Prompt IA et données sensibles : ce qu’il vaut mieux ne jamais coller

Chaque jour, des milliers de personnes collent dans un assistant IA des informations qu'elles ne montreraient jamais sur internet. Un numéro de téléphone, une adresse, un relevé bancaire, un extrait de dossier médical, un contrat de travail : tout cela passe parfois en quelques secondes dans une boîte de dialogue sans y penser. Le réflexe est compréhensible. Les assistants sont rapides, utiles et donnent le sentiment de traiter nos demandes en privé. Pourtant, la question de savoir ce qu'il vaut mieux ne jamais coller dans un prompt IA mérite d'être posée avant, pas après. Ce guide y répond avec des critères simples, des précautions concrètes et des exemples, sans jargon et sans dramatisation.

Pourquoi on finit par copier-coller trop de choses dans un prompt

Le premier réflexe à comprendre n'est pas technique, il est humain. Quand un outil répond vite et bien, on oublie rapidement ce qu'on vient de lui confier. La boîte de dialogue ressemble à une conversation privée, alors qu'en réalité chaque message est un échange avec un service en ligne, avec ses réglages internes, ses durées de conservation et parfois ses réutilisations possibles.

Trois habitudes poussent au copier-coller excessif. D'abord, la rapidité : coller un document entier est plus rapide que de le reformuler. Ensuite, la confiance : si l'outil semble efficace, on lui prête volontiers une discrétion qu'il n'a pas promis. Enfin, l'habitude : on a déjà collé une adresse ou un fichier hier sans incident, alors on recommence. Aucune de ces raisons ne protège la donnée. Le confort d'usage ne dit rien de ce que l'outil en fait par la suite.

Ce n'est pas une raison de renoncer à l'IA. C'est une raison de réserver les informations les plus sensibles, et de traiter le reste avec bon sens.

Ce qu'il vaut mieux ne jamais coller dans un prompt IA

Certaines données présentent un risque suffisant pour qu'on les laisse, par principe, hors des prompts. La liste qui suit n'est pas exhaustive, mais elle couvre l'essentiel du quotidien.

• L'état civil complet et les justificatifs d'identité. Numéro de sécurité sociale, numéro de pièce d'identité, passeport, adresse complète : ces éléments permettent de vous identifier et de vous usurper.
• Les éléments bancaires. Numéro de carte, relevé, RIB complet, codes de vérification : aucune raison de les saisir dans un outil dédié à autre chose.
• Les mots de passe et codes d'accès. Un assistant ne doit jamais recevoir votre mot de passe, même pour « vérifier » ou « réparer » quelque chose. Aucun outil légitime n'en a besoin. Pour ranger correctement vos accès, un gestionnaire de mots de passe reste la solution adaptée.
• Les dossiers médicaux et données de santé. Ils sont personnels, parfois protégés par des règles spécifiques, et peuvent être très sensibles selon le pays.
• Les contrats, documents professionnels confidentiels, négociations ou informations sur des tiers. Même sans votre nom, un texte peut révéler une situation, une stratégie ou des données de personnes que vous n'avez pas le droit de partager.
• Les fichiers ou extraits que quelqu'un d'autre vous a confiés en confiance.

La logique est simple : si la donnée peut servir à vous voler, à vous nuire, à vous frauder ou à nuire à un tiers, elle n'a pas sa place dans une boîte de dialogue dont vous ne maîtrisez ni la conservation ni l'usage.

Comment reconnaître une donnée sensible avant de l'envoyer

Plutôt que de mémoriser une liste, il est plus utile de se poser trois questions rapides avant chaque envoi.

Première question : cette information permet-elle de m'identifier ou d'identifier quelqu'un d'autre ? Un nom seul est peu parlant, mais un nom avec une adresse, une date de naissance ou un numéro change tout. La combinaison compte autant que la donnée isolée.

Deuxième question : que ferait une personne mal intentionnée si elle obtenait ce contenu ? C'est le meilleur test. Un extrait de CV est peu risqué. Un numéro de carte ou un mot de passe est directement exploitable. Si la réponse vous met mal à l'aise, ne collez pas.

Troisième question : est-ce que je serais à l'aise de publier cette information sur une page publique ? L'IA n'est pas une page publique, mais l'idée reste proche : ce que vous ne voudriez pas diffuser peut être conservé ou réutilisé. Si la réponse est non, reformulez ou retirez l'élément.

De ces trois questions découle une autre réflexion utile : comprendre où va la donnée rejoint la façon de choisir un outil IA au quotidien en pesant coût, confidentialité et vraie utilité.

