Le périmètre de la protection des données personnelles s’est déplacé. Les recommandations classiques (mot de passe robuste, antivirus, mise à jour) restent un socle, mais elles ne couvrent plus les vecteurs de fuite les plus actifs. L’usage massif d’outils d’IA générative, la multiplication des transferts hors Union européenne et la hausse des exfiltrations documentée par l’ANSSI imposent de revoir la hiérarchie des priorités pour assurer la sécurité de vos données et votre vie privée en ligne.
Fuites de données via les prompts d’IA générative : un vecteur sous-estimé
Chaque requête envoyée à un service d’IA générative peut contenir des informations personnelles, des extraits de documents internes ou des identifiants. Lorsque le fournisseur se réserve le droit de réutiliser les requêtes pour entraîner ses modèles, ces données sortent définitivement du contrôle de l’utilisateur.
La CNIL a publié en 2025 des recommandations spécifiques sur l’IA et le RGPD. Elle préconise de pseudonymiser les documents avant de les soumettre à un modèle et d’interdire l’envoi de données confidentielles lorsque le contrat de service ne garantit pas leur non-réutilisation. Pour un particulier, cela signifie ne jamais coller un relevé bancaire, une pièce d’identité ou un dossier médical dans un chatbot grand public.
Nous recommandons de vérifier systématiquement les conditions d’utilisation du service d’IA. Deux points à contrôler : la clause de réutilisation des prompts pour l’entraînement et la localisation des serveurs de traitement. Un guide complet sur la sécurité sur Wiki Dark détaille les mécanismes d’exfiltration liés aux outils conversationnels.
Hébergement local, cloud européen ou service grand public : arbitrer selon la sensibilité des données
La CNIL distingue désormais trois niveaux d’hébergement pour les outils d’IA, et ce raisonnement s’applique à toute application traitant des données personnelles. Le choix du mode d’hébergement conditionne directement le niveau de protection de la vie privée.
- Déploiement local (on-premise) : les données ne quittent jamais l’infrastructure de l’utilisateur ou de l’entreprise. C’est l’option la plus protectrice pour des informations sensibles (santé, finances, données RH).
- Cloud européen encadré par un contrat de sous-traitance RGPD : le fournisseur s’engage contractuellement sur la localisation, la durée de conservation et l’absence de transfert hors UE. C’est le compromis le plus courant pour les PME.
- Service grand public (ChatGPT, Gemini, Copilot en version gratuite) : les garanties varient selon les mises à jour des conditions générales. Les transferts hors Union européenne sont fréquents et rarement signalés de manière explicite.
Avant de confier des données personnelles à un service en ligne, la question pertinente n’est plus « ce service est-il sécurisé ? » mais « où sont stockées mes données et qui peut y accéder contractuellement ? ». Le RGPD donne aux utilisateurs le droit d’obtenir cette information auprès de tout responsable de traitement.
Exfiltration de données en hausse : ce que révèle le Panorama ANSSI 2025
Le Panorama de la cybermenace 2025 publié par l’ANSSI signale une forte hausse des incidents liés à l’exfiltration de données par rapport à 2024, alors que le volume global d’incidents confirmés reste quasiment stable. Ce décalage a une implication directe : les attaquants ciblent davantage le vol de données que le blocage de systèmes.
Pour un particulier, cela change la stratégie de défense. Un ransomware se détecte immédiatement (fichiers chiffrés, demande de rançon). Une exfiltration silencieuse peut passer inaperçue pendant des mois. Les données volées alimentent ensuite des campagnes de phishing personnalisé ou des usurpations d’identité.
Nous observons que les mesures préventives les plus efficaces contre l’exfiltration sont rarement celles mises en avant dans les guides grand public :
- Activer les notifications de connexion sur chaque service critique (messagerie, banque, cloud). Une connexion depuis un appareil ou une localisation inhabituels doit déclencher une alerte.
- Segmenter ses adresses mail : une adresse pour les services financiers, une pour les réseaux sociaux, une pour les inscriptions ponctuelles. En cas de fuite, la surface d’exposition reste limitée à un seul périmètre.
- Vérifier régulièrement si vos identifiants figurent dans des bases de données compromises, via des services comme Have I Been Pwned.
Confidentialité sur le web : au-delà du VPN
Le VPN chiffre le trafic entre votre appareil et un serveur distant. Il masque votre adresse IP vis-à-vis des sites visités. En revanche, il ne protège pas contre le fingerprinting (empreinte numérique du navigateur), le tracking par cookies tiers, ni la collecte de données par les applications installées sur votre téléphone.
Un VPN associé à un navigateur qui n’est pas configuré pour bloquer les traceurs laisse une empreinte presque aussi identifiable qu’une navigation sans VPN. La protection de la vie privée en ligne repose sur un ensemble de réglages complémentaires : désactivation des cookies tiers, blocage du fingerprinting et restriction des permissions applicatives.
Côté téléphone, la CNIL rappelle que chaque application demandant un accès au GPS, au micro ou aux contacts doit justifier cet accès par une finalité précise. Refuser les permissions non nécessaires réduit la quantité de données personnelles collectées en arrière-plan, souvent sans que l’utilisateur en ait conscience.
Droits RGPD : des leviers concrets encore peu utilisés
Le droit d’accès, le droit à l’effacement et le droit à la portabilité existent depuis 2018. Leur usage reste marginal chez les particuliers. Exercer son droit d’accès auprès d’un service permet de visualiser exactement quelles informations sont détenues et avec qui elles ont été partagées.
Le droit d’opposition au profilage, prévu par l’article 21 du RGPD, autorise tout utilisateur à refuser que ses données servent à construire un profil publicitaire ou comportemental. Ce droit s’exerce par simple demande écrite au responsable de traitement, qui dispose d’un mois pour répondre. En cas de non-réponse, la CNIL peut être saisie directement en ligne.
La sécurité des données et la protection de la vie privée en ligne ne se réduisent plus à une hygiène numérique de base. Le cadre réglementaire offre des outils juridiques précis, et les menaces actuelles exigent de les combiner avec des choix techniques informés sur l’hébergement, le chiffrement et la segmentation des identités numériques.
