)
Après avoir consacré nos deux premiers webinars DDA à l'usage de l’intelligence artificielle au quotidien dans les cabinets de courtage, puis à son impact sur le devoir de conseil, nous avons choisi d’aborder un troisième sujet, sans doute le plus sensible dans le quotidien des courtiers en assurance collective : la confidentialité des données.
Aujourd'hui l’IA n’est plus seulement utilisée pour rédiger un email ou reformuler une note. Elle peut désormais résumer un rendez-vous, analyser un document, comparer des garanties, préparer une recommandation ou générer un compte rendu de réunion. Ces usages posent question : quelles informations peut-on transmettre sans risque à une IA ?
Dans le courtage collectif, la réponse mérite une attention particulière. Les cabinets manipulent des données d’entreprise, des données RH, des fichiers salariés, des informations sur les rémunérations, les ayants droit, les garanties, et parfois des éléments liés à la santé, à l’arrêt de travail, à l’invalidité ou à la prévoyance… Autrement dit, des informations sensibles dont la fuite pourrait exposer à des risques importants.
C’est à cette question que nous avons consacré la troisième session de notre cycle de webinars DDA 2026.
Une IA ne traite pas seulement une question, elle traite tout ce qu’on lui donne
L’un des premiers réflexes à corriger consiste à voir l’IA générative comme une simple fenêtre de discussion. On écrit une demande, l’outil répond, et l’échange paraît presque informel. En réalité, lorsqu’un utilisateur saisit un prompt, colle un texte ou téléverse un document, ces informations sont envoyées vers un service externe pour être traitées par le modèle ou par l’infrastructure du fournisseur.
La distinction est importante : si un courtier demande à une IA de l’aider à préparer une liste de questions pour un rendez-vous avec un dirigeant de PME, le risque est limité. Mais si le même courtier copie-colle un compte rendu de rendez-vous contenant le nom du client, la masse salariale, les difficultés rencontrées avec l’assureur actuel et le projet de changement de prestataire, le sujet devient très différent. Ce n’est plus seulement une aide à la rédaction : c’est un traitement d’informations confidentielles.
Le même raisonnement vaut pour les documents. Un tableau de garanties anonymisé, un extrait de clause ou une trame de mail générique peuvent être utilisés, à condition de rester prudent. En revanche, un fichier salariés complet, un dossier de prévoyance nominatif ou un email mentionnant une situation médicale ne doivent jamais être transmis à un outil d’IA non validé par un service conformité.
La CNIL rappelle que les principes du RGPD continuent de s’appliquer lorsque des données personnelles sont utilisées dans le cadre de systèmes d’IA, y compris dans les prompts et dans l’utilisation des modèles.
« Non utilisé pour entraîner le modèle » ne signifie pas « aucun traitement »
Les principales offres professionnelles d’IA ont beaucoup évolué. La plupart des fournisseurs indiquent désormais que les données de leurs clients professionnels ne sont pas utilisées, par défaut, pour entraîner leurs modèles généraux. C’est une garantie importante, et elle distingue souvent les offres professionnelles des usages gratuits ou personnels.
Mais cette formule est parfois mal comprise. Dire qu’une donnée n’est pas utilisée pour entraîner un modèle ne signifie pas qu’elle n’est pas traitée. Pour produire une réponse, l’outil doit analyser le prompt, le document ou les informations transmises. Selon l’offre utilisée, ces éléments peuvent aussi être conservés dans l’historique, dans des journaux techniques, dans des systèmes d’audit, de sécurité ou de support.
Pour un cabinet de courtage, il convient donc de se demander où les données transmises lors du prompt sont traitées, combien de temps elles sont conservées, qui peut y accéder, dans quelles conditions, avec quels sous-traitants et avec quelles garanties contractuelles.
C’est précisément ce qui rend l’usage d’un compte personnel ou gratuit beaucoup plus risqué. Le cabinet ne maîtrise ni le contrat, ni les paramètres, ni les accès, ni les règles de conservation. Dans un environnement professionnel, l’usage de l’IA doit être administré, encadré et documenté.
Le sujet des IA américaines doit être traité sans raccourci
La plupart des grands outils utilisés aujourd’hui sont opérés par des acteurs américains ou par des environnements cloud internationaux. Or, si le RGPD n’interdit pas les transferts de données hors de l’Union européenne, il les encadre strictement.
Le 10 juillet 2023, la Commission européenne a adopté une décision d’adéquation concernant le cadre de protection des données UE-États-Unis, le Data Privacy Framework. La CNIL précise que les transferts de données personnelles depuis l’Union européenne vers les organismes américains figurant sur la liste correspondante peuvent s’effectuer sans encadrement supplémentaire spécifique.
Pour autant, ce cadre ne dispense pas les cabinets de vérifier l’outil utilisé, le contrat applicable, le type de données transmises, les finalités du traitement, les sous-traitants et les garanties de sécurité. Il faut donc éviter deux raccourcis : considérer que tout outil américain serait interdit, ou considérer qu’un outil connu serait automatiquement conforme.
Toutes les données ne se valent pas
Pour décider si un usage de l’IA est acceptable, il faut d’abord qualifier les données concernées. Dans un cabinet de courtage, quatre grandes catégories de données se retrouvent fréquemment.
La première regroupe les données génériques : demander à une IA d’expliquer une notion d’assurance collective, de préparer une trame de rendez-vous ou de reformuler un paragraphe sans information client. Ces usages présentent généralement peu de risques.
