Oui, dans certaines conditions. Un contenu public, un export Search Console et une base CRM ne demandent pas les mêmes précautions. Avant tout envoi, il faut vérifier la présence de données personnelles, les engagements de confidentialité, les garanties de l’outil et les informations réellement nécessaires à l’analyse.
Il y a quelques jours, mon ami Stéphane Klein, développeur, a publié une note qui m’a particulièrement interpellée : « Qu’est-ce que je dois faire signer à mes clients pour être autorisé à analyser leurs données confidentielles avec un LLM ? » (à lire ici : notes.sklein.xyz/2026-09-10_1758/zen/ )
Son point de départ : une entreprise industrielle souhaite analyser des informations confidentielles de ses clients avec une IA. Il compare plusieurs configurations, du service distant au serveur installé dans les locaux de l’entreprise.
Dans son scénario, les contrats clients interdisent la divulgation d’informations confidentielles à un tiers sans accord écrit. Améliorer la maîtrise technique des données ne fait donc pas automatiquement disparaître les questions contractuelles.
Cette réflexion m’a immédiatement fait penser à mon propre métier. Car en SEO aussi, nous confions désormais énormément de données aux intelligences artificielles.
Un export Search Console pour trouver des opportunités. Un audit à résumer. Un calendrier éditorial à retravailler. Des informations commerciales pour affiner un persona.
Tout cela se transmet en quelques secondes à ChatGPT, Claude, Gemini ou un autre outil.
Mais être capable d’envoyer un fichier ne signifie pas que nous sommes autorisés à le faire. Et vérifier la présence de données personnelles ne suffit pas à répondre à toutes les questions.
Données personnelles, confidentielles ou sensibles : de quoi parle-t-on ?
Première difficulté : nous n’employons pas toujours les mêmes mots dans leur sens courant et dans leur sens juridique.
Pour une entreprise, une donnée « sensible » peut être son prochain plan marketing, ses marges, une liste de clients, une stratégie de lancement ou les mots-clés sur lesquels elle souhaite devancer ses concurrents.
Dans le RGPD, l’expression « données sensibles » a un sens beaucoup plus précis. Il s’agit d’une catégorie particulière de données personnelles : données relatives à la santé, aux opinions politiques, aux convictions religieuses, à l’origine ethnique, à l’appartenance syndicale, données biométriques utilisées pour identifier une personne, etc.
Et une donnée personnelle est elle-même définie très largement : il s’agit de toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement. Un nom n’est donc pas nécessaire pour qu’une information soit une donnée personnelle.
Cela donne des situations assez contre-intuitives.
| Information envoyée à une IA | Nature possible de l’information | Enjeu principal |
|---|---|---|
| Nom et email d’un prospect | Données personnelles | RGPD |
| Export CRM avec historique des contacts | Données personnelles + données commerciales | RGPD + confidentialité |
| Stratégie SEO d’un client | Information professionnelle confidentielle | Contrat / confidentialité |
| Mots-clés prioritaires pour un lancement | Information stratégique | Confidentialité |
| Nouvelle formule ou procédé industriel | Potentiel secret des affaires | Secret des affaires |
| Article déjà publié | Information publique | Risque généralement plus limité |
| Données Search Console agrégées | Données de performance internes | Confidentialité à apprécier |
Pour éviter les confusions, je préfère poser deux questions distinctes :
- Quel est son niveau de confidentialité ? Public, interne ou confidentiel.
- Contient-elle des données personnelles ? Et, si oui, lesquelles ?
Le caractère public d’une information ne dispense pas de vérifier les conditions de son utilisation. La vigilance ne concerne pas uniquement les documents marqués « confidentiel ».
Le RGPD protège les personnes, pas tous les secrets de l’entreprise
Imaginez un document qui présente vos marchés prioritaires, vos marges, votre budget d’acquisition et votre prochain lancement produit.
Il peut ne contenir aucune donnée personnelle tout en étant très précieux pour un concurrent.