Les gestes simples à adopter au quotidien

La prudence ne demande aucun matériel. Elle tient en quelques habitudes.

• Anonymisez avant de coller. Remplacez les noms, numéros et adresses par des termes génériques : « mon client », « la ville » ou « le fournisseur ». Vous gardez le fond du problème sans divulguer l'identifiant.
• Reformulez plutôt que de coller un document entier. Décrire la demande en une ou deux phrases évite d'envoyer le fichier brut.
• Retirez les pièces jointes et paramètres inutiles. Beaucoup d'outils lisent des fichiers joints ; vérifiez ce qui part réellement.
• Vérifiez les réglages de l'outil quand ils sont disponibles. Certains services proposent des options de conservation, d'historique ou de partage de données. Le mieux est de ne pas supposer silencieusement que tout est privé.
• Vérifiez que vous êtes bien sur le bon site et le bon service. Les imitations et les pages trompeuses existent ; le contenu collé doit aller strictement à l'outil voulu.
• Nettoyez régulièrement l'historique si votre outil en garde un, et réfléchissez avant d'autoriser la mémorisation des conversations.
• Réservez les manipulations les plus sensibles à un outil dont vous contrôlez vraiment l'hébergement et les réglages, plutôt que de tout faire passer par le même assistant par réflexe.

Cette liste n'a rien d'une contrainte lourde. Une fois acquise, elle devient aussi naturelle que de vérifier une pièce jointe avant de l'envoyer. Le gain est un contrôle réel sur ce qui quitte votre écran, sans rien perdre des avantages pratiques de l'IA.

Les erreurs fréquentes, et comment les éviter

La plupart des incidents ne viennent pas d'un faux pas isolé, mais d'erreurs qui reviennent souvent.

• Coller le contenu d'un presse-papiers qui contient plus que prévu. On pense envoyer un simple extrait et on envoie toute une saisie avec numéros et adresses. Contrôlez ce qui est réellement sélectionné.
• Faire confiance à un message qui « demande » un mot de passe ou un code pour continuer. Aucun assistant légitime ne procède ainsi. C'est un signal d'alerte.
• Partager des données de collègues ou de clients pour « gagner du temps », sans se demander si on en a le droit. La donnée des autres mérite la même prudence que la vôtre.
• Croire qu'un outil « gratuit » ou « privé » ne conserve rien par défaut. La gratuité et la confidentialité sont deux choses différentes ; ne pas les confondre.
• Se rassurer en pensant qu'un identifiant seul ne sert à rien. Un numéro de téléphone ou une adresse, associés à d'autres éléments déjà publics, peuvent amplifier un vol d'identité.
• Oublier qu'une conversation peut être réutilisée pour entraîner ou améliorer un service, selon les réglages. Ce n'est pas toujours le cas, mais ce n'est jamais garanti.

L'erreur la plus utile à éviter reste la première : ne jamais coller un élément dont vous ne connaissez pas la sensibilité. La bonne habitude est de demander avant de coller, pas après l'incident.

Des exemples concrets pour savoir où tracer la limite

Quelques situations aident à situer la frontière sans en faire un casse-tête.

Quand c'est raisonnable : vous collerez sans problème un texte de brouillon, une liste de courses, un plan d'organisation, une question de culture générale ou un passage d'un document public que vous pouvez diffuser. Vous pouvez aussi résumer des documents avec l'IA dès lors que vous êtes certain qu'ils ne contiennent aucune donnée sensible, en ayant d'abord vite vérifié le contenu.

Quand il faut reformuler : pour un courrier professionnel ou une réponse à un client, décrivez le contexte sans donner les noms exacts, les montants ni les coordonnées. Vous obtenez un ton et une structure utile sans exposer l'essentiel.

Quand il faut refuser : un relevé bancaire, un mot de passe, une pièce d'identité, un dossier médical nominatif, un contrat non publié ou des données personnelles de tiers n'ont pas l'intérêt suffisant pour justifier le risque. Le gain de temps ne compense pas la perte de contrôle.

La limite se résume souvent à une question de proportion : plus la donnée est sensible et plus l'usage doit être important et sûr pour valoir le risque.

La règle la plus simple à retenir

Au final, une seule règle suffit à garder le bon réflexe : si vous ne colleriez pas cette information sur une page publique, ne la collez pas telle quelle dans un prompt IA. Quand le doute persiste, anonymisez, reformulez ou abandonnez. L'intelligence artificielle reste un excellent assistant, à condition de ne jamais lui confier ce qui vous appartient vraiment. Garder la main sur ses données est une habitude simple, et c'est elle qui fait toute la différence sur la durée.