Fuite de données IA : pourquoi le secteur RH est le plus exposé

Quand l'intelligence artificielle devient un risque pour les ressources humaines

Un CV collé dans ChatGPT pour en améliorer la rédaction. Un tableau de salaires glissé dans un chatbot pour en extraire une synthèse. Une évaluation de performance reformulée avec l'aide d'un outil d'IA générative grand public. Ces gestes, devenus banals dans de nombreuses équipes ressources humaines, semblent anodins. Ils ne le sont pas.

Derrière chaque interaction avec une intelligence artificielle publique, une question se pose avec une acuité croissante : où vont ces données ? Qui peut y accéder ? Et surtout, sont-elles réellement protégées une fois transmises à un modèle tiers ? Pour le secteur des ressources humaines, ces interrogations prennent une dimension particulièrement critique. Les RH concentrent, par nature, certaines des données les plus sensibles qu'une organisation puisse posséder : numéros de sécurité sociale, informations médicales, données salariales, évaluations de performance, correspondances confidentielles avec les salariés.

Le paradoxe est saisissant. L'IA est adoptée massivement pour gagner en efficacité — trier des candidatures, automatiser les contrats, analyser les performances — mais cette adoption se fait souvent sans les garde-fous nécessaires. Le résultat est une exposition inédite à des fuites de données, qu'elles soient involontaires, techniques ou orchestrées. Selon une analyse publiée sur le blog Onyri Sanitize, les fonctions RH figurent parmi les premières exposées dans les entreprises qui déploient des outils d'IA générative sans politique de gouvernance des données clairement définie.

Ce n'est plus une menace théorique. C'est une réalité documentée, à laquelle le secteur RH doit répondre maintenant.

---

Pourquoi les RH concentrent un niveau de risque hors norme

Il existe dans chaque organisation une hiérarchie implicite des données sensibles. Au sommet de cette pyramide, les données RH occupent une position de choix — et donc de vulnérabilité.

Pensez-y comme à un coffre-fort qui contiendrait à la fois les clés d'entrée d'une maison, les relevés bancaires de ses habitants et leurs dossiers médicaux. Ce coffre, c'est le système d'information RH. Et depuis quelques années, on y a installé des assistants intelligents sans nécessairement changer les serrures.

Un volume de données personnelles sans équivalent

Les services ressources humaines traitent en permanence un flux massif d'informations personnelles. Dossiers de recrutement, bulletins de paie, contrats de travail, correspondances disciplinaires, données de santé liées aux arrêts maladie ou aux aménagements de poste : la liste est longue. La CNIL rappelle explicitement que les services RH constituent un périmètre critique en matière de protection des données personnelles, notamment parce qu'ils traitent régulièrement des données dites "sensibles" au sens du RGPD — celles qui appellent une protection renforcée et des garanties spécifiques.

Ce volume est à la fois une nécessité fonctionnelle et un facteur de risque. Plus les données sont nombreuses et diversifiées, plus la surface d'attaque potentielle est étendue.

L'IA générative : un accélérateur d'exposition involontaire

L'arrivée des outils d'IA générative dans les pratiques RH a transformé le paysage du risque. Ces outils sont puissants, rapides, accessibles — et souvent utilisés sans que les équipes aient pleinement conscience des implications en matière de confidentialité.

Le scénario le plus courant n'est pas celui d'une cyberattaque sophistiquée. C'est celui d'un collaborateur qui, dans une intention parfaitement légitime, copie un document contenant des données personnelles dans un chatbot public pour gagner du temps. D'après les recherches publiées par Onyri Sanitize, ce type de comportement — appelé exfiltration involontaire — représente l'un des principaux vecteurs de fuite de données dans les organisations qui utilisent l'IA sans encadrement formalisé.

La problématique est d'autant plus complexe que certains modèles d'IA peuvent, selon leurs conditions d'utilisation, intégrer les données soumises à leurs entraînements futurs. Une donnée personnelle partagée avec un outil tiers peut donc potentiellement ressurgir dans une réponse générée pour un autre utilisateur. Le risque n'est pas hypothétique : il est structurel.

