Ce qu'il ne faut pas coller dans un prompt : données personnelles, secrets et documents internes

Un prompt est un message envoyé à un service en ligne. Ce que vous y collez quitte votre ordinateur et arrive chez un éditeur, avec les règles de conservation et d'utilisation de ses conditions. C'est un réflexe de sécurité à prendre avant de gagner du temps : certaines informations ne doivent pas y figurer, ou seulement dans des conditions précises.

1. Les secrets

Mots de passe, clés d'API, jetons d'accès, clés privées, chaînes de connexion à une base de données. C'est l'erreur la plus fréquente des développeurs : coller un fichier de configuration ou un message d'erreur pour demander de l'aide, avec la clé dedans.

À faire : remplacez les valeurs par des marqueurs (CLE_API_ICI) avant d'envoyer. Si un secret a été collé par erreur, considérez-le comme exposé et renouvelez-le : le supprimer de la conversation ne suffit pas à rattraper un envoi.

2. Les données personnelles de tiers

Noms, adresses, numéros de téléphone, informations de santé, situation d'un salarié, dossier d'un client. Le RGPD pose un principe de minimisation : ne traiter que les données nécessaires à la finalité. Envoyer à un service tiers l'identité d'une personne pour reformuler un courrier n'est presque jamais nécessaire.

À faire : anonymisez avant d'envoyer. « Madame D., cliente depuis six ans » suffit à une IA pour rédiger la réponse ; le nom complet et l'adresse, non. Avant de traiter des données personnelles avec un outil, vérifiez ses engagements dans sa politique de confidentialité, et prenez conseil auprès de la personne chargée de la protection des données si votre organisation en a une.

3. Les documents confidentiels de l'entreprise

Contrats en cours de négociation, prévisions financières, code source propriétaire, données de clients, stratégie non publiée. Votre contrat de travail, une clause de confidentialité ou un accord avec un client peuvent interdire de les confier à un service tiers.

À faire : renseignez-vous sur la politique de votre organisation. Beaucoup d'éditeurs distinguent l'offre grand public et les offres pour entreprises, aux conditions différentes sur la conservation et l'entraînement des modèles : lisez-les, ne les supposez pas.

4. Ce que vous ne pouvez pas vérifier ensuite

Ce n'est pas une donnée à protéger mais un autre danger : un contenu envoyé à l'IA puis repris tel quel dans un document engageant (avis juridique, calcul de paie, consigne médicale). Une IA peut inventer une règle avec aplomb. Les points qui engagent se vérifient à la source, et se valident par un professionnel du domaine.

Travailler quand même, sans exposer

• Gabarits à variables : écrivez le prompt avec des champs à remplir ({{client}}, {{montant}}), puis remplacez par des données fictives ou génériques.
• Données d'exemple : pour un tableau ou un fichier, créez un extrait anonymisé de quelques lignes.
• Relecture finale à la main : réintroduisez vous-même les vrais noms et chiffres dans le résultat, hors de l'outil.
• Choix de l'outil : comparez la politique de données avant d'adopter un outil pour un usage sensible (voir l'annuaire d'outils, qui note ce qui a été vérifié et ce qui ne l'a pas été).

La plupart des prompts de la bibliothèque sont écrits avec des variables précisément pour cela : le texte fixe est réutilisable, les informations réelles sont à vous.

Alan