Les risques des conversations IA partagées : les garde-fous à mettre en place en 2026

Le 25 juillet 2026, des internautes découvrent que des conversations Claude et des Artifacts partagés ont été indexés par Google — CV, documents d’entreprise, informations médicales, clés d’API et phrases de récupération de portefeuilles crypto, accessibles avec un seul opérateur de recherche. Anthropic a ajouté une balise noindex le lendemain et les résultats ont commencé à disparaître. Personne n’a été piraté. C’est bien le problème : dans la plupart des entreprises, le premier risque de fuite de données IA, c’est un bouton « Partager » utilisé de bonne foi depuis un compte personnel.

Par Toni Dos Santos, Co-Fondateur, Spicy Advisory — nous aidons les ETI et les grands comptes à utiliser vraiment les outils IA qu’ils ont achetés, sans parti pris d’éditeur, en France, au Royaume-Uni et en Europe.

Ce qui s’est réellement passé avec les conversations Claude

Claude, comme tous les assistants IA grand public, dispose d’un bouton de partage. Un clic, et vous obtenez une URL publique à envoyer à un collègue. Le lien est long et impossible à deviner, ce qui explique que la plupart des gens le considèrent comme privé. Il ne l’est pas. Il est simplement non répertorié, ce qui est très différent.

L’écart est apparu au grand jour le week-end du 25 au 27 juillet 2026. Voici la chronologie.

Techniquement, Anthropic a raison. Et cela ne change strictement rien si vous êtes l’entreprise dont la grille tarifaire, la liste de clients ou le CV d’un candidat se trouve désormais dans une archive GitHub.

Pourquoi le robots.txt n’a servi à rien

C’est la partie qu’il faut comprendre, parce que la même erreur dort dans une dizaine d’autres produits que vous utilisez.

Une règle Disallow dans robots.txt dit au robot : ne télécharge pas cette page. Une directive noindex dit au moteur : n’affiche pas cette page dans les résultats. Ce sont deux instructions différentes, et la documentation de Google est explicite : une URL bloquée à l’exploration peut tout de même être indexée si elle apparaît en lien ailleurs sur le web ouvert. Anthropic avait le Disallow. Pas le noindex. Résultat : chaque lien de partage tombé dans un Slack public, un tweet, un Discord, une réponse de forum ou un ticket de support est devenu une page indexable.

Autrement dit, la fuite n’a demandé à personne de faire quoi que ce soit d’inhabituel. Quelqu’un a partagé un lien pour rendre service, quelqu’un d’autre l’a posté quelque part de public, et un robot a fait son travail.

Un schéma qui se répète, pas un accident isolé

En août 2025, OpenAI a retiré l’option « rendre cette conversation découvrable » après que Fast Company a trouvé environ 4 500 conversations ChatGPT partagées indexées par Google, contenant parfois des noms, des CV et des confidences très personnelles. Le RSSI d’OpenAI a parlé d’une expérimentation de courte durée et l’a coupée en quelques jours. Onze mois plus tard, la même famille d’incident chez un autre éditeur, avec les liens Grok pris dans le même filet.

Le schéma se répète parce que les incitations se répètent :

1. Un produit sort une fonction de partage, parce que c’est ainsi que les outils IA se diffusent dans une entreprise.
2. Les utilisateurs lisent « partager » comme « envoyer à une personne », parce que c’est le sens du mot partout ailleurs dans les logiciels.
3. Le lien s’échappe vers un endroit public, souvent innocemment.
4. Un robot l’indexe. Ou un aspirateur de contenu l’archive. Ou les deux.
5. L’éditeur corrige en 24 à 48 heures et l’affaire se termine pour lui.

C’est à l’étape cinq que les entreprises se font prendre. Annuler un partage supprime la page. Cela ne supprime pas la copie qu’un moteur, un cache, un aspirateur ou une archive GitHub a déjà prise. Dans le cas Claude, l’archive existait avant même que la plupart des gens entendent parler du problème. Traitez toute conversation exposée comme définitivement publique : renouvelez les clés, prévenez le client, tracez l’incident.

« Tous les incidents IA sur lesquels on m’a appelé depuis deux ans ont commencé par quelqu’un qui voulait bien faire. Personne n’a exfiltré quoi que ce soit. On a collé un contrat dans un compte personnel pour en obtenir un résumé, puis partagé le lien pour qu’un collègue puisse le lire. Le contrôle dont vous avez besoin n’est pas un rappel à la vigilance. C’est un compte qui appartient à l’entreprise. » — Toni Dos Santos, Co-Fondateur, Spicy Advisory

Les chiffres : à quel point est-ce fréquent

Vous verrez circuler sur LinkedIn un « 42 % des entreprises ont subi une fuite de données IA l’an dernier ». Le chiffre à moitié mémorisé est presque certainement l’un des deux suivants, tous deux plus élevés.

