IBAN, numéro AVS & Cie : ce qui n’a jamais sa place dans les outils d’IA

1. Mots de passe, clés API et jetons

Les identifiants d’accès se cachent souvent dans des messages d’erreur, des configurations ou des scripts que l’on veut faire vérifier « vite fait ». Les saisir dans un service tiers, c’est perdre le contrôle sur qui les voit. Règle d’or : un mot de passe ou une clé copié dans un chat d’IA est considéré comme divulgué et doit être changé.

2. Numéro AVS et numéros de sécurité sociale

Le numéro AVS est un numéro personnel unique, attribué à vie. La loi sur l’AVS règle expressément son utilisation systématique (art. 153b ss LAVS) : en dehors des assurances sociales, seuls les services habilités par une loi peuvent l’utiliser systématiquement, et ils doivent le protéger par des mesures techniques et organisationnelles. Il n’a rien à faire dans un chat d’IA. Il en va de même pour les numéros de sécurité sociale d’autres pays, comme le NIR en France.

3. Coordonnées bancaires et données de carte

Les IBAN et les données de compte des clients sont des données personnelles au sens de la loi sur la protection des données et n’ont leur place que dans les systèmes auxquels elles sont destinées. Pour les cartes de paiement, les règles de la norme PCI DSS s’appliquent en plus : les numéros de carte ne peuvent être enregistrés que sous forme protégée, et le cryptogramme ne doit plus du tout l’être après l’autorisation.

4. Données de santé et autres données sensibles

Les informations sur la santé, les opinions religieuses ou politiques, l’aide sociale ou les procédures pénales sont considérées comme des données sensibles (art. 5, let. c, LPD). Des règles plus strictes s’y appliquent, par exemple pour le consentement.

5. Données clients, pièces d’identité, contrats

Listes de clients, numéros de pièces d’identité, numéros d’entreprise et numéros fiscaux de partenaires commerciaux, contrats non publiés : tout ce qu’un client ou un partenaire vous a confié. Le guide Vos collaborateurs peuvent-ils saisir des données clients dans ChatGPT ? explique pourquoi cela n’a pas sa place dans ChatGPT sans clarification préalable.

Comment l’IA reste utile malgré tout

• Travailler avec des espaces réservés : « Client A », « [IBAN] », « [Montant] » au lieu des vraies valeurs. La réponse de l’IA est le plus souvent tout aussi bonne.
• Compte professionnel plutôt que personnel : utiliser les services autorisés, avec contrat.
• Caviarder automatiquement : AImori détecte 242 types de données dans 60 paquets, vérifie les formats par chiffre de contrôle quand il en existe un et remplace sur demande les éléments trouvés par des espaces réservés comme [IBAN_1] – localement dans le navigateur, avant tout envoi. Un modèle d’IA local détecte en plus les noms et les adresses, et les captures d’écran sont lues par reconnaissance de texte. Voir tous les types de données
• Tester avant : le test gratuit « Ce texte peut-il aller dans ChatGPT sans risque ? » met en évidence ces données dans votre texte, sans l’envoyer.