Classé : 8 choses à ne jamais coller dans un chatbot d’IA

Coller quelque chose dans un chatbot semble anodin, presque sans conséquence. C’est l’équivalent numérique du fait de penser à voix haute. 

Mais cette habitude réflexe est précisément le problème. 

Dans la précipitation pour obtenir une réponse, on livre des données sensibles, des documents professionnels et des informations personnelles que l’on ne publierait jamais publiquement, alors même que le niveau de risque est bien plus proche qu’il n’y paraît.

Voici les huit éléments à ne jamais coller dans un chatbot d’IA, classés des erreurs faciles à négliger aux divulgations les plus dangereuses.

8. Données de localisation en temps réel ou projets de voyage détaillés

Les données de localisation en temps réel et les projets de voyage détaillés comprennent tout ce qui révèle où vous vous trouvez ou où vous serez à un moment précis : adresses personnelles, noms d’hôtels, numéros de vol, cartes d’embarquement ou simples détails comme « Je ne serai pas en ville avant vendredi ». Cela semble anodin parce que ces informations sont temporaires, mais les données de localisation relient votre activité en ligne au monde physique, révélant des habitudes, des absences et des schémas qui ne peuvent plus être annulés une fois partagés.

Imaginez que vous colliez une confirmation d’hôtel pour qu’un chatbot reformule une réclamation ou résume votre itinéraire. En un seul copier-coller, vous avez indiqué où vous dormez, combien de temps vous serez absent et que votre domicile est probablement vide. L’exposition ne durera peut-être que quelques jours, mais il n’en faut pas davantage pour que les conséquences se fassent sentir.

7. Conversations privées impliquant d’autres personnes

Il s’agit notamment de messages pour lesquels toutes les personnes concernées n’ont pas clairement accepté que leurs propos soient réutilisés ou analysés ailleurs. Cela concerne les e-mails professionnels, les messages privés, les échanges avec les ressources humaines, les conversations avec des clients et les discussions de groupe, en particulier celles qui ont été partagées dans l’attente qu’elles restent privées. Même si votre nom figure dans l’échange, le coller dans un chatbot d’IA modifie le public et les règles, et le consentement ne se reporte pas automatiquement.

Imaginez que vous copiiez un échange tendu sur Slack avec un collègue pour demander à un chatbot comment « répondre de manière plus professionnelle ». Les noms sont supprimés, mais le rôle, le moment et le contexte rendent la personne facilement identifiable pour quiconque connaît la situation. Modifier le texte pour le rendre plus soigné peut introduire un risque, surtout lorsque les conversations privées n’étaient pas destinées à être partagées.

6. Dossiers médicaux liés à votre identité

Les informations de santé qui peuvent être rattachées à vous, comme des résultats d’analyses, des diagnostics, des identifiants de patient, des captures d’écran de portail ou des formulaires d’admission, présentent un niveau de sensibilité différent de celui de la plupart des données personnelles. Dès qu’elles sont liées à une personne réelle, elles cessent d’être une simple question de santé et deviennent des informations réglementées, auxquelles les protections de la vie privée ne s’appliquent plus lorsque vous les collez dans un chatbot.

Téléverser un résultat d’analyse pour demander « Est-ce normal ? » signifie souvent que votre nom est visible, ou au moins votre date de naissance, le nom de votre professionnel de santé et des numéros de référence. Cela suffit à relier des informations médicales à votre identité, ouvrant la voie à des atteintes à la vie privée, à des complications avec l’assurance ou à une utilisation abusive ultérieure.

5. Documents juridiques liés à des litiges en cours

Les contrats, projets d’accord amiable, mises en demeure, actes de procédure ou échanges avec un avocat liés à une affaire juridique en cours présentent des risques bien plus graves que les simples problèmes de confidentialité. Ces documents sont généralement couverts par le secret professionnel et une stricte obligation de confidentialité, deux protections qui peuvent être compromises dès qu’ils sont copiés dans un chatbot, vous privant de garanties sur lesquelles vous comptez peut-être sans le savoir.

Tout commence par une question pratique, comme coller une clause contractuelle pour demander ce qu’elle signifie réellement ou téléverser un projet de réponse à une notification juridique afin d’en améliorer le ton. Ce faisant, vous pourriez affaiblir le secret professionnel, exposer votre stratégie juridique ou créer une trace de divulgations susceptible de se retourner plus tard contre vous, car la formulation, l’intention et le moment comptent.