Mettez la première et la quatrième ligne côte à côte et vous tenez toute l’histoire de la gouvernance IA en 2026 : environ deux tiers des organisations ont déjà connu une fuite, et environ un quart disposent d’une politique qui la couvre. L’écart n’est pas un manque de connaissance. Tout le monde sait que coller des données client dans un chatbot personnel est une mauvaise idée. L’écart, c’est que rien dans l’outillage ne l’empêche, et que rien ne l’enregistre.

Garde-fou n°1 : des comptes entreprise, pas des logins personnels

C’est le changement le plus rentable à votre disposition, et la plupart des entreprises n’en sont qu’à une décision d’achat.

L’incident Claude en donne une illustration nette. Sur les offres Claude Team et Enterprise, une conversation ne peut être partagée qu’avec les membres de votre organisation, qui doivent s’authentifier avec leur compte professionnel. Les liens publics ne sont pas proposés. Et lorsqu’un compte personnel portant des liens publics est migré dans une organisation Team ou Enterprise, ces liens cessent définitivement de fonctionner. Le mode de défaillance qui a fait les titres du week-end dernier n’existe tout simplement pas sur une offre entreprise.

La même logique vaut sur tout le marché. ChatGPT Business et Enterprise, Microsoft 365 Copilot dans votre tenant, Gemini dans Workspace : dans chaque cas, passer d’un login personnel à un siège administré change ce que l’outil a le droit de faire de vos données, et ce que vous pourrez constater ensuite.

L’objection est toujours le coût. Faites le calcul honnêtement : un siège professionnel coûte en général 25 à 70 € par personne et par mois. Une seule violation de données notifiable impliquant des informations client, c’est du temps juridique, une notification à la CNIL, une communication aux personnes concernées, de la remédiation et, bien plus coûteux, une conversation gênante avec votre plus gros compte. Le risque n’est pas le prix du siège. C’est son absence.

Le piège classique, c’est le déploiement partiel. Une entreprise achète 40 sièges Enterprise pour les directions qui ont demandé, et les 260 autres personnes continuent sur des comptes personnels parce que personne ne leur en a donné. Ce n’est pas de la gouvernance, c’est un shadow IT plus petit. Notre guide sur le shadow AI et le risque de gouvernance explique comment mesurer le problème avant d’acheter.

Garde-fou n°2 : des permissions, pour limiter le rayon d’explosion

Les comptes entreprise règlent la propriété. Les permissions décident des dégâts qu’une seule erreur peut causer. Quatre réglages méritent un responsable et une décision ce mois-ci.

Le partage lui-même

Décidez qui peut créer un lien de partage, et vers qui. Le défaut doit être interne uniquement, partage public désactivé. Si une équipe a un vrai besoin de liens publics — le marketing qui publie un Artifact, par exemple — faites-en une exception nommée avec un approbateur, pas une capacité ambiante donnée à tout le monde.

Connecteurs et accès aux données

Les assistants modernes se branchent à Drive, SharePoint, Gmail, Slack, Jira, GitHub et votre CRM. Chaque connexion élargit ce qu’un simple prompt peut atteindre. Approuvez les connecteurs centralement, limitez-les à des dossiers ou dépôts précis plutôt qu’à des tenants entiers, et revoyez la liste chaque trimestre. Même chose pour les serveurs MCP et les outils personnalisés : tenez une liste blanche.

Une classification des données que les gens retiennent

Trois niveaux, une page, des exemples réels tirés de votre activité :

• Vert — partout : contenus marketing publics, documentation publiée, rédaction et recherche génériques.
• Orange — compte entreprise uniquement : documents internes, plans non publiés, données client anonymisées, code de dépôts privés.
• Rouge — jamais, dans aucun outil, sans validation écrite : données personnelles de clients ou de salariés, données de santé, identifiants et clés, tout ce qui est sous NDA, tout ce qu’un contrat client interdit de sous-traiter.

Agents et automatisations

Les outils agentiques agissent au lieu de répondre. Définissez ce qu’un agent peut faire sans humain dans la boucle, dans quels systèmes il peut écrire, et ce qui exige toujours une validation. Un agent doté d’une capacité de partage et d’un connecteur boîte mail est un canal d’exfiltration plein de bonnes intentions.