La deuxième concerne les données d’entreprise confidentielles : stratégie sociale, politique de rémunération, projet de changement d’assureur, négociation tarifaire, sinistralité, irritants internes. Ces données ne sont pas toujours personnelles au sens du RGPD, mais elles restent sensibles commercialement.
La troisième catégorie regroupe les données personnelles : nom, prénom, email, date de naissance, rémunération individuelle, situation familiale, collège, statut, numéro de contrat ou tout élément permettant d’identifier directement ou indirectement une personne.
La quatrième concerne les données sensibles, notamment les données de santé. En assurance collective, cela peut aller très vite : arrêt de travail, invalidité, incapacité, handicap, affection longue durée, dossier de prévoyance individualisé, échange mentionnant une situation médicale.
Cette dernière catégorie doit appeler une règle absolue : aucune transmission de données de santé dans un outil d’IA généraliste ou non validé.
Anonymiser ne veut pas dire remplacer un nom par « salarié »
L’anonymisation est souvent présentée comme la solution. C’est vrai, mais seulement si elle est bien comprise.
Retirer le nom et le prénom ne suffit pas toujours. Une personne peut rester identifiable par recoupement, par exemple si le document mentionne sa fonction, son entreprise, sa ville, sa rémunération, son âge ou une situation très spécifique. Dans ce cas, on ne parle pas nécessairement d’anonymisation réelle, mais plutôt de pseudonymisation ou de réduction du risque.
L’EDPB rappelle que le caractère anonyme d’un modèle ou d’un traitement lié à l’IA doit être apprécié au cas par cas, et qu’il faut examiner si des personnes peuvent être identifiées directement ou indirectement, ou si des données personnelles peuvent être extraites par une requête.
Dans la pratique, le meilleur réflexe n’est donc pas d’anonymiser des documents entiers, au risque d’y consacrer plus de temps que lors d’un traitement manuel. Il est souvent préférable de minimiser, c’est-à-dire de ne transmettre au prompt que les informations dont l’IA a réellement besoin.
Par exemple, plutôt que d’envoyer un email client complet, on peut reformuler le cas en quelques lignes. Au lieu d’envoyer un fichier salariés, on peut retirer les colonnes inutiles ou travailler sur des données agrégées. L’IA n’a pas autant besoin du document complet que d’un contexte bien établi.
Les IA intégrées aux outils de travail changent aussi le risque
Le sujet ne concerne pas uniquement les outils dans lesquels un collaborateur copie-colle volontairement du contenu. Les IA intégrées aux environnements de travail, comme les assistants de compte rendu de réunion ou les IA connectées à une suite bureautique, soulèvent les mêmes enjeux.
Lorsqu’un outil génère automatiquement le compte rendu d’un appel, il traite nécessairement le contenu de l’échange : les propos tenus, les noms des participants, les informations confidentielles évoquées et, le cas échéant, les données personnelles mentionnées pendant la réunion.
Là encore, la réponse n’est pas nécessairement d’interdire, mais au moins d’encadrer l’usage. On n’utilise pas une prise de notes IA de la même façon pour une réunion commerciale générale et pour un échange où serait évoqué un dossier de prévoyance nominatif.
Autre point d’attention : lorsqu’une IA est connectée à un environnement documentaire, elle respecte généralement les droits d’accès existants. Cela signifie qu’elle ne crée pas forcément un nouvel accès, mais qu’elle peut rendre plus visibles et plus exploitables des documents déjà accessibles. Si les permissions internes sont trop larges, l’IA peut amplifier un problème de gouvernance documentaire déjà présent.
Avant de déployer ce type d’outil, il faut donc vérifier les accès aux dossiers clients, aux fichiers RH, aux exports salariés, aux documents de sinistralité et aux dossiers sensibles.
Ce qu’il faut retenir
L’objectif de ce troisième webinar n’était pas de vous dissuader d’utiliser l’IA ! En 2026, ce serait à la fois irréaliste et contre-productif. L’IA peut aider à préparer, structurer, reformuler, synthétiser et gagner du temps sur de nombreuses tâches du quotidien.
Cependant, en assurance collective, la donnée n’est pas une matière neutre. Elle concerne des entreprises, des salariés, des rémunérations, des garanties, et parfois des situations médicales ou sociales particulièrement sensibles.
Le bon réflexe est donc simple : avant de transmettre une information à une IA, il convient de se demander ce que l’on transmet, pourquoi on le transmet, si l’outil a réellement besoin de cette information, et ce qui se passerait si cette donnée sortait du cadre prévu.
Pour un cabinet de courtage, quelques lignes rouges doivent être claires : pas de données de santé, pas de fichiers salariés, pas de dossier de prévoyance individualisé, pas de document client nominatif ou confidentiel dans un outil d’IA non validé.
L’AI Act rappelle par ailleurs que les organisations utilisant des systèmes d’IA doivent veiller à ce que les personnes qui les utilisent possèdent un niveau de maîtrise suffisant de l’IA. Cette exigence renforce une idée déjà centrale dans la DDA : les outils évoluent, mais la compétence, la vigilance et le jugement professionnel restent entre les mains de l'utilisateur.
La confidentialité n’est pas un frein à l’innovation. C’est seulement la condition qui permet de l’utiliser sans fragiliser la confiance de vos clients !