4. Informations internes confidentielles de l’entreprise

Les projets non publiés, les données clients, le code source privé, les rapports d’incident ou tout élément marqué comme confidentiel ou couvert par un NDA sont des informations dont votre organisation a explicitement décidé qu’elles devaient rester en interne. Les coller dans un chatbot rompt instantanément cette limite, d’une manière qui enfreint les règles de l’entreprise, les contrats ou les obligations réglementaires.

Cela se produit généralement au nom de l’efficacité : insérer un extrait de code privé pour déboguer plus rapidement, coller une feuille de route interne pour « améliorer la formulation » ou résumer un rapport d’incident pour plus de clarté. Ce qui semble être un gain de productivité rapide peut se transformer en divulgation non autorisée aux conséquences bien réelles, allant de risques juridiques à une perte de confiance.

3. Pièces d’identité délivrées par l’État et identifiants personnels

Les informations figurant sur des pièces d’identité officielles, comme les numéros de sécurité sociale, les données de passeport, les informations du permis de conduire ou les numéros fiscaux, sont des marqueurs permanents directement liés à votre identité. Qu’elles soient copiées sous forme de texte ou extraites d’un document, ces informations ont une longue durée de vie et une forte valeur à la revente, si bien qu’une seule divulgation peut coûter cher.

Cela peut prendre la forme d’un formulaire fiscal collé pour vérifier un numéro ou d’une pièce d’identité téléversée afin de demander à un chatbot d’IA d’améliorer l’image ou de confirmer les champs requis pour un formulaire, avec des informations clés visibles sur la photo. Une fois divulguées, ces informations peuvent servir à ouvrir de faux comptes, à commettre une fraude fiscale ou aux prestations sociales, ou à usurper votre identité d’une manière qui ne se révélera que des mois ou des années plus tard ; des dommages difficiles à réparer.

2. Coordonnées de comptes financiers

Tout ce qui permet de déplacer, de débloquer ou de récupérer de l’argent — numéros de compte bancaire et d’acheminement, coordonnées de carte bancaire, clés privées de cryptomonnaie, phrases secrètes de portefeuille ou codes de récupération — relève d’une catégorie à haut risque. Ces informations sont immédiatement exploitables : leur divulgation peut donc entraîner une perte en quelques minutes, et non en quelques jours.

Cela se produit généralement en essayant de résoudre un petit problème, par exemple en collant un relevé pour comprendre un prélèvement ou en partageant les informations d’un portefeuille pour déboguer une transaction. Entre de mauvaises mains, ces mêmes informations peuvent servir à prélever directement de l’argent, à rediriger des paiements ou à vider complètement des comptes.

1. Identifiants et secrets de récupération de compte

Les secrets qui vous authentifient, comme les mots de passe, les clés d’API, les jetons d’accès, les codes de secours ou les réponses aux questions de sécurité, se trouvent au sommet de la hiérarchie des risques, car ils suppriment le dernier obstacle entre un attaquant et vos comptes. Une fois collés dans un chatbot d’IA, ces secrets peuvent permettre à quelqu’un d’autre d’agir en votre nom.

Cela n’arrive généralement pas intentionnellement. Cela se produit lors d’un dépannage, quand quelqu’un colle un extrait de code, un fichier de configuration ou un message d’erreur pour comprendre pourquoi quelque chose ne fonctionne pas. Les recherches de Netskope ont déjà montré que des identifiants et des clés se retrouvent bien dans les outils d’IA de cette manière ; une fois que c’est fait, les dommages peuvent être immédiats : comptes piratés, accès révoqués et systèmes connectés exposés, le tout à partir d’un seul copier-coller.

Copier-coller, vie privée et promesses

Les entreprises d’IA s’empressent d’affirmer qu’elles se soucient de la vie privée, et beaucoup prennent effectivement des mesures concrètes pour protéger les données des utilisateurs. Mais les politiques de confidentialité ne changent rien au problème fondamental : dès que vous collez des informations sensibles dans un chatbot, vous élargissez le cercle des personnes susceptibles d’y accéder au-delà de ce que vous pouvez voir ou contrôler pleinement. Cela suffit à accroître le risque, quelles que soient vos intentions ou les protections mises en place.

Le danger vient du fait que les chatbots tendent à banaliser le partage excessif d’informations. Ils donnent l’impression qu’il est facile de traiter des informations importantes comme un texte sans valeur, même lorsque les conséquences sont tout sauf anodines.

La règle la plus sûre est simple. Si la divulgation d’une information pouvait vous coûter de l’argent, votre emploi, votre identité ou votre sécurité, elle n’a pas sa place dans une fenêtre de conversation.

Apple est peut-être encore en train de remanier Siri, mais au sein de l’entreprise, les employés utilisent déjà des chatbots internes pour rédiger, faire des recherches et travailler.