CNIL — Enseignant : comment utiliser un système d’IA dans le cadre de vos missions ?
Les informations à ne pas saisir dans un outil d’IA, dont celles qui identifient par recoupement, et le cadre de l’établissement.
https://www.cnil.fr/fr/enseignant-usage-systeme-ia

CNIL — Prendre les précautions indispensables à un usage responsable et sécurisé (fiche IA 4)
Une fiche pour les petites entreprises : ne pas introduire de données confidentielles, personnelles ou stratégiques, et exclure ou anonymiser les données sensibles.
https://www.cnil.fr/sites/cnil/files/2025-03/tpe_pme_ficheia_4_les_precautions_0.pdf

CNIL — Donnée personnelle
La définition d’une donnée personnelle, l’identification directe ou indirecte et le croisement de données.
https://www.cnil.fr/fr/definition/donnee-personnelle

CNIL — Les données sensibles, c’est quoi ?
Les catégories de données dites sensibles, en principe interdites de collecte et d’utilisation, sauf exceptions.
https://www.cnil.fr/fr/cnil-direct/question/1823

Liens vérifiés en octobre 2026. Si une adresse change, chercher le titre sur le site de l’organisme aide souvent à la retrouver.

F. Le Framework Cyber Welfare : Compétences, Conscience du risque, Comportements sûrs

Cette fiche s’appuie sur le pilier Comportements sûrs, au niveau FL2 — Initié, parce que son but est un petit réflexe répété avant chaque requête, pas un réglage que l’on change une fois.

Compétences

• Classer les détails d’une requête en garder, généraliser et partager.
• Réécrire une requête pour qu’elle garde son sens sans noms, sans numéros et sans combinaisons qui identifient.
• Reconnaître les types d’informations qui demandent plus d’attention.

Conscience du risque

• Comprendre qu’une conversation avec un chatbot n’est pas un carnet privé, même si elle en a l’air.
• Reconnaître que les informations sur les autres leur appartiennent, et qu’il ne nous revient pas de les partager.
• Savoir qu’au travail, les règles de l’organisation font partie de la décision.

Comportements sûrs

• Faire une pause avant de coller : relire tout le message, pas seulement la question.
• Ne pas partager avec un chatbot les mots de passe, les codes ni les numéros de pièce d’identité.
• Vérifier les règles de son lieu de travail avant d’utiliser un outil d’IA pour des tâches professionnelles.

G. Questions pour réfléchir

• Quels détails ajoutez-vous par habitude, alors que la réponse n’en dépend pas ?
• Si la personne dont vous parlez lisait votre requête, serait-elle à l’aise avec la manière dont vous la décrivez ?
• Y a-t-il un type de question que vous préférez garder à l’écart des chatbots, et pourquoi ?

H. Que faire maintenant

Les recommandations (R) et mesures de sécurité (MS) de la base de données Cyber Welfare qui s’appliquent le plus directement ici.

1. Avant d’écrire

Ici, le travail est une habitude, pas un réglage : aucune recommandation ne le couvre à elle seule. Relisez la requête en entier avant de l’envoyer, généralisez les noms et les lieux, et laissez de côté les informations sensibles des autres. Au travail, cherchez la règle de votre organisation sur les outils d’IA avant d’utiliser un chatbot pour des tâches professionnelles.

Engagement minimal : avant votre prochaine requête à un chatbot, retirez un détail dont la réponse ne dépend pas.

2. Les secrets restent hors de la conversation

• R2 — Conserver ses mots de passe en sécurité : une seule clé à retenir, dans un gestionnaire de mots de passe : c’est là qu’un mot de passe a sa place, pas dans une fenêtre de discussion, même pour obtenir de l’aide sur une connexion.
• R1 — Un mot de passe différent pour chaque compte : la règle qui limite les dégâts : si un mot de passe finit là où il ne devrait pas, il n’ouvre qu’une porte, pas plusieurs.

Engagement minimal : si un mot de passe a déjà été collé dans un chatbot, le changer à un moment où l’on est au calme.

En bref

• Une conversation avec un chatbot paraît privée, mais ce que l’on écrit n’est plus entièrement à nous.
• Pour chaque détail, choisir : le garder, le généraliser ou le partager. Beaucoup de demandes ont besoin de la forme de la situation, pas des noms.
• Les informations sur les autres et celles qui touchent à la santé méritent une attention particulière. Les mots de passe, les codes et les numéros de pièce d’identité restent dehors.
• Savoir ne pas partager avec un chatbot, ce n’est pas s’en servir moins : c’est décider avant d’écrire.

Ressources associées dans ce cours

• Vie privée des chatbots : où vont vos conversations
• Désactiver l’entraînement de l’IA : réglages des chatbots
• IA en famille : des règles simples pour la maison et l’école

Découvrez d’autres fiches complémentaires des cours du programme Protégez votre Vie Privée Numérique.