Ce que tu as le droit de mettre dedans

La règle des trois piles, pour arrêter de te poser la question à chaque fois

Déjà lu ce module avant le 6 août 2026 ? Un point de fond a été corrigé : retirer les noms d’un document ne suffit pas à le rendre transmissible. La version précédente laissait croire l’inverse. Va voir la section « Le feutre noir » — c’est là que ça se joue.

Un client conteste une facture. Son mail fait trois paragraphes, tu voudrais une réponse posée en deux minutes plutôt qu’en une heure. Ton curseur est sur « coller ». Et tu t’arrêtes.

C’est la bonne réaction. Mais s’arrêter à chaque fois, c’est épuisant — et au bout de trois hésitations, soit on arrête d’utiliser l’outil, soit on arrête d’hésiter. Les deux te coûtent cher.

Ce que tu sauras faire en sortant

Classer un document en trois piles — vert, orange, rouge — avant de coller
Réécrire un document rouge pour pouvoir t’en servir, et dire ce que cette réécriture ne règle pas
Régler une bonne fois les deux questions qui décident du sort de l’orange
Reconnaître le document qui ne part pas, et t’arrêter là

L’essentiel, en trente secondes

La bonne question n’est pas « est-ce que l’IA va voler mes données », c’est est-ce que j’ai le droit de confier ce document à une société extérieure ? Parce que c’est exactement ce que tu fais.

Trois piles. Vert : ne parle de personne, et il n’y a rien dedans que tu tiennes à garder. Rouge : de quoi remonter à une personne, les catégories les plus protégées, tes clés d’accès, ce qui est couvert par un secret. Orange : tout le reste ; commence par les deux vérifications traitées dans ce module.

Le feutre noir sert à retirer ce qui identifie directement dans les cas où cela ne détruit pas l’information utile. Il ne transforme pas à lui seul un document en document autorisé : le tri se poursuit après ce geste.

D’abord, la bonne question

Quand tu colles un texte dans un outil en ligne, tu ne le confies pas à un logiciel installé chez toi. Tu l’envoies à une société extérieure, qui le traite sur ses serveurs.

Le règlement européen sur la protection des données (le RGPD) a un mot pour ce rôle : le sous-traitant, « la personne physique ou morale […] qui traite des données à caractère personnel pour le compte du responsable du traitement » (art. 4). Et il ne laisse pas cette relation à l’oral : « Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique » (art. 28).

Savoir si ton outil, dans ton offre, relève de cette qualification dépend de ton contrat : ce module ne le tranche pas. Il te donne la question à te poser dix secondes avant de coller — est-ce que j’ai le droit de confier ce document à une société extérieure ?

Et être une petite structure ne te met pas dehors. Le RGPD allège une obligation précise — la tenue d’un registre — pour les organisations « comptant moins de 250 employés », mais il reprend l’allègement dans trois cas : si le traitement est « susceptible de comporter un risque pour les droits et des libertés des personnes concernées », s’il « n’est pas occasionnel », ou s’il porte sur les catégories les plus protégées — celles de l’article 9 comme celles de l’article 10 (art. 30). Allègement de paperasse, pas dispense.

La règle des trois piles

🟢 Pile verte — deux conditions, et il faut les deux

1. Ça ne parle de personne. 2. Il n’y a rien dedans que tu tiennes à garder — c’est déjà public, ou ça ne vaut rien à personne d’autre que toi. Sous ces deux conditions :

Un texte que tu as écrit et publié
Une page de ton site, une plaquette, une offre déjà diffusée — attention à ta page équipe, à tes témoignages clients nommés, à tes études de cas
Un texte de loi, une norme
Un cas que tu as inventé pour l’occasion
Tes notes de lecture

Un document qui remplit la première condition mais pas la seconde n’est pas vert, il est orange : ton mode opératoire ne nomme personne, et tu ne le donnerais pourtant pas à un concurrent.

