La règle des trois couleurs : quelles informations transmettre ?

Comprendre

La règle des couleurs est un cadre interne de décision. Elle doit être validée et précisée par l’entreprise.

La couleur décrit l’information. L’autorisation précise où, pourquoi et dans quelles conditions elle peut être utilisée.

Les mots de passe, clés d’accès et autres secrets d’authentification ne doivent pas être saisis dans un assistant généraliste.

Si un document mélange plusieurs catégories, appliquez la règle la plus protectrice tant que les éléments concernés n’ont pas été séparés.

Donnée personnelle et donnée sensible

Une donnée personnelle concerne une personne identifiée ou identifiable.

Les données sensibles constituent une catégorie particulière : elles comprennent notamment les informations de santé, les opinions ou activités religieuses, politiques ou syndicales, ainsi que certaines données génétiques ou biométriques. Une allergie rattachée à une personne est une information de santé. Repères juridiques de l’Office fédéral de la justice

Dans ce cadre pédagogique, les données personnelles sont classées en rouge. Cela signifie qu’un usage demande une autorisation spécifique, pas que tout traitement par l’IA serait légalement interdit.

Retirer un nom ne suffit pas toujours

Une fonction unique, une date précise, une adresse ou une combinaison de détails peut permettre de reconnaître une personne.

Remplacer un nom par « Client A » peut constituer une pseudonymisation : le lien avec la personne peut subsister. Les données pseudonymisées restent des données personnelles. Guide du PFPDT

Un texte sans données personnelles peut aussi rester confidentiel. Supprimer les noms d’un plan stratégique ne le rend pas public.

Avant chaque saisie

1. Définissez la tâche. Qu’attendez-vous précisément de l’outil ?
2. Repérez les informations nécessaires. Retirez celles qui ne servent pas à la tâche.
3. Classez les informations restantes.
4. Vérifiez l’autorisation de l’outil pour cet usage.
5. En cas de doute, demandez au référent avant de transmettre.

Le prix de l’abonnement ne suffit pas à établir qu’un outil est adapté. L’autorisation dépend notamment de ses conditions, de ses réglages et de l’usage prévu.

À vous de jouer

Classez ces trois demandes et indiquez votre prochaine action :

1. Proposer des titres à partir d’une description publique de votre activité, sans donnée personnelle.
2. Reformuler une procédure interne courante.
3. Résumer une réclamation contenant le nom et des informations de santé d’un client.

Retour attendu :

1. Vert : suivre les règles générales de l’entreprise.
2. Orange : vérifier l’autorisation de l’outil pour cet usage.
3. Rouge : ne rien transmettre sans autorisation spécifique ; envisager un exemple générique si cela suffit au besoin.