Ce que devient réellement un prompt envoyé à une IA publique (et quand ça pose problème)

14 juillet 2026 · 4 min de lecture · SOVALYX Technologies

Un prompt envoyé à une IA publique quitte votre organisation : il est transmis aux serveurs du fournisseur, journalisé, conservé pour une durée définie par sa politique et, selon l'offre et les réglages, parfois utilisé pour améliorer les modèles. Rien de tout cela n'est secret — mais peu d'utilisateurs l'ont lu. Voici le trajet réel d'un prompt, et les cas où il devient un problème.

Le trajet d'un prompt, étape par étape

1. Le prompt quitte votre réseau, chiffré en transit, et arrive sur les serveurs du fournisseur — souvent dans une autre juridiction que la vôtre.
2. Il est journalisé : prompt, réponse et métadonnées (compte, horodatage, adresse IP) rejoignent les systèmes du fournisseur.
3. Il est conservé selon la politique de rétention du fournisseur — une durée que celui-ci fixe, et que des obligations légales peuvent prolonger.
4. Selon l'offre et les réglages, il peut être relu (modération, lutte contre les abus) ou utilisé pour entraîner les modèles.

Les fournisseurs sérieux documentent tout cela dans leurs politiques. Le problème n'est donc pas un mensonge du fournisseur : c'est l'écart entre ce que dit sa politique et ce que croient vos équipes. Une offre grand public gratuite et un compte API entreprise n'obéissent pas du tout aux mêmes règles — or c'est souvent la première que vos collaborateurs utilisent.

Trois questions qui déterminent le risque

L'entraînement. Certaines offres grand public utilisent les conversations pour améliorer les modèles, sauf réglage contraire ; les offres entreprise l'excluent généralement par contrat. La question à poser n'est pas « le fournisseur entraîne-t-il ? » mais « quelle offre exacte, avec quels réglages, est réellement utilisée par mes équipes ? » — celle que vous avez achetée n'est pas toujours celle qui sert.

La rétention. Même sans entraînement, les prompts sont conservés : journaux techniques, historiques de conversation, sauvegardes internes du fournisseur. Une donnée « supprimée » de l'interface n'a pas nécessairement disparu des systèmes, et une obligation légale de conservation peut prolonger sa durée de vie sans que vous en soyez informé.

Les sous-traitants. Un fournisseur d'IA s'appuie sur des hébergeurs, des outils de modération, des prestataires de support. Chacun est un maillon supplémentaire, potentiellement dans une juridiction différente, avec ses propres pratiques. Votre donnée hérite du maillon le plus faible de cette chaîne — que vous ne connaissez généralement pas.

Quand ça pose vraiment problème

• Données personnelles : envoyer les données d'un client ou d'un salarié à un outil sans cadre contractuel adapté engage votre responsabilité. Pour une entreprise mauricienne qui sert des clients européens, les obligations suivent la donnée — voir DPA, RGPD et hébergement à Maurice.
• Secrets d'affaires : code source, contrats, données financières non publiées, feuilles de route produit.
• Engagements contractuels : les clauses de confidentialité et NDA de vos clients interdisent la transmission à des tiers — et une IA publique est un tiers.
• Secteurs régulés : finance, santé, services juridiques, où la traçabilité des traitements est exigée.

Ce n'est pas un hasard si, depuis 2023, les politiques d'entreprise interdisant l'usage des IA publiques pour les données sensibles se multiplient. Mais l'interdiction seule échoue de façon prévisible : si l'outil est utile, il sera utilisé — discrètement. C'est le même angle mort que les connecteurs OAuth des assistants IA SaaS : la réponse durable n'est pas le blocage, c'est une alternative aussi pratique.

L'alternative : un LLM interne sur infrastructure privée

Les modèles à poids ouverts rendent aujourd'hui crédible une IA d'entreprise qui tourne entièrement sur une infrastructure que vous contrôlez. Le principe est simple : le prompt ne quitte jamais votre périmètre. Pas de rétention subie — vous fixez la politique de journalisation ; pas d'entraînement tiers — rien de ce que vos équipes écrivent ne sort de chez vous ; pas de chaîne de sous-traitants invisible — vous connaissez chaque maillon. Nous détaillons le budget réel, le matériel et les cas d'usage d'un LLM privé dans un article dédié. C'est le choix d'architecture que SOVALYX opère avec l'IA privée : des LLM internes, hébergés sur cloud privé, où aucune donnée n'est envoyée à une IA publique.

Checklist : avant de coller un texte dans une IA publique

• Le texte contient-il des données personnelles (clients, salariés, candidats) ? Si oui : stop, ou anonymisation réelle — pas un simple retrait des noms.
• Contient-il des informations sous NDA ou couvertes par une clause de confidentialité client ?
• Contient-il des secrets d'affaires : code, contrats, chiffres non publiés, feuilles de route ?
• Savez-vous quelle offre exacte (grand public ou entreprise) et quels réglages s'appliquent au compte utilisé ?
• La politique de rétention du fournisseur est-elle compatible avec vos engagements contractuels ?
• Existe-t-il une alternative interne validée pour ce type de tâche ?
• Votre politique d'usage de l'IA est-elle écrite, connue et praticable — plutôt qu'une interdiction que chacun contourne ?

Si la réponse à ces questions n'est pas évidente pour vos équipes, le sujet mérite mieux qu'une note interne. En parler avec un architecte permet souvent de trancher en une réunion : ce qui peut aller vers l'IA publique, et ce qui doit rester dedans.

🧰 L'outil qui va avec : Êtes-vous prêt pour l'AI Act ? — gratuit · 2 minutes.

Relu et optimisé par IA.