Une base de connaissances propre n’est pas automatiquement une base de connaissances autorisée

Le signal derrière le sujet

Une équipe indexe tous ses dossiers clients parce qu’ils sont « internes » sans distinguer contrats, données salariés et documents publics. On peut passer à côté du problème si on ne regarde que la sortie produite. Le vrai sujet est plutôt celui-ci : un corpus bien rangé peut contenir des informations personnelles, confidentielles ou soumises à des droits d’usage différents. La propreté documentaire ne règle pas la licéité.

Avant de tirer une règle, regardons ce que les sources disent réellement. Les recommandations de la CNIL rappellent les principes de finalité, minimisation, sécurité, licéité et respect des droits lorsque des données personnelles interviennent dans le développement ou l’usage d’un système d’IA. En juillet 2026, le CEPD a mis en consultation une première version de lignes directrices sur l’anonymisation et sur le web scraping dans le contexte de l’IA générative, avec une consultation publique ouverte jusqu’au 30 octobre 2026. Elles proposent notamment trois critères pratiques pour tester l’anonymisation, l’absence d’isolement des enregistrements, de couplage et d’inférence, et rappellent que le RGPD s’applique au web scraping lorsqu’il implique des données personnelles. Les sources posent le décor. Elles ne remplacent ni la mesure locale ni le jugement métier.

Ce qui se passe vraiment dans le travail

Avec l’IA, la donnée circule plus facilement entre une consigne, un document, une mémoire, un connecteur et un historique. Une interaction plus simple peut cacher un périmètre beaucoup plus large, d’où l’importance de la minimisation. Le RGPD ne se résume pas à masquer un nom : il demande une finalité, une base légale lorsqu’il y a des données personnelles, des mesures de sécurité, une durée de conservation et des droits réellement exerçables. La question opérationnelle est plus simple à formuler : Un corpus bien rangé peut contenir des informations personnelles, confidentielles ou soumises à des droits d’usage différents. La propreté documentaire ne règle pas la licéité. Le piège consiste à chronométrer l’outil et à oublier tout ce qu’il déclenche avant et après.

Une équipe indexe tous ses dossiers clients parce qu’ils sont « internes » sans distinguer contrats, données salariés et documents publics.

Le piège qui fausse la lecture

Le mauvais réflexe serait de transformer le titre en doctrine. La bonne question dépend donc du contexte, de la fréquence et surtout du coût d’une erreur. Une équipe indexe tous ses dossiers clients parce qu’ils sont « internes » sans distinguer contrats, données salariés et documents publics. Ce qui compte n’est pas de rendre l’usage identique partout, mais de savoir pourquoi il est acceptable ici.

Une manière plus utile de mesurer

Je regarderais un point avant tous les autres : qualifier les sources avant indexation : droit d’usage, sensibilité, durée, audience. Observe aussi les cas rares. Ce sont eux qui révèlent si le contrôle tient quand le contexte devient moins propre. Observe ce que l’équipe arrête de faire grâce à l’IA. Si rien ne disparaît, le nouvel outil s’est peut-être simplement ajouté au reste.

Lister les données réellement nécessaires à la tâche et supprimer le reste du périmètre. Ce détail compte : sans lui, on risque simplement de déplacer la charge vers la personne qui devra contrôler le résultat.

Distinguer données saisies, données observées, données dérivées et données conservées. L’intérêt est surtout de créer un critère observable. Si personne ne peut dire si ce point est respecté, la règle restera décorative.

Choisir une durée de conservation et une règle d’accès avant que l’historique ne devienne une habitude. Le but n’est pas d’ajouter une couche de procédure. C’est de rendre visible la décision qui existait déjà, souvent de manière implicite.

Prévoir comment une personne peut exercer ses droits lorsqu’elle est concernée par le traitement. Autrement dit, il faut regarder le travail qui existe vraiment, avec ses détours et ses exceptions.

Ce que je garderais comme règle

Le fait qu’un traitement soit techniquement possible ne suffit pas à le rendre licite. Dès que des données personnelles sont concernées, la finalité, la base juridique, la minimisation, l’information, les droits, la conservation et la sécurité doivent être examinés dans le contexte réel.

Pour moi, la règle qui mérite de survivre à l’outil est la suivante : qualifier les sources avant indexation : droit d’usage, sensibilité, durée, audience. C’est moins spectaculaire qu’une démo, mais beaucoup plus utile pour faire tenir l’usage dans le temps.