Les sous-traitants, un angle mort souvent négligé

Au-delà des usages internes, une analyse des risques de cybersécurité propres aux services RH met en lumière une vulnérabilité souvent sous-estimée : les prestataires et sous-traitants. Cabinets de recrutement, éditeurs de logiciels SIRH, plateformes d'évaluation des talents, outils de gestion de la paie externalisée — autant d'intermédiaires qui accèdent à des données RH sensibles et dont les pratiques de sécurité sont rarement auditées avec rigueur.

Un prestataire mal configuré, un accès non révoqué après fin de contrat, une API sans authentification renforcée : ces failles techniques sont autant de portes d'entrée pour une fuite de données. Et dans ce scénario, la responsabilité juridique reste largement portée par l'employeur.

---

Les vecteurs de fuite spécifiques au secteur RH à l'ère de l'IA

Comprendre les mécanismes de fuite, c'est déjà commencer à s'en protéger. Dans le secteur RH, ces vecteurs sont à la fois techniques et comportementaux — ce qui les rend d'autant plus difficiles à contrôler.

Le copier-coller : la fuite la plus banale et la plus dangereuse

C'est le geste le plus anodin et probablement le plus répandu. Un responsable RH qui copie un compte-rendu d'entretien disciplinaire dans Claude ou GPT-4 pour en améliorer la rédaction. Un chargé de recrutement qui soumet un CV avec toutes ses informations personnelles à un outil de scoring automatisé non certifié. Une gestionnaire de paie qui utilise un chatbot pour calculer des indemnités à partir d'un tableau de données nominatives.

Chaque fois, des données personnelles quittent le périmètre sécurisé de l'organisation et entrent dans un environnement tiers dont les garanties de confidentialité varient considérablement d'un outil à l'autre. Les recommandations publiées par Onyri Sanitize insistent sur la nécessité d'un filtrage et d'une anonymisation systématiques avant toute interaction avec un outil d'IA externe — un réflexe qui s'acquiert par la formation mais qui suppose aussi des outils techniques adaptés.

Les faux CV et l'ingénierie sociale augmentée par l'IA

Le risque ne vient pas uniquement de l'intérieur. Les Echos rapportent que les services RH sont de plus en plus ciblés par des attaques externes exploitant précisément les outils d'IA. Les cybercriminels génèrent des CV frauduleux ultra-réalistes, envoient des courriels piégés parfaitement rédigés en se faisant passer pour des candidats ou des prestataires, et exploitent les portails de candidature pour introduire des fichiers malveillants dans les systèmes d'information de l'entreprise.

L'IA générative a considérablement abaissé le niveau de compétence technique nécessaire pour mener ce type d'attaques. Un courriel d'hameçonnage mal rédigé se détectait facilement. Un message parfaitement contextualisé, rédigé dans un français impeccable, faisant référence à un poste réellement ouvert et à des interlocuteurs réels — c'est une tout autre affaire.

Les mauvaises configurations : quand la technique trahit l'intention

La troisième catégorie de vecteurs est purement technique. Les plateformes RH et les logiciels SIRH intègrent désormais des fonctionnalités d'IA natives — analyse prédictive des départs, scoring de candidatures, chatbots RH internes. Ces intégrations sont parfois déployées sans que les équipes techniques aient pleinement sécurisé les flux de données.

Un modèle d'IA mal configuré peut, par exemple, stocker des données personnelles dans des logs accessibles à des administrateurs non habilités, ou transmettre des informations à des serveurs situés hors de l'Union européenne sans les garanties contractuelles requises par le RGPD. La CNIL le précise clairement : lorsque des outils algorithmiques ou d'IA sont utilisés dans la gestion du personnel, des analyses d'impact sur la vie privée (AIPD) sont souvent obligatoires et les exigences de conformité s'appliquent avec la même rigueur que pour tout autre traitement de données sensibles.

