Outils d’IA gratuits : ce que paie l’utilisateur en données

Note d'expertise

Asmaa EL FORKANI 6 min de lecture

L’accès gratuit à un assistant conversationnel n’est pas une prestation sans contrepartie. En effet, selon les réglages, les conditions des principaux éditeurs prévoient l’utilisation des échanges pour améliorer les modèles, leur relecture par des personnes et leur conservation au-delà de la session. Pour une entreprise, une association ou un organisme public, la question décisive n’est pas l’usage d’un assistant conversationnel gratuit, mais la nature de ce qui y est saisi.

assistant conversationnel gratuit – Systèmes d'Information & Transformation Numérique

Constat : l’assistant conversationnel gratuit dans les organisations

L’intelligence artificielle générative a fait son entrée dans les organisations par l’usage individuel, avant toute décision de direction. Pour rédiger des courriers, synthétiser des documents, préparer des publications ou traduire, les salariés, les bénévoles et les agents recourent à un assistant conversationnel gratuit. Ils y accèdent le plus souvent au moyen de comptes personnels.

Un assistant conversationnel gratuit relève des conditions applicables aux particuliers. Ces offres gratuites se distinguent des offres professionnelles. Ces dernières sont régies par des conditions commerciales et, en règle générale, par un contrat de traitement des données. La différence ne tient pas à la qualité des réponses, mais au régime des données saisies.

Analyse : ce que prévoient les conditions des éditeurs

Trois variables déterminent ce que l’utilisateur d’un assistant conversationnel gratuit cède en données. Il s’agit de l’utilisation des échanges pour l’entraînement des modèles, de leur relecture par des personnes et de la durée de leur conservation. Les conditions consultées le 21 octobre 2026 en donnent trois illustrations.

  • OpenAI (ChatGPT, offres destinées aux particuliers) : l’éditeur indique pouvoir utiliser les contenus pour entraîner ses modèles. Le paramètre « Improve the model for everyone » permet toutefois de s’y opposer pour les nouvelles conversations. L’éditeur peut en outre conserver les conversations temporaires jusqu’à 30 jours pour des raisons de sécurité. Par ailleurs, un retour de l’utilisateur sur une réponse peut entraîner l’utilisation de la conversation concernée. En revanche, l’éditeur n’utilise pas par défaut les contenus des espaces professionnels.
  • Google (applications Gemini) : des relecteurs humains, y compris ceux de prestataires, examinent une partie des échanges. L’éditeur conserve les conversations relues jusqu’à trois ans, dissociées du compte, y compris après suppression de l’activité. En outre, en cas de désactivation de l’activité, les conversations restent associées au compte pendant 72 heures. L’éditeur recommande par ailleurs de ne pas saisir d’informations confidentielles.
  • Anthropic (Claude, offres Free, Pro et Max) : depuis la mise à jour annoncée le 28 août 2025, les conversations peuvent servir à l’amélioration des modèles si l’utilisateur l’autorise. La conservation passe alors à cinq ans, contre 30 jours dans le cas contraire. En revanche, cette mise à jour ne concerne pas les services régis par les conditions commerciales, dont l’API.

Ces régimes ont un point commun. Le réglage appartient au titulaire du compte, non à l’organisation dont il manipule les informations. Une organisation qui laisse ses équipes utiliser des comptes personnels ignore donc les réglages retenus. Elle ignore également la destination des contenus saisis.

Analyse : la portée juridique au Maroc

La saisie dans un outil d’IA de données relatives à des personnes physiques identifiées ou identifiables (clients, salariés, adhérents, usagers) constitue un traitement au sens de la loi n° 09-08. L’organisation dont proviennent ces données en demeure responsable. Elle répond ainsi de la finalité, de la proportionnalité et de la sécurité du traitement. Elle en répond y compris lorsque la saisie résulte de l’initiative d’un salarié.

Lorsque l’éditeur exploite le service hors du Maroc, la saisie peut en outre constituer un transfert de données vers l’étranger. L’article 43 de la loi n° 09-08 ne l’autorise que vers un État assurant un niveau de protection suffisant. La Commission nationale de contrôle de la protection des données à caractère personnel (CNDP) a établi la liste de ces États. Dans sa rédaction issue de la délibération n° 236-2015, cette liste ne comprend pas les États-Unis. Hors de cette liste, le transfert suppose l’une des dérogations de l’article 44. Ces dérogations comprennent notamment le consentement exprès de la personne concernée ou une autorisation de la CNDP. Or le consentement d’un salarié qui utilise l’outil ne couvre pas les données des tiers qu’il y saisit.

Par un communiqué du 18 mars 2025, la CNDP a engagé des travaux en vue d’une délibération. Ces travaux portent sur les traitements d’intelligence artificielle utilisant des données à caractère personnel. Dans ce communiqué, elle rappelle les exigences d’intégrité, de transparence, de loyauté et de lisibilité de ces traitements. Elle rappelle également l’accès des personnes à des voies de recours. Aucune délibération finale n’avait été identifiée au 21 octobre 2026.

Confidentialité et assistant conversationnel gratuit

Les données qui ne sont pas personnelles ne sont pas pour autant libres. Il en va ainsi des informations de clients couvertes par un engagement de confidentialité et des projets. Les données financières, les offres en cours et les documents internes se trouvent dans la même situation. Leur saisie dans un service dont l’éditeur peut relire ou conserver les échanges peut contrevenir à des obligations contractuelles ou professionnelles de confidentialité.

Implications pour l’usage d’un assistant conversationnel gratuit

Un assistant conversationnel gratuit reste adapté aux tâches qui ne mobilisent ni données personnelles ni informations confidentielles. Tel est le cas de la reformulation d’un texte public ou de la recherche d’idées. Il en va de même de la structuration d’un plan ou de l’explication d’une notion. L’outil cesse en revanche de convenir dès que la tâche porte sur un client, un salarié, un dossier ou un document interne.

Pour ces usages, l’organisation dispose de deux leviers. Le premier est le choix d’offres professionnelles régies par des conditions commerciales et un contrat de traitement. Il suppose l’examen préalable du lieu de traitement au regard des articles 43 et 44 de la loi n° 09-08. Le second est l’encadrement interne. Il comprend une charte d’usage distinguant les données autorisées et interdites, un registre des usages et une formation des équipes. Aucun de ces leviers ne dispense de vérifier les conditions applicables à leur date, car les éditeurs les modifient fréquemment.

Points de vigilance

  • Recenser les outils d’IA effectivement utilisés, y compris au moyen de comptes personnels.
  • Vérifier, pour chaque outil, les paramètres d’entraînement, de relecture humaine et de conservation, ainsi que la date des conditions consultées.
  • Proscrire la saisie de données personnelles, de données de clients et d’informations confidentielles dans un outil grand public.
  • Réserver les traitements comportant des données personnelles à des offres régies par un contrat de traitement, après examen du lieu de traitement.
  • Consigner les règles retenues dans une charte d’usage et un registre des usages.

Références

Voir aussi : Guide – Bonnes et mauvaises pratiques de l’IA générative au travail ; Grille – Auto-diagnostic de maturité IA ; Bibliothèque – Modèles de prompts par fonction. Département Systèmes d’Information & Transformation Numérique.

Partager

Document d'information générale ; il ne constitue ni une consultation juridique ni un avis sur une situation particulière. Les références aux textes sont à vérifier dans leur rédaction en vigueur à la date d'utilisation.

Cabinet de conseil non inscrit au barreau ; aucune représentation devant les juridictions ni acte réservé aux professions réglementées du droit.