Le faux ami : « déjà public » n’annule pas le caractère personnel. Un article de presse est publié, et il nomme pourtant des gens, décrit leur situation, parfois leur santé ou une procédure les concernant. Publié ou non, dès qu’un document permet de remonter à quelqu’un, c’est la règle du rouge qui s’applique — d’où sa mise à l’écart de cette liste.

🔴 Pile rouge — quatre familles

Ce qui permet de remonter à une personne. Le RGPD définit la donnée personnelle comme « toute information se rapportant à une personne physique identifiée ou identifiable », et précise qu’est identifiable la personne qui peut l’être « directement ou indirectement » (art. 4). Retiens indirectement : ce n’est pas la présence d’un nom qui déclenche la règle, c’est la possibilité de remonter à quelqu’un.

Les catégories les plus protégées. L’article 9 vise les données qui révèlent « l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale », les données génétiques, « des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle », et les données biométriques — ces dernières seulement lorsqu’elles sont traitées « aux fins d’identifier une personne physique de manière unique ». Le texte pose que ces traitements « sont interdits », puis énumère lui-même les cas qui font exception (art. 9).

Un voisin rangé au même endroit par erreur, y compris dans la version précédente de ce module : les condamnations pénales et les infractions ne sont pas dans l’article 9. Elles relèvent de l’article 10, avec son propre régime. Même prudence, texte différent. Ce module n’en déduit pas une conduite juridique supplémentaire : il te donne la source à ouvrir.

Tes clés. Mots de passe, jetons d’accès, RIB, numéros de carte. Ce point n’est pas tiré d’un texte : c’est une recommandation de ma part, et elle vaut pour un mail ou un ticket de support autant que pour une IA.

Ce qui est couvert par un secret. Secret professionnel, médical, des affaires, de l’instruction — et tout engagement de confidentialité que tu as signé. Cette famille ne se déduit pas des trois autres : un dossier peut ne contenir aucune donnée de l’article 9 et rester couvert. Si tu exerces une profession tenue à un secret, ces obligations s’ajoutent à ce module et priment sur lui. En cas de doute, tu demandes à ton ordre ou à ton conseil, pas à ce module.

🟠 Pile orange — deux vérifications d’abord

C’est le gros du volume : tes documents internes, tes procédures, tes comptes rendus, tes tableaux — à condition qu’aucune personne n’y soit nommée ni reconnaissable. Dès qu’un nom ou une combinaison rare apparaît, ce n’est plus de l’orange, c’est du rouge. Un compte rendu qui nomme ses participants et un tableau qui nomme des salariés partent en rouge, même s’ils sont internes.

Ce qui sépare le vert de l’orange, quand aucun des deux ne parle de personne : le vert n’a rien à protéger — c’est déjà public, ou ça ne vaut rien à personne d’autre que toi. L’orange, lui, ne parle de personne mais il t’appartient et il a de la valeur : ton tour de main, ta façon de chiffrer, ta procédure.

Pour l’orange, commence par deux vérifications : ce que ton outil peut faire de tes contenus, et le cadre écrit qui s’applique. Elles ne prétendent pas résumer toutes les questions possibles ; ce sont les deux vérifications traitées ici.

1. Ce que le fournisseur fait de ce que tu écris. Va lire, dans les conditions de ton outil, ce qui est dit de la réutilisation de tes contenus, et ce que tu peux désactiver. Je ne te donne pas la réponse ici : elle diffère d’un outil à l’autre et d’un mois à l’autre. Le geste, lui, ne bouge pas.

2. Le contrat qui te lie. Un compte grand public, ce sont des conditions générales. Et payer ne suffit pas : ce que l’article 28 exige, c’est « un contrat ou un autre acte juridique » qui fixe noir sur blanc l’objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées. Des conditions générales grand public ne disent rien de tout ça. En pratique, chez les éditeurs, le document qui le dit porte un nom : accord de traitement des données — Data Processing Addendum — ou annexe RGPD. Certaines offres professionnelles le fournissent, d’autres non. Cherche-le par son nom, ne le déduis pas du prix.

