IA et données de chantier : confidentialité et RGPD

Vous pouvez confier des documents de chantier à un assistant IA, à trois conditions : utiliser une offre professionnelle qui n'entraîne pas les modèles sur vos données, respecter les clauses de confidentialité de vos marchés, et limiter les données personnelles au strict nécessaire. Une règle écrite, courte et connue de tous, évite la plupart des erreurs. Le dirigeant reste responsable de ce que ses équipes déposent dans l'outil.

Quelles données passent par un assistant IA

Dans une entreprise du BTP, les documents confiés à un assistant se rangent en trois familles :

• les documents techniques et contractuels : pièces du DCE, CCTP, plans, comptes rendus, fiches techniques ;
• les données économiques : prix unitaires, sous-détails, marges, devis fournisseurs ;
• les données personnelles : noms et coordonnées de clients particuliers, informations sur les salariés, photos de chantier où l'on reconnaît des personnes, déclarations d'accident.

Chaque famille appelle une prudence différente.

Niveau	Exemples	Règle
Possible avec une offre pro	CCTP sans clause de confidentialité, fiches techniques, comptes rendus sans données sensibles, courriers types	Déposer dans un Projet de l'entreprise
À vérifier avant	DCE avec clause de confidentialité, prix et sous-détails, coordonnées de clients	Lire les clauses, limiter au nécessaire, anonymiser si possible
À garder hors de l'outil	Données de santé des salariés, numéros de sécurité sociale, coordonnées bancaires, pièces d'identité	Ne pas déposer

Offres grand public et offres professionnelles

La différence principale tient à l'entraînement des modèles et à la durée de conservation.

Chez Anthropic (Claude)

Offres grand public (Free, Pro, Max) : vos conversations servent à améliorer Claude si vous l'avez accepté dans les paramètres de confidentialité ; les conversations en mode incognito sont exclues (source, mise à jour du 16 mars 2026). Si le réglage est activé, les données peuvent être conservées sous forme dé-identifiée jusqu'à 5 ans. Une conversation supprimée disparaît des serveurs sous 30 jours (source).

Offres professionnelles (Team, Enterprise), selon le relevé du 7 novembre 2026 :

• pas d'entraînement par défaut, sauf sur les retours pouce haut ou pouce bas, conservés jusqu'à 5 ans et désactivables par le propriétaire du compte (source) ;
• conversations conservées tant que l'utilisateur ne les supprime pas, puis effacées des serveurs sous 30 jours ; la durée de conservation personnalisée est réservée à Enterprise (source) ;
• stockage aux États-Unis, sans option officielle de stockage dans l'Union européenne pour l'application (source) ;
• un contrat de traitement des données (DPA) avec clauses contractuelles types de l'Union européenne, intégré aux conditions commerciales (source) ;
• certifications SOC 2 Type I et II, ISO 27001:2022 et ISO/IEC 42001:2023 (source).

Chez OpenAI (ChatGPT)

Sur les offres individuelles, OpenAI indique qu'il est possible de refuser l'utilisation de ses données pour l'entraînement (source). Sur ChatGPT Business et Enterprise, OpenAI indique ne pas entraîner ses modèles sur les données professionnelles par défaut (source). Sur Enterprise, l'administrateur peut fixer une durée de conservation, avec un minimum de 90 jours, et la résidence des données en Europe est proposée ; elle se déploie progressivement sur Business (source). Relevé du 7 novembre 2026.

En pratique : un salarié qui utilise son compte personnel gratuit pour traiter un dossier de l'entreprise sort ce dossier du cadre que vous maîtrisez. Fournir un compte professionnel règle une bonne partie du problème. La comparaison complète des deux offres figure dans notre guide Claude ou ChatGPT pour une entreprise du BTP.

Ce que demande le RGPD

Le RGPD s'applique dès qu'un assistant traite des données personnelles : nom d'un client, téléphone d'un sous-traitant, photo d'un compagnon. L'entreprise reste responsable du traitement, et le fournisseur de l'outil agit en principe comme sous-traitant.