---

Bonnes pratiques : comment les équipes RH peuvent reprendre le contrôle

Le constat est sérieux. Mais il n'est pas une fatalité. Des mesures concrètes existent, certaines immédiatement déployables, d'autres nécessitant un investissement plus structuré. L'enjeu est de trouver l'équilibre entre l'efficacité opérationnelle qu'offre l'IA et la protection irréductible des données personnelles.

L'anonymisation avant tout

Le principe est simple, même s'il demande de la rigueur : avant de soumettre un document à un outil d'IA, toutes les données permettant d'identifier une personne doivent être supprimées ou remplacées par des pseudonymes. Nom, prénom, numéro de sécurité sociale, adresse, date de naissance, identifiant employé — rien de tout cela ne devrait transiter vers un outil tiers sous sa forme brute.

L'analyse publiée sur le sujet par Onyri Sanitize recommande d'aller plus loin avec des solutions de proxy d'IA — des intermédiaires techniques qui filtrent automatiquement les données sensibles avant qu'elles n'atteignent le modèle de langage. Cette approche permet de conserver les bénéfices de l'IA sans exposer les données personnelles au modèle tiers.

Une charte d'utilisation de l'IA, spécifique aux RH

La plupart des chartes informatiques existantes n'ont pas été pensées pour l'ère de l'IA générative. Elles méritent d'être mises à jour — et le secteur RH mérite une attention particulière dans ce cadre.

Une charte efficace doit au minimum préciser : quels outils d'IA sont autorisés, pour quels usages, avec quelles données, et selon quelles procédures de contrôle. Elle doit être accompagnée de formations régulières, car la menace évolue vite. Un collaborateur formé il y a deux ans aux bonnes pratiques numériques n'a pas nécessairement été sensibilisé aux risques spécifiques liés à l'IA générative.

Privilégier les outils d'IA conformes et certifiés

Toutes les solutions d'IA ne se valent pas en matière de protection des données. Certains éditeurs proposent des garanties contractuelles renforcées — traitement des données exclusivement sur des serveurs européens, absence d'utilisation des données pour l'entraînement des modèles, certifications de sécurité indépendantes. Ces critères doivent devenir des prérequis non négociables dans les appels d'offres et les processus de sélection des outils RH.

Les risques spécifiques liés aux outils d'IA dans les RH soulignent que le choix d'un outil d'IA pour les fonctions RH ne peut se réduire à une comparaison de fonctionnalités. La conformité RGPD, la localisation des données, les mécanismes de chiffrement et les modalités d'accès aux données sont des critères tout aussi déterminants.

Encadrer les sous-traitants avec la même exigence

La CNIL insiste sur la nécessité d'encadrer contractuellement les sous-traitants qui accèdent à des données RH. Dans la pratique, cela signifie des clauses de protection des données détaillées dans chaque contrat, des audits réguliers, et une procédure de révocation des accès systématique à la fin de chaque collaboration.

Ce point est crucial : une fuite de données causée par un prestataire engage la responsabilité du responsable de traitement — c'est-à-dire l'employeur. La vigilance ne s'arrête pas aux frontières de l'organisation.

---

Ce que les RH doivent retenir pour naviguer dans l'ère de l'IA sans se perdre

Le secteur des ressources humaines n'est pas condamné à choisir entre efficacité et sécurité. L'IA peut et doit être un levier de performance pour les équipes RH — à condition d'être déployée avec méthode, rigueur et une conscience claire des risques qu'elle introduit.

La première erreur serait de croire que le problème est purement technique et qu'il appartient aux équipes informatiques de le résoudre seules. La réalité est que la majorité des fuites de données liées à l'IA dans les RH trouvent leur origine dans des comportements humains — des gestes quotidiens, bien intentionnés, mais mal encadrés. La formation, la sensibilisation et la culture interne sont donc aussi importantes que les solutions techniques.