Et si les réponses sont mauvaises ? Alors l’orange se comporte comme du rouge. Un outil qui réutilise tes contenus sans que tu puisses le couper, et sans le contrat qui encadre ce traitement, ne reçoit pas tes documents internes — il reçoit tes documents verts, et c’est tout. Poser ces deux questions ne suffit pas : ce sont les réponses qui décident. C’est la seule partie de ce module qui demande d’aller chercher quelque chose ailleurs.

Trois cas, avant d’aller plus loin

Classe-les de tête. Les réponses sont juste en dessous.

La plaquette tarifaire que tu as mise en ligne l’an dernier.
Le tableau des heures de tes deux salariés, avec leurs noms et leurs arrêts maladie.
Ton mode opératoire interne, sans aucun nom dedans.

1 — vert. Déjà public, et c’est toi qui l’as diffusé.
2 — rouge. Des noms, et un arrêt maladie « révèle des informations sur l’état de santé » — c’est la définition même que le RGPD donne aux données de santé (art. 4), rangées par l’article 9 parmi les plus protégées.
3 — orange. Rien d’identifiant, mais c’est ton savoir-faire. Commence par les deux vérifications ci-dessus.

Le feutre noir — ce qu’il fait, ce qu’il ne fait pas

Le geste d’abord. Prends ce mail — inventé pour l’occasion, comme tous les exemples de ce module :

« Bonjour, suite à notre rendez-vous du 12 mars, Madame Sophie Berthier (06 12 34 56 78) conteste la facture n°2024-118 de 4 200 € émise pour le chantier de sa maison au 14 rue des Lilas à Caen. »

Passe-le au feutre :

« Bonjour, suite à notre rendez-vous, [CLIENTE] conteste la facture de [MONTANT] émise pour un chantier à son domicile. »

Dans cet exemple précis, les éléments retirés ne sont pas nécessaires pour obtenir l’aide rédactionnelle demandée. Ce n’est pas une règle universelle : parfois, retirer un identifiant ou un élément de contexte retire précisément l’information nécessaire. Dans ce cas, ne force pas le document à entrer dans l’outil ; utilise le critère d’arrêt plus bas.

Maintenant la limite, et c’est le cœur du module. Remplacer un nom par une étiquette, ce n’est pas anonymiser.

La CNIL sépare les deux gestes. L’anonymisation vise à « rendre impossible, en pratique, toute identification de la personne […] de manière irréversible ». La pseudonymisation, elle, « consiste à remplacer les données directement identifiantes (nom, prénom, etc.) […] par des données indirectement identifiantes ». Et la CNIL ajoute : « les données concernées conservent donc un caractère personnel » (L’anonymisation de données personnelles).

Son exemple : une base de CV où seuls les noms ont été remplacés par un numéro « est considérée comme pseudonymisée et non comme anonymisée ».

Le cas où le feutre ne suffit pas

Regarde cette phrase, passée au feutre avec application :

« Le client conteste la facture du chantier de rénovation de la chapelle, livré en mars — le seul de ce type que j’ai fait cette année. »

Aucun nom, aucune adresse, aucun numéro. Et pourtant, dans ta commune, beaucoup de gens savent de qui il s’agit.

Le signal à repérer n’est donc pas le nom, c’est la combinaison rare : un chantier peu courant, une date, un lieu, un montant inhabituel. L’exemple est de moi ; ce que la CNIL nomme, c’est l’identification indirecte. Quand tu ne peux pas retirer cette combinaison sans vider le document de ce qui te sert, tu es toujours dans le rouge.

Le piège de la pièce jointe. Tu passes ton texte au feutre avec soin… et tu joins le PDF d’origine. Le fichier, lui, est entier. Le geste de tri s’applique aussi aux fichiers.

