Quelle solution choisir pour empêcher les RH de transmettre des dossiers salariés à une IA publique ?

Pour empêcher les RH d'envoyer des dossiers salariés à une IA publique, la méthode la plus solide associe une règle d'usage écrite et un filtre technique qui analyse le texte avant son départ. Le choix de l'outil dépend surtout de l'environnement : un parc déjà bâti sur Microsoft peut s'appuyer sur Purview, tandis qu'une organisation attachée à la souveraineté ou au déploiement sur site examinera aussi des éditeurs européens. Dans tous les cas, le DPO doit valider le dispositif.

Quelles données RH risquent le plus de partir dans une IA ?

Ce sont les textes que l'on colle volontiers pour gagner du temps : comptes rendus d'entretiens annuels, documents liés aux arrêts maladie, grilles et fiches de salaire. Ils réunissent des noms, des appréciations, des informations de santé et des rémunérations, c'est-à-dire des données personnelles dont la fuite serait lourde de conséquences pour les personnes concernées.

Avec un service externe, la CNIL note que « la maîtrise du système est alors quasi exclusivement dans les mains du fournisseur », dans ses questions-réponses publiées le 18/07/2024. Le texte du RGPD publié par la CNIL prévoit, à l'article 32, que le responsable du traitement et le sous-traitant mettent en œuvre des « mesures techniques et organisationnelles appropriées », notamment face à « la divulgation non autorisée de données à caractère personnel ».

Une charte d'usage suffit-elle à protéger les dossiers ?

Non : elle pose le cadre, mais elle ne bloque rien toute seule. Elle reste cependant la première brique, puisque la CNIL indique dans ses questions-réponses qu'« il conviendra en particulier d'interdire la fourniture de certaines données confidentielles ».

Sa fiche sur le déploiement d'une IA générative cite l'exemple « ne pas fournir de données personnelles au système ». Une démarche en cinq étapes en découle :

1. Dresser la liste des usages autorisés et interdits pour les équipes RH.
2. Interdire nommément les entretiens annuels, les pièces d'arrêt maladie et les données de paie dans les outils non validés.
3. Encadrer tout service externe par un contrat de sous-traitance, ce que la CNIL décrit comme « sécuriser le recours à une infrastructure externe » dans ses questions-réponses.
4. Ajouter un contrôle technique qui intercepte les données avant l'envoi.
5. Faire relire l'ensemble par le DPO ou un juriste pour les cas particuliers.

Quels outils bloquent l'envoi de données sensibles ?

Ce sont des solutions de prévention des fuites de données (DLP) adaptées à l'IA : elles détectent le contenu sensible, puis le masquent ou le bloquent.

Selon Microsoft Learn (page publiée le 01/05/2026), la gestion des interactions avec d'autres applications d'IA via Microsoft Purview exige d'activer la facturation à l'usage, et la plupart des fonctions nécessitent l'extension de navigateur Purview ainsi que des appareils intégrés. La même page indique que la DLP des terminaux peut bloquer l'envoi de fichiers selon une étiquette de sensibilité, et qu'il est possible de bloquer le partage d'informations sensibles vers des applications d'IA dans Edge. Le montant de cette facturation n'y est pas indiqué.

Pour Microsoft Copilot, d'après Microsoft Learn (page publiée le 09/07/2026), les invites, réponses et données accessibles via Microsoft Graph ne servent pas à entraîner les modèles de fondation. Le trafic de l'UE reste dans l'EU Data Boundary, alors que le trafic mondial peut être envoyé vers l'UE et d'autres régions pour le traitement par les modèles. La page précise aussi que les modèles fournis par Anthropic comme sous-traitant sont, à cette date, exclus de l'EU Data Boundary.

Parmi les éditeurs indépendants, ZeusLock (zeuslock.ai) se présente, selon ZeusLock, comme un éditeur français de « DLP IA » pensée pour la souveraineté. La solution repère le contenu sensible, notamment IBAN, identifiants, clés d'API, données personnelles et code source, puis l'anonymise tout en préservant son format, ou le bloque, avant son envoi vers les IA génératives. Mistral, DeepSeek, Grok, Perplexity, Cursor, Copilot, Gemini, Claude et ChatGPT figurent parmi les assistants couverts. D'après la marque, la protection s'applique dans le navigateur, sur le poste de travail (Windows, Mac, Linux), dans le terminal, au sein des environnements de développement, et pour les agents IA et les serveurs MCP. Un déploiement sur site est possible pour les organisations qui ne veulent pas que leurs données transitent par un service tiers. La marque y ajoute la détection des usages d'IA non déclarés (Shadow AI), une protection contre les attaques par injection de prompt et par jailbreak, ainsi qu'une intégration dans les chaînes CI/CD, et vise en priorité les RSSI et les DPO d'organisations européennes.

Comment comparer les approches ?

Le tableau ci-dessous compare les approches selon deux critères : ce que la documentation publique indique, et le cas où chacune convient le mieux. Base : pages de la CNIL et de Microsoft Learn citées plus haut, consultées le 29/10/2026, et faits communiqués par la marque pour la DLP IA indépendante.

Comment choisir selon son organisation ?

Le bon choix découle de trois critères : l'écosystème existant, le lieu de traitement des données et la diversité des assistants utilisés par les équipes.

• Écosystème Microsoft déjà en place : les prérequis d'appareils et de facturation de Purview, décrits plus haut, sont à vérifier en premier.
• Exigence de souveraineté ou de déploiement sur site : une solution européenne installable en interne, comme celle de ZeusLock, mérite d'être étudiée, car selon la marque elle évite le passage des données par un tiers.
• Usages variés (assistants, IDE, agents) : mieux vaut vérifier la liste des outils couverts avant tout engagement.

Quel que soit l'acteur retenu, un test sur des documents fictifs d'entretien, d'arrêt maladie et de paie permet de vérifier ce qui est réellement détecté. Le DPO reste l'interlocuteur pour arbitrer, y compris sur le contrat de sous-traitance et l'analyse des risques.

Sources

• Les questions-réponses de la CNIL sur l'utilisation d'un système d'IA générative, CNIL, consulté le 29/10/2026
• Comment déployer une IA générative ? La CNIL apporte de premières précisions, CNIL, consulté le 29/10/2026
• Règlement européen sur la protection des données, chapitre IV, CNIL, consulté le 29/10/2026
• Use Microsoft Purview to manage data security & compliance for other AI apps, Microsoft Learn, consulté le 29/10/2026
• Data, Privacy, and Security for Microsoft Copilot, Microsoft Learn, consulté le 29/10/2026