Sa protection peut notamment reposer sur :
- une clause de confidentialité dans un contrat ;
- un accord de confidentialité, ou NDA ;
- le régime du secret des affaires, lorsque ses conditions sont réunies.
L’article L151-1 du Code de commerce définit trois critères cumulatifs pour le secret des affaires.
L’information doit :
- ne pas être généralement connue ou aisément accessible aux personnes familières de ce type d’informations dans leur secteur ;
- avoir une valeur commerciale, effective ou potentielle, du fait de son caractère secret ;
- faire l’objet de mesures de protection raisonnables pour conserver ce caractère secret.
Une donnée interne n’est donc pas automatiquement un secret des affaires. Mais elle peut rester protégée par un contrat.
Pour une consultante ou une agence SEO, la question devient très concrète :
Ai-je le droit de transmettre ces informations à ce prestataire, pour cet usage ?
La note de Stéphane explore cette question à partir d’hypothèses contractuelles précises. Les démarches à effectuer dépendent ensuite des contrats réellement signés, des données traitées et des garanties du prestataire.
Les données SEO ne sont pas « seulement des mots-clés »
L’IA peut m’aider à regrouper des requêtes par intention, synthétiser un audit, préparer une architecture éditoriale ou analyser des données de performance.
Mais les fichiers utilisés peuvent aussi révéler :
- les pages qui génèrent réellement du trafic ;
- les faiblesses du site ;
- les sujets sur lesquels l’entreprise veut investir ;
- les produits qu’elle prépare ;
- ses objectifs commerciaux ;
- les résultats de campagnes encore confidentiels.
Ce sont des informations professionnelles de mon client, auxquelles j’ai accès dans le cadre de ma mission. Je dois en respecter les conditions d’utilisation et de confidentialité.
Le sujet concerne aussi les outils alimentés avec nos propres documents. Dans mon retour d’expérience sur NotebookLM, je décris leur intérêt pour comprendre et synthétiser des sources. Cette pratique demande également de vérifier quels documents nous sommes autorisés à importer.
Deux prompts, deux risques différents
Prompt A :
Voici les noms et adresses email des cinq participants à notre réunion. Rédige un email d’invitation.
Il contient des données personnelles. Pour rédiger un modèle d’invitation, ces noms et adresses sont d’ailleurs probablement inutiles : des champs à compléter peuvent suffire.
Prompt B :
Voici notre stratégie de lancement, nos marges, notre budget d’acquisition et les faiblesses identifiées chez nos concurrents. Analyse notre plan.
Ce prompt peut ne contenir aucune donnée personnelle et présenter un enjeu économique considérable.
La catégorie juridique d’une information et les conséquences de sa divulgation sont deux choses à examiner séparément.
Peut-on envoyer un export Search Console à ChatGPT ?
Il n’existe pas de réponse valable pour tous les exports, tous les clients et toutes les offres d’IA.
Un fichier Search Console contient souvent des mesures agrégées de performance. Cela ne le rend ni public ni automatiquement dépourvu de données personnelles. Il faut examiner les requêtes, les URL et les éventuels rapprochements avec d’autres fichiers.
Voici la méthode que je recommande avant de l’envoyer à une IA.
1. Définir précisément l’analyse recherchée
« Analyse mon export » est une demande trop large. »
Une question plus précise permet de mieux sélectionner les données :
Quelles pages ont beaucoup d’impressions, un CTR faible et mériteraient un examen prioritaire de leur title et de leur description ?
Ou :
Comment regrouper ces requêtes par intention pour préparer une architecture éditoriale ?
Ces deux tâches ne nécessitent pas le même fichier.
2. Garder les colonnes utiles
Pour un premier tri de pages à examiner, un tableau peut contenir :
- un identifiant de page ;
- les clics ;
- les impressions ;
- le CTR ;
- la position moyenne ;
- la période analysée.
Si le contenu de l’URL n’est pas nécessaire au tri, un identifiant comme PAGE_001 peut suffire. La correspondance avec l’URL reste dans un fichier maîtrisé.
