Les 8 risques concrets, et la parade
Classés du plus fréquent au plus rare dans une petite entreprise. Aucun ne justifie d'interdire l'IA ; tous justifient de l'encadrer.
01La fuite de données confidentielles
Un devis, un contrat ou un fichier de prospection collé dans un outil pour « le reformuler » part sur les serveurs de l'éditeur, souvent hors d'Europe, et peut servir à entraîner ses modèles selon le compte utilisé. Parade : comptes professionnels ou réglage d'entraînement désactivé, et anonymisation systématique.
02Les données personnelles hors RGPD
Dès qu'un nom de client, un CV ou un bulletin de paie entre dans un prompt, vous réalisez un traitement de données personnelles. Il lui faut une base légale, une information des personnes et une sécurité suffisante. Parade : interdire les données personnelles dans les outils grand public et inscrire les outils professionnels à votre registre RGPD.
03La violation du secret professionnel
Avocats, experts-comptables, notaires, professionnels de santé : confier une information couverte par le secret à un outil externe peut constituer une violation, quel que soit le réglage. Parade : un outil choisi pour ses garanties contractuelles, et des données anonymisées.
04Les erreurs publiées sous votre nom
L'IA invente des chiffres, des articles de loi et des références avec aplomb. Un devis faux ou un conseil erroné engage votre responsabilité, pas celle de l'outil. Parade : relecture humaine obligatoire et vérification à la source de tout chiffre ou référence.
05Les droits sur les contenus générés
Un logo ou un visuel généré peut ressembler à une œuvre protégée, et sa protection par le droit d'auteur est incertaine. Parade : ne pas fonder une création stratégique (logo, identité) sur une génération seule, et ne pas imiter le style identifiable d'un créateur.
06Les fraudes qui utilisent l'IA contre vous
Faux courriels parfaitement rédigés, fausse voix d'un dirigeant au téléphone, fausse facture : l'IA rend les arnaques plus crédibles. Parade : une règle de double validation pour tout virement ou changement de coordonnées bancaires, quel que soit le canal.
07Les agents et connecteurs qui agissent à votre place
Les assistants peuvent désormais lire vos courriels, vos fichiers et agir sur le web. Une page piégée peut leur glisser de fausses instructions. Parade : n'activer les connecteurs qu'au cas par cas, et garder une validation humaine avant tout envoi, achat ou suppression.
08L'usage caché et la dépendance
Le salarié qui utilise l'IA « en douce » ne demandera pas d'aide en cas d'erreur, et personne ne sait ce qui a été partagé. Parade : un cadre clair qui autorise plutôt qu'il n'interdit, et une personne à qui poser la question.
Les dangers propres à chaque outil
Les risques ne sont pas les mêmes d'un assistant à l'autre. ChatGPT entraîne ses modèles sur les conversations des comptes personnels tant que le réglage n'est pas désactivé. Copilot restitue tout ce que l'utilisateur a le droit de voir dans Microsoft 365, y compris un dossier RH mal protégé. Perplexity rend publiques les pages qu'on publie. Les fiches par outil détaillent ces pièges et les réglages qui les neutralisent.
Les métiers les plus exposés
Les professions tenues au secret sont en première ligne : une information confiée à un outil externe peut suffire à caractériser une violation. Les métiers qui manipulent des données sensibles — santé, ressources humaines, assurance — suivent de près, parce que ces données appellent des précautions renforcées au titre du RGPD.
Les agences de communication et les professions créatives sont, elles, davantage exposées aux questions de droits et à l'obligation de signaler les contenus réalistes générés par IA (article 50 de l'AI Act, depuis le 2 août 2026).
Et l'amende ?
C'est le risque le plus commenté et le moins probable pour une TPE. L'article 4 de l'AI Act, sur la maîtrise de l'IA, ne figure pas dans la liste des manquements sanctionnés par une amende. Les plafonds élevés que l'on voit circuler visent les pratiques interdites par l'article 5, que n'exerce aucune TPE ordinaire, et pour une PME c'est toujours le montant le plus faible qui s'applique.
En France, la loi qui désigne les autorités chargées de contrôler l'AI Act (CNIL, DGCCRF, Arcom) a été adoptée par le Sénat le 18 février 2026 mais était toujours en commission à l'Assemblée nationale au 21 octobre 2026 : aucune amende AI Act n'y est prononçable pour l'instant. Le RGPD, lui, est contrôlé et sanctionné par la CNIL depuis 2018. Le risque réel est donc commercial et lié aux données : un client qui découvre que ses informations ont transité par un outil grand public, ou un appel d'offres perdu faute de pouvoir montrer votre cadre.