Garde-fou n°3 : une politique IA qui tient sur une page

Les politiques longues ne sont pas lues. La version qui fonctionne tient sur une page que chacun peut garder en tête, adossée à des réglages qui l’appliquent. Dix points :

Le point sept est celui que les entreprises sautent, et c’est le premier que demandent auditeurs et régulateurs. La traçabilité n’est pas une philosophie, c’est une liste d’artefacts : journaux d’audit de votre offre Enterprise, exports via une API de conformité, tableaux de dépenses par équipe, un registre des cas d’usage IA avec un responsable pour chacun, et une réunion de revue dans l’agenda. Si vous ne pouvez pas répondre en moins d’une heure à « quels outils ont traité des données client le trimestre dernier, et qui les a validés ? », vous n’avez pas encore de traçabilité.

« Le test d’une politique IA n’est pas son existence. C’est de savoir si les réglages lui correspondent. Si le document dit “pas de partage public” et que la console d’administration l’autorise encore, vous avez écrit un souhait, pas un contrôle. » — Toni Dos Santos, Co-Fondateur, Spicy Advisory

Pour le modèle opérationnel complet — rôles, droits de décision, rythme de revue — voir notre cadre de gouvernance IA pour les ETI et le guide RSSI de la sécurité IA en entreprise.

Ce qu’attendent les régulateurs : RGPD et règlement européen sur l’IA

RGPD : un lien public est une violation, quel que soit le mot de l’éditeur

L’éditeur peut dire « nos systèmes n’ont pas été compromis ». Vous, non : vous êtes responsable de traitement pour les données que vos équipes ont saisies.

• Article 4(12) : la violation de données inclut la divulgation non autorisée de données personnelles, ou l’accès non autorisé à celles-ci. Une conversation indexée publiquement contenant le nom d’un client, le CV d’un candidat ou des données de santé d’un salarié est une violation de confidentialité en soi.
• Article 33 : vous avez 72 heures à compter de la prise de connaissance pour notifier la CNIL, sauf si la violation est peu susceptible d’engendrer un risque pour les personnes. « On pense que seuls des robots ont dû la lire » n’est pas une analyse de risque.
• Article 34 : vous devez informer les personnes concernées lorsque le risque est élevé — ce qui est généralement le cas pour des données de santé, des identifiants financiers ou des secrets d’authentification.
• Articles 5(1)(f) et 32 : intégrité, confidentialité et mesures techniques et organisationnelles appropriées. Laisser des salariés traiter des données client dans des comptes grand public, sans administration, sans journaux et sans politique de rétention, est difficile à défendre comme « approprié » le jour où l’on vous le demande.
• Article 28 : un contrat de sous-traitance écrit est obligatoire. Une page de CGU grand public n’est pas un DPA. Cette seule raison justifie le passage aux offres professionnelles.
• Articles 44 et suivants : les transferts hors EEE, où les options de localisation des données de l’éditeur et les annexes de votre DPA deviennent décisives. Nous avons traité le sujet dans la localisation des données IA, et les droits des équipes dans IA et RGPD : droits et risques.

La doctrine se cherche encore — l’autorité italienne a infligé 15 M€ à OpenAI en décembre 2024 pour ChatGPT, et le tribunal de Rome a annulé la sanction en mars 2026 au motif que l’autorité chef de file est la DPC irlandaise. La leçon n’est pas que personne ne regarde. C’est que le dossier a changé de bureau.

Règlement IA : l’échéance qui a bougé n’est pas celle qui vous concerne

Le Digital Omnibus sur l’IA a fait beaucoup de bruit au premier semestre 2026. Voici l’état du droit après l’adoption par le Parlement le 16 juin 2026 et par le Conseil le 29 juin 2026 :

Notez la forme du calendrier. Le régime haut risque a glissé de seize mois. L’obligation de maîtrise de l’IA, elle, n’a pas bougé et s’applique depuis février 2025. C’est elle qui couvre le salarié partageant une conversation client depuis un compte personnel — non parce que le partage serait interdit, mais parce qu’une entreprise qui n’a pas formé ses équipes manque à la seule obligation du règlement qui s’applique déjà à presque tout le monde. Notre analyse de l’article 4 et de ce qu’exige vraiment la maîtrise de l’IA entre dans le détail, complétée par notre guide AI Act pour les PME et ETI françaises. Vous pouvez tester votre position avec notre vérification AI Act gratuite.

Vos 30 prochains jours

Rien de tout cela n’exige un programme de transformation. Il faut quelqu’un de suffisamment senior pour le porter pendant un mois, et la décision de payer des sièges. Les équipes qui font ce travail une fois avancent ensuite plus vite, parce que la question « est-ce qu’on a le droit d’utiliser l’IA pour ça ? » cesse d’être un débat pour devenir une consultation. C’est la logique de notre cadre d’adoption en quatre phases.