La CNIL a publié des recommandations pour les organismes qui déploient une IA générative (« Comment déployer une IA générative ? », 18 juillet 2024). Elle conseille notamment de :

• partir d'un besoin concret ;
• définir une liste d'usages autorisés et interdits, par exemple ne pas saisir de données personnelles ;
• vérifier dans quelle mesure le prestataire peut réutiliser les données ;
• former et sensibiliser les utilisateurs ;
• mettre en place une gouvernance qui associe le délégué à la protection des données s'il existe, le responsable informatique et les responsables métier.

Dans ses questions-réponses sur l'IA générative, la CNIL rappelle que les utilisateurs ne devraient soumettre que des informations qu'ils sont autorisés à partager, et qu'un hébergement externe doit être encadré par un contrat de sous-traitance.

Quand les données sont stockées hors de l'Union européenne, comme pour l'application Claude, le transfert doit reposer sur un outil prévu par le RGPD, par exemple les clauses contractuelles types. La CNIL présente ce cadre des transferts hors Union européenne.

Les clauses de confidentialité des marchés

Les pièces d'un marché peuvent limiter ce que vous faites des documents reçus.

En marché public de travaux, quand le marché fait référence au CCAG Travaux (arrêté du 30 mars 2021), son article 5 impose au titulaire et au maître d'ouvrage de prendre toutes mesures nécessaires « afin d'éviter que ces informations, documents ou éléments ne soient divulgués à un tiers qui n'a pas à en connaître ». Cette obligation vise les informations confidentielles reçues à l'occasion de l'exécution du marché. Le titulaire ne peut les utiliser que pour les prestations du marché, et doit informer ses sous-traitants de ces obligations. Le même article interdit toute transmission de données personnelles à des tiers qui ne serait pas strictement conforme à la réglementation, y compris vers des entités établies hors de l'Union européenne.

Le CCAP peut renforcer ou préciser ces règles, et le règlement de la consultation peut prévoir ses propres clauses pendant la phase de réponse. Lisez-les avant de déposer un dossier dans un assistant. Si une clause vous paraît s'y opposer, posez la question à l'acheteur.

En marché privé, un accord de confidentialité ou une clause du contrat peut jouer le même rôle. Cherchez-la dans le contrat et dans les conditions de la consultation.

Bonnes pratiques simples

1. Fournissez des comptes professionnels à ceux qui utilisent l'IA, et demandez de ne plus traiter les dossiers de l'entreprise sur des comptes personnels.
2. Écrivez une règle d'une page : ce qui peut être déposé, ce qui demande une vérification, ce qui reste hors de l'outil. Reprenez le tableau ci-dessus.
3. Anonymisez quand c'est facile : « client A » au lieu du nom d'un particulier, sans adresse personnelle quand elle ne sert pas.
4. Rangez par Projet : un Projet par chantier ou par appel d'offres, partagé seulement avec les personnes concernées.
5. Réglez les paramètres : sur Claude Team, le propriétaire du compte peut désactiver la conservation des retours pouce haut ou pouce bas.
6. Activez les connecteurs avec mesure : le connecteur Microsoft 365 de Claude reste en lecture seule jusqu'à l'activation de l'écriture (source). Commencez par là.
7. Supprimez ce qui ne sert plus : une conversation supprimée est effacée des serveurs sous 30 jours.
8. Formez les équipes sur ces règles en même temps que sur les usages.

Ce que l'outil ne fait pas à votre place

Un assistant IA ne vérifie pas si un document est couvert par une clause de confidentialité. Il ne sait pas si une photo montre un salarié qui n'a pas donné son accord. Il ne tient pas votre registre des traitements. Ces décisions restent humaines, et la responsabilité reste celle de l'entreprise. Pour choisir l'offre adaptée à ces contraintes, consultez les prix et fonctions de Claude Team et Enterprise.

Pour configurer l'outil et écrire ces règles avec vos équipes, le déploiement de Claude intègre ces réglages dès le départ.