Un phénomène désormais massif est apparu dans la vie numérique de millions d’internautes : l’utilisation quotidienne d’outils d’intelligence artificielle tels qu’OpenAI et son agent conversationnel. Ces outils servent à obtenir des conseils médicaux, analyser des situations personnelles, produire des documents professionnels ou interpréter des résultats complexes — mais cette utilisation s’accompagne d’un niveau extrêmement faible de vigilance sur les données saisies.
De cet usage massif découle une dérive préoccupante : l’insertion de données de santé non anonymisées. En pratique, de nombreux utilisateurs saisissent directement des résultats d’analyses médicales, des diagnostics, des ordonnances, des comptes rendus hospitaliers, voire des informations identifiantes complètes (nom, date de naissance). Ces données relèvent pourtant des données sensibles au sens du RGPD et sont souvent transmises sans aucune anonymisation, exposant les personnes à des risques d’atteinte à la vie privée, d’exploitation secondaire et de perte de contrôle.
Une réalité technique souvent ignorée : la destination des données. Contrairement à une perception répandue, les données saisies ne restent pas sur l’ordinateur de l’utilisateur : elles sont transmises aux serveurs de l’éditeur. Selon les conditions d’utilisation, elles peuvent être stockées temporairement ou durablement, analysées, et parfois utilisées pour améliorer les modèles. Des données médicales extrêmement sensibles peuvent ainsi être intégrées dans des systèmes d’apprentissage algorithmique.
En Europe, ces pratiques entrent en tension directe avec le RGPD et les autorités de contrôle (notamment la CNIL), qui posent des principes stricts : minimisation des données, limitation des finalités, encadrement renforcé des données de santé, et encadrement des transferts hors UE (clauses contractuelles types, décisions d’adéquation). Or l’usage d’IA grand public échappe souvent à ces cadres et repose sur une initiative individuelle non maîtrisée, entraînant des transferts potentiels hors Union européenne.
Enfin, les données saisies peuvent faire l’objet d’analyses automatisées, de corrélations avec d’autres sources et, potentiellement, de signalements aux autorités. L’usage de l’IA ne relève alors plus uniquement du traitement de données : il peut s’inscrire dans des logiques de surveillance et de détection comportementale.