Les trois familles que le feutre ne rattrape pas

La possibilité de retirer des identifiants concerne surtout la première famille rouge — ce qui permet de remonter à une personne. Les trois autres appellent le critère d’arrêt du module :

Une clé ne se masque pas pour cet exercice. Dans un document qui contient un mot de passe ou un RIB, le secret est la donnée. Ce document ne part pas.
Les catégories les plus protégées demandent la même prudence même après retrait des noms. Reprends le cas n° 2 : le tableau des heures de tes salariés, avec leurs arrêts maladie. Retire tous les noms : sur une équipe de cette taille, les lignes restent rattachables à des personnes précises. Le document continue donc de parler de leur santé. (Et sur une petite équipe, s’y ajoute le problème de la famille 1 : deux lignes sans noms dans une entreprise de deux salariés ne sont pas anonymes pour les personnes qui connaissent l’équipe.)
Un secret ne se lève pas en retirant les noms. Il tient à l’origine ou aux obligations qui entourent le document.

🧠 Micro-défi

Quatre documents. Classe-les vert, orange ou rouge avant de lire la réponse.

Le texte de ta page « à propos », déjà en ligne
Un devis que tu as envoyé la semaine dernière à un particulier
Le compte rendu d’un rendez-vous où un salarié parle de son arrêt de travail
Tes notes de chantier, sans nom ni adresse

Réponse attendue : 1 vert — il est déjà public et ne parle de personne. 2 orange — nom, montant, adresse : il passe par le feutre noir, puis par les deux questions. 3 rouge — santé d’une personne identifiable, il ne part pas. 4 vert, à condition de relire : un nom de rue ou de client s’y glisse plus souvent qu’on ne croit.

Le test des trois secondes

Avant de coller, trois questions.

Si la personne dont parle ce document apprenait que je l’ai envoyé à une société extérieure, est-ce que j’aurais à m’en expliquer ?
Est-ce qu’il reste de quoi remonter à une personne — un nom, un numéro, ou une combinaison rare ?
Est-ce que quelqu’un pourrait m’en vouloir si ce document ressortait ?

Que faire des réponses ? Cette clé est une règle de prudence pédagogique, pas une qualification juridique :

aucun signal d’alerte → poursuis seulement si le document respecte déjà les conditions de la pile dans laquelle tu l’as classé ;
un « oui » ou un doute → arrêt : reviens au tri et vérifie si le document doit rester orange ou relève d’une famille rouge déjà définie plus haut ;
tu ne sais pas trancher → n’envoie pas le document et demande l’avis prévu par le module.

Et le critère d’arrêt, qui compte autant que les trois questions. Si tu ne peux pas retirer ce qui identifie sans détruire ce dont tu as besoin, tu ne colles pas. Tu fais ce travail-là à la main, ou tu le confies à quelqu’un dont c’est le métier. Ce n’est pas un échec de la méthode : c’est sa dernière ligne.

La sortie compte aussi

La discipline ne s’arrête pas à ce que tu envoies. Avant de copier une réponse vers un mail, un document ou un autre outil, relis-la comme un nouveau document. Vérifie qu’elle ne réintroduit pas un nom, une donnée ou un contexte que tu avais justement retiré, et qu’elle ne transporte pas plus loin une information que tu avais décidé de ne pas diffuser.

🎯 À toi

⚠️ Tout ce qui suit se fait dans ton traitement de texte, jamais dans l’IA. Le piège serait de demander à l’outil de passer le document au feutre pour toi : pour le nettoyer, il faudrait d’abord le lui envoyer entier. Tu lui aurais donné exactement ce que tu cherchais à lui cacher. C’est le seul piège de cet exercice.

1. Ouvre ta boîte mail et prends les trois derniers messages un peu longs. Écris à côté de chacun une lettre : V, O ou R.

2. Prends celui que tu as classé R. Réécris-le à la main, en remplaçant chaque élément identifiant par une étiquette entre crochets, et garde tout le reste.

