Notion · Sécurité et conformité
Classification des données
Trier ses données en niveaux : publiques, internes, confidentielles, sensibles. C’est ce qui permet de dire simplement ce qu’on peut confier à quel outil.
Comment ça marche
Avant de dire « vous pouvez utiliser l’IA pour ceci mais pas pour cela », il faut un vocabulaire commun pour parler des données. La classification, c’est ce vocabulaire : quelques niveaux, des exemples pour chacun, et une règle d’usage par niveau.
L’idée est de rendre la décision mécanique. Un document vert peut aller n’importe où. Un document orange reste dans les outils sous contrat professionnel. Un document rouge ne sort pas de l’entreprise, ou passe uniquement par un outil interne. Plus personne n’a besoin de se demander, à chaque fois, si ce qu’il s’apprête à coller dans un assistant pose problème.
Un exemple concret
- Vert, public : le site, les communiqués diffusés, les offres d’emploi, les publications réseaux sociaux. Tout outil autorisé.
- Orange, interne : les comptes rendus, les e-mails courants, les briefs en cours, les propositions commerciales avant envoi. Assistant d’entreprise sous contrat professionnel, jamais de compte personnel.
- Rouge, confidentiel : les contrats et tarifs clients, les données RH, les campagnes sous embargo, les accès et mots de passe. Outils internes uniquement, et jamais de mot de passe nulle part.
- La règle d’un coup d’œil : affichée sur une page, avec les exemples. Nouvel outil ? On regarde d’abord à quel niveau il a droit.
Le point qui a fait débat : les briefs clients. Orange tant qu’ils ne contiennent pas de chiffres ni de date de lancement, rouge sinon. C’est écrit, avec l’exemple.
Ce que ça change pour une équipe
- Les décisions deviennent rapides. Le niveau du document dit l’outil. Plus de débat au cas par cas.
- L’IA s’ouvre plutôt qu’elle ne se ferme. Les deux tiers des documents d’une entreprise sont verts ou orange : les équipes peuvent y utiliser l’IA sans crainte.
- Les outils se choisissent en connaissance de cause. Un nouvel assistant, un connecteur, un service de transcription : la question « jusqu’à quel niveau ? » se pose avant l’achat.
- La conformité se simplifie. Le registre des traitements, la réponse à un client qui demande où vont ses données, l’audit : tout s’appuie sur la même grille.
Les limites et les erreurs fréquentes
- Trop de niveaux. Cinq ou six niveaux avec des définitions juridiques : personne ne les applique. Trois niveaux et des exemples.
- Classer par type de fichier. Un tableur peut être vert ou rouge. Le niveau dépend du contenu, pas du format.
- Oublier ce qui est mélangé. Un compte rendu interne qui cite un montant client devient rouge. La règle : le niveau le plus élevé de ce que contient le document.
- Ne pas tenir compte du temps. Une campagne sous embargo est rouge jusqu’à son lancement, puis verte. Les niveaux changent ; la grille doit le prévoir.
Pour aller plus loin
Une classification à trois ou quatre niveaux, avec des exemples concrets par niveau, suffit à la plupart des PME. Elle s’applique aux documents, aux conversations et aux connecteurs, et conditionne le choix entre cloud, cloud européen et local.
Où ça se situe chez Opora
Programme 01 · Mieux utiliserUn usage responsable et sobre de l’IA
Classer les données de l’entreprise en trois niveaux et en déduire les outils autorisés, c’est un exercice que nous faisons avec chaque équipe dans le programme Un usage responsable.
Questions fréquentes
Combien de niveaux faut-il ?
Trois suffisent à la plupart des PME : ce qui peut être public, ce qui est interne, ce qui est confidentiel ou sensible. Un quatrième niveau se justifie quand l’entreprise manipule des données de santé, des secrets industriels ou des données soumises à une réglementation particulière.
Qui décide du niveau d’un document ?
La règle doit être assez simple pour que chacun classe lui-même en quelques secondes : des exemples concrets par niveau valent mieux qu’une définition. Les cas limites remontent au référent IA ou au responsable des données.
Et les données personnelles ?
Elles sont au minimum confidentielles, et sensibles dès qu’elles touchent à la santé, aux opinions, à la situation financière ou à la vie privée. Le RGPD impose des règles propres ; la classification sert à les appliquer sans réfléchir à chaque fois.