En revanche, pour regrouper des requêtes par intention, le texte des requêtes est nécessaire. Le remplacer intégralement par des codes rendrait l’analyse sémantique impossible.
Minimiser les données consiste à garder ce qui sert réellement à la tâche.
3. Examiner les informations avant l’envoi
Vérifiez notamment :
- la présence éventuelle de noms ou d’autres éléments identifiants ;
- les paramètres d’URL et identifiants intégrés aux chemins ;
- les informations commerciales que le client souhaite protéger ;
- les données ajoutées par croisement avec un CRM ou un autre outil ;
- les colonnes et annotations inutiles à l’analyse.
Supprimer un nom ne garantit pas une anonymisation. Si une personne reste identifiable, notamment par recoupement, les données restent personnelles.
4. Vérifier l’autorisation et les garanties de l’outil
Même réduit, le fichier peut rester confidentiel.
Il faut donc vérifier que sa transmission est autorisée et que l’offre utilisée présente les garanties adaptées : conditions contractuelles, conservation, réutilisation, accès, sous-traitants et transferts éventuels.
Un abonnement payant ne suffit pas, à lui seul, à répondre à ces questions.
Avant le prompt, vérifier quatre choses
Les personnes : le traitement est-il justifié et encadré ?
Lorsque des données personnelles sont concernées, il faut notamment examiner la finalité, la base légale, les rôles des intervenants et les obligations applicables.
L’accord du client pour utiliser une IA ne rend pas, à lui seul, le traitement conforme au RGPD.
Quand un prestataire agit comme sous-traitant et fait appel à un sous-traitant ultérieur, l’article 28 du RGPD prévoit une autorisation écrite préalable, spécifique ou générale. En cas d’autorisation générale, les changements doivent être annoncés pour permettre au responsable du traitement d’émettre des objections.
Un nouvel avenant signé n’est donc pas systématiquement nécessaire au seul titre du RGPD. Les engagements contractuels de confidentialité doivent être examinés séparément.
Les contrats : que m’a-t-on autorisée à faire ?
Un accès à un dossier client donne les moyens de travailler. Il ne donne pas nécessairement l’autorisation de transmettre ce dossier à n’importe quel outil.
Il faut regarder ce que les contrats prévoient concernant :
- la confidentialité ;
- le recours à d’autres prestataires ;
- l’hébergement et la transmission des informations ;
- les usages autorisés.
Une restriction peut s’appliquer même en l’absence de données personnelles.
Les informations : que faut-il réellement transmettre ?
Souvent, l’IA peut travailler sur :
- un extrait ;
- un tableau réduit ;
- des données agrégées ;
- un exemple fictif ;
- une formulation abstraite du problème.
Pour les données personnelles, cette démarche rejoint le principe de minimisation de l’article 5 du RGPD : les données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire à la finalité du traitement.
Elle s’ajoute aux obligations de sécurité adaptées au risque.
L’outil : que fait-il des données reçues ?
Avant d’utiliser une IA avec des informations non publiques, il faut examiner :
- l’offre exacte et ses conditions contractuelles ;
- l’utilisation éventuelle des données pour l’entraînement ;
- la conservation des conversations, fichiers et journaux techniques ;
- les possibilités et délais de suppression ;
- les personnes et prestataires susceptibles d’y accéder ;
- les lieux de stockage et de traitement ;
- les transferts éventuels hors de l’Union européenne ;
- les outils connectés auxquels certaines informations pourraient être transmises.
Les garanties peuvent varier chez un même fournisseur selon l’offre, les fonctionnalités et les réglages.
C’est aussi une raison de réévaluer régulièrement sa stack SEO : au-delà du coût et des fonctionnalités, le choix d’un outil engage la manière dont nous traitons les données de nos clients.
« Pas d’entraînement » ne veut pas dire « pas de conservation »
Cette distinction mérite qu’on s’y arrête.
Un fournisseur peut s’engager à ne pas utiliser vos données pour entraîner ses modèles tout en conservant certains éléments pour faire fonctionner le service ou surveiller les abus.
La documentation de l’API OpenAI sur le contrôle des données distingue notamment l’utilisation pour l’entraînement, les journaux de surveillance des abus et la conservation propre aux différentes fonctionnalités.
Il faut donc poser plusieurs questions :
- Mes données peuvent-elles servir à l’entraînement ?
- Combien de temps sont-elles conservées ?
- Qui peut y accéder et dans quelles circonstances ?
- Que se passe-t-il lorsque je supprime un fichier ou une conversation ?
- Les mêmes règles s’appliquent-elles aux fonctionnalités que j’utilise ?
L’absence d’entraînement est une garantie utile parmi d’autres.. Elle ne remplace ni l’autorisation de transmettre les données ni l’examen des conditions de leur traitement.
Héberger une IA en France résout-il le problème ?
La localisation compte. Le contrôle de l’infrastructure, la juridiction du fournisseur et les accès possibles comptent aussi.
Mais un serveur situé en France ne fait pas disparaître :
- le RGPD lorsque des données personnelles sont traitées ;
- les clauses de confidentialité ;
- les règles relatives au secret des affaires ;
- les droits de propriété intellectuelle ;
- les obligations de sécurité.
Dans sa FAQ sur l’utilisation des IA génératives, la CNIL indique que, pour des données personnelles ou une documentation sensible et stratégique, il semble généralement plus opportun et sécurisé de privilégier un déploiement sur site.
Elle reconnaît également les contraintes de coût et envisage le recours à une infrastructure distante avec un encadrement contractuel et des garanties adaptés.
Un déploiement local peut limiter l’exposition à un fournisseur externe, à condition que l’ensemble du fonctionnement soit maîtrisé : modèle, stockage, sauvegardes, accès de maintenance et éventuels services connectés.
Souveraineté, confidentialité, sécurité et conformité se recoupent, mais ne se confondent pas.
Une règle de travail : partir du besoin, puis choisir les données et l’outil
L’IA rend l’analyse de documents tellement simple qu’il devient tentant de transmettre le dossier complet « pour donner du contexte ».
Pourtant, chaque information supplémentaire devrait avoir une utilité.
Avant un envoi, voici les questions à poser :
- Quelle tâche précise est-ce que je veux accomplir ?
- Quelles informations sont nécessaires pour y répondre ?
- Ces informations sont-elles personnelles, internes ou confidentielles ?
- Suis-je autorisée à les transmettre à ce prestataire pour cet usage ?
- Les garanties de l’offre et ses réglages sont-ils adaptés ?
Si l’une de ces réponses manque, mieux vaut réduire le fichier, utiliser un exemple fictif ou clarifier le cadre avant de poursuivre.
La CNIL recommande également d’encadrer les usages par des politiques ou des chartes internes. Même dans une petite structure, formaliser les outils autorisés, les données exclues et les vérifications attendues peut éviter beaucoup d’improvisation.
L’IA a toute sa place dans une méthode SEO. Encore faut-il savoir ce qu’on lui demande, ce qu’on lui transmet et dans quelles conditions.
Derrière chaque prompt, il y a des données. Leur simplicité d’envoi ne change ni leur valeur ni nos responsabilités.
Et si votre stratégie SEO intégrait l’IA avec une méthode claire ?
Je vous accompagne pour construire une méthode SEO adaptée à votre entreprise, en combinant visibilité Google, GEO et usages pertinents de l’IA.
Parlons ensemble de votre projet SEO
Sources et références
- Stéphane Klein : analyse de scénarios d’utilisation de données confidentielles avec un LLM
- CNIL : questions-réponses sur l’utilisation d’un système d’IA générative
- RGPD : principes, licéité et catégories particulières de données
- RGPD : obligations du responsable du traitement et du sous-traitant
- Code de commerce : article L151-1, définition du secret des affaires
- OpenAI : contrôle et conservation des données de l’API