Les quatre cas sensibles

Ces quatre situations reviennent tout le temps, et elles concentrent l’essentiel des dégâts. Elles méritent chacune une règle explicite.

Le recrutement

Un CV est un concentré de données personnelles : parcours, adresse, âge déduisible, parfois nationalité, photo, situation familiale.

Ce qui est possible sans difficulté : travailler sur l’offre d’emploi elle-même, préparer une grille d’entretien, rédiger une réponse type, structurer un compte rendu que tu as écrit toi-même en anonymisant les candidats.

Ce qui demande une décision de ton organisation : traiter les candidatures elles-mêmes, même anonymisées, parce que le volume et la finalité changent la nature du traitement.

Et deux réflexes qui valent toujours. Un refus de candidature ne se motive jamais sur la seule base d’un résultat produit par un outil. Et si tu utilises l’IA pour préparer une évaluation, tu dois pouvoir expliquer ta décision sans citer l’outil, parce que c’est toi qui décides.

La santé

Toute information sur l’état de santé relève des catégories protégées. La règle est simple : ça ne se colle pas.

Cela vaut au-delà des soignants. Un arrêt de travail dans un service RH, un aménagement de poste, un courrier de la médecine du travail, une demande de congé pour raison médicale : ce sont des données de santé, dans des documents ordinaires.

Ce qui reste possible : travailler sur des textes génériques sans aucun élément de dossier. Un modèle de courrier, une explication de vocabulaire, la reformulation d’un texte que tu as écrit sans référence à un cas.

Pour les professions de santé, le secret médical s’ajoute et ne connaît pas d’exception. Un contrat signé par l’employeur ne le lève pas.

Les données clients

C’est le cas le plus fréquent, et le plus mal perçu, parce qu’il ne « ressemble » pas à un sujet sensible.

Le fichier clients, les courriers de réclamation, l’historique des échanges, les tableaux de suivi. Ces informations appartiennent à tes clients et souvent, contractuellement, à ton organisation.

Ce qui est possible après préparation : à peu près tout, en travaillant sur des extraits anonymisés. Répondre à une réclamation, analyser des tendances, structurer un compte rendu.

Deux points de vigilance. Vérifie si tes contrats clients comportent une clause de confidentialité, parce qu’elle s’applique aussi aux outils. Et souviens-toi qu’un fichier entier n’est pas un cas isolé : le volume change la nature du risque.

Les mineurs

Les données concernant des mineurs bénéficient d’une protection renforcée, et la vigilance doit être maximale.

Cela concerne l’école bien sûr, mais aussi les clubs sportifs, les associations, les centres de loisirs, et toute entreprise qui a des clients mineurs.

Aucun élément identifiant un mineur ne se colle sans cadre explicite validé par l’organisation. Cela inclut les photos, les appréciations, les situations familiales, les difficultés scolaires ou comportementales.

Ce qui reste possible : préparer un support pédagogique générique, structurer un texte que tu as écrit, travailler sur des situations fictives.

Le tableau de décision

Situation	Sans préparation	Après anonymisation	Décision de l’organisation
Offre d’emploi, grille d’entretien	✅
CV, candidature	❌	⚠️	✅ requise
Tri automatisé de candidatures	❌	❌	✅ requise (haut risque)
Toute donnée de santé	❌	❌
Courrier de réclamation client	❌	✅
Fichier clients complet	❌	⚠️	✅ requise
Élément identifiant un mineur	❌	❌	✅ requise
Texte générique sans personne	✅

Le point commun des quatre

Dans chacun de ces cas, la personne concernée n’a pas choisi. Un candidat, un patient, un client, un enfant : aucun n’a donné son accord pour que ses informations passent par un service tiers.

C’est ce déséquilibre qui justifie la prudence, plus encore que la règle écrite. Quand tu hésites, c’est la bonne question à te poser : est-ce que cette personne, si elle le savait, trouverait ça normal ?

Quinze minutes de pratique

Identifie lequel de ces quatre cas te concerne le plus dans ton travail réel.

Écris la règle qui s’applique chez toi, en une phrase, et vérifie qu’elle est compatible avec ce que dit ton organisation. Si tu ne sais pas ce qu’elle dit, tu viens de trouver ta question à poser.

Prends ensuite un document de ce type et cherche jusqu’où tu peux aller sans transmettre quoi que ce soit d’identifiant. Souvent, plus loin qu’on ne croit.

Vérifie ta compréhension

Question : on te demande de faire classer par une IA les cent candidatures reçues pour un poste, en anonymisant les CV au préalable. Que fais-tu ?

Réponse : tu ne le fais pas de ta propre initiative, même avec des CV anonymisés. Le tri de candidatures par un système d’IA relève des usages à haut risque au sens du règlement européen, ce qui entraîne des obligations pour l’organisation qui le met en place. C’est une décision qui doit être prise et documentée à ce niveau, pas au tien. Remonte la demande par écrit.

Le module 3 sort de ton poste et regarde l’organisation.

Une formationBaxIA