Un assistant interne peut-il lire les dossiers du personnel ?

Il ne devrait pas. Toute personne qui a accès à l'assistant peut obtenir une réponse tirée de ses documents. Microsoft l'écrit pour ses agents : quiconque a accès à l'agent a aussi accès aux informations des fichiers qui y ont été envoyés.

Les droits d'accès de mes dossiers sont-ils respectés par l'assistant ?

Cela dépend de l'outil et du mode de connexion. Microsoft indique que ses agents respectent les autorisations des fichiers SharePoint et OneDrive, mais qu'un fichier envoyé directement à l'agent devient lisible par tous ses utilisateurs. Vérifiez ce point pour l'outil retenu.

Qui est responsable si la base contient des données personnelles ?

La CNIL indique que l'organisme qui relie un système d'IA à sa propre base de connaissances est responsable de ce traitement lorsqu'elle contient des données personnelles. Pour votre cas précis, voyez avec votre délégué à la protection des données ou la CNIL.

Documents à ne pas mettre dans un chatbot

Ne mettez pas dans un chatbot ce que toutes les personnes qui l'utilisent n'ont pas le droit de lire. C'est la règle de base, parce qu'un assistant restitue ce qu'il trouve : un document présent dans sa base peut ressortir, en partie, dans une réponse à n'importe quel utilisateur. S'y ajoutent les documents qui dégradent les réponses : brouillons, doublons, versions périmées.

La règle de l'accès

Microsoft l'écrit sans détour pour ses agents : quand vous envoyez des fichiers comme sources de connaissance, toute personne qui a accès à l'agent a aussi accès aux informations de ces fichiers. Pour les fichiers restés dans SharePoint ou OneDrive, l'agent respecte en revanche les autorisations existantes, et Copilot Studio vérifie en direct, à chaque question, que l'utilisateur a le droit de voir le contenu.

Retenez la différence : un fichier envoyé dans l'outil perd souvent les droits d'accès du dossier d'origine. Avant d'envoyer un fichier, demandez-vous : « Est-ce que je l'afficherais au mur de la salle de pause ? » (pour un assistant interne) ou « sur mon site » (pour un assistant client).

Ce que dit la CNIL

La Commission nationale de l'informatique et des libertés (CNIL) a publié le 18/07/2024 des questions-réponses sur l'utilisation des systèmes d'IA générative. On y lit notamment :

l'organisme qui relie un système à sa propre base de connaissances est responsable de ce traitement lorsque la base contient des données personnelles ;
pour des données personnelles ou une documentation sensible, un déploiement « sur site » paraît généralement plus opportun et plus sûr ;
il est recommandé d'encadrer l'usage par des politiques ou chartes internes, qui peuvent interdire la fourniture de certaines données confidentielles, et de former les utilisateurs.

Ce ne sont pas des conseils juridiques adaptés à votre cas : pour une situation précise, voyez votre délégué à la protection des données, votre conseil ou la CNIL.

La liste des documents à écarter

Catégorie	Exemples	Pourquoi
Données personnelles des salariés	Dossiers du personnel, évaluations, arrêts, coordonnées privées	Confidentialité ; aucune raison qu'un assistant y réponde
Données personnelles des clients	Fichiers clients, historiques de commandes nominatifs, échanges avec un client	Confidentialité ; risque de restitution à un autre client
Données de santé	Tout document qui en contient	Aucune raison qu'un assistant documentaire y accède ; règles à vérifier avec la CNIL
Secrets d'accès	Mots de passe, codes d'alarme, identifiants, coordonnées bancaires	Un assistant n'est pas un coffre-fort
Documents stratégiques ou financiers	Comptes, négociations, projets de rachat, marges	Lisibles par tous les utilisateurs
Contrats signés nominatifs	Contrats avec un client ou un fournisseur nommé	Gardez plutôt le contrat type, sans nom
Brouillons et versions périmées	Anciennes grilles tarifaires, procédures remplacées	Réponses contradictoires ou fausses
Doublons	Le même document à plusieurs endroits	Deux versions, deux réponses
Échanges informels	Mails, messageries, comptes rendus bruts	Décisions provisoires, avis personnels, noms
Documents protégés	Fichiers avec mot de passe	Microsoft indique qu'ils ne sont pas pris en charge

Les cas limites

Un compte rendu de réunion utile. Extrayez-en la décision dans un document propre (« À partir du 01/12/2026, les commandes urgentes passent par… ») et laissez le compte rendu de côté.
Un contrat dont une clause intéresse l'équipe. Écrivez une fiche qui résume la règle, sans nom ni montant.
Un document du fabricant. Une notice publique peut être ajoutée ; un document transmis sous condition de confidentialité ne le peut pas.
Les étiquettes de confidentialité. Microsoft liste, parmi les raisons pour lesquelles un agent Copilot Studio ne répond pas à partir d'un fichier, une étiquette « Confidentiel » ou « Hautement confidentiel ». C'est une protection utile : ne la retirez pas pour « faire marcher » l'assistant.

Ce qui va aux archives, et non à la poubelle

Écarter un document de l'assistant ne veut pas dire le supprimer. La fiche d'Entreprendre Service Public sur les délais de conservation (vérifiée le 01/07/2024) rappelle qu'une entreprise doit conserver pendant une durée minimale tout document émis ou reçu dans son activité, et qu'elle peut les archiver plus longtemps, sauf s'ils contiennent des données personnelles. Voir les durées de conservation.

La vérification avant chaque ajout

Qui pourra lire ce document à travers l'assistant ?
Contient-il un nom, une adresse, un numéro, une donnée de santé ?
Est-ce la version en vigueur, et la seule ?
Y a-t-il un secret d'accès dans le texte, une capture d'écran ou un pied de page ?
Le responsable du document a-t-il donné son accord ?

Un « non » ou un doute : le document reste dehors. Pour la sélection positive, voir quels documents donner à une IA.