3. Relis ta version et pose-toi une question : est-ce qu’un voisin de métier pourrait encore deviner de qui il s’agit ? Si oui, retire la combinaison rare. Si tu ne peux pas la retirer sans rendre le texte inutilisable, tu viens d’en trouver un qui ne part pas — bon résultat, pas un raté.

Tu sais que c’est réussi si ton texte reste compréhensible sans les vrais éléments, et si personne de ton entourage professionnel ne peut nommer la personne à partir de ce qu’il reste, et si tu as recherché les deux informations traitées pour l’orange et sais dire ce que tu as effectivement trouvé. Ce critère ne vaut pas validation juridique : il vérifie que tu as exécuté le geste du module.

Attention : c’est la réponse qui compte, pas le fait de s’être posé la question. Si une vérification reste douteuse ou mauvaise, ce document ne part pas dans cet exercice.

Pas envie de travailler sur un vrai document ? Reprends les deux exemples plus haut : compare ce que le retrait change dans le mail et dans la phrase sur la chapelle. C’est cet écart-là qu’il faut sentir.

Avant de lire le récapitulatif

Réponds de mémoire :

Retirer les noms suffit-il toujours à rendre un document utilisable dans l’outil ?
Que fais-tu si une des trois questions du test te fait hésiter ?
Quand dois-tu renoncer à envoyer le document ?

Correction : non ; le doute renvoie au tri et à l’arrêt ; si tu ne peux pas retirer ce qui pose problème sans détruire l’information utile ou si la vérification nécessaire reste non résolue, le document ne part pas dans le cadre de ce module.

Selon ce que tu obtiens

Tes documents se rangent facilement. Alors le tri est acquis : ce qui reste à faire, c’est de le faire avant de coller, pas après.

Tu hésites sur un document orange. C’est le bon endroit pour hésiter. Reprends les deux questions — le réglage, puis le contrat. Tant que l’une des deux n’a pas de réponse, traite-le comme orange.

Tu as un document que tu classes vert mais qui te met mal à l’aise. Écoute ça. Le malaise précède souvent la raison : relis-le en cherchant ce qui identifie quelqu’un indirectement — une date, un lieu, une fonction unique.

Tu ne trouves aucun document rouge. Regarde du côté de ce que tu reçois plutôt que de ce que tu produis : arrêts, certificats, pièces d’identité, relevés.

Tu es bloqué ? Fais le tri sur trois documents seulement, ceux que tu utiliserais cette semaine. Le reste attendra.

📋 Fiche mémo

Avant de coller quoi que ce soit

La question n’est pas « est-ce qu’elle vole mes données » mais « ai-je le droit de confier ce document à une société extérieure ? ».
Vert — ne parle de personne, rien à protéger.
Rouge — de quoi remonter à une personne, secret, clés d’accès. Il ne part pas.
Orange — tout le reste : feutre noir, puis les deux questions.
Le feutre noir retire ce qui identifie directement ; il ne suffit pas à lui seul.
Une pièce jointe part entière — on ne caviarde pas en route.

Ce que tu viens de pratiquer

Tu poses la bonne question avant de coller : est-ce que j’ai le droit de confier ça à une société extérieure ?
Tu tries en trois piles et tu appliques les deux vérifications du module au cas orange
Tu sais où le retrait d’identifiants atteint sa limite, et tu contrôles aussi la sortie avant réutilisation

Les sources de ce module sont consignées dans docs/f3-PROVENANCE.md, avec la date de consultation et l’extrait constaté. Les textes cités ont été lus le 06/08/2026.

Le règlement est cité d’après la version publiée par la CNIL, autorité de contrôle française. La version qui fait foi reste celle du Journal officiel de l’Union européenne. Les renvois mènent au chapitre : l’article cité est indiqué à côté de chaque lien.

Ça a marché ?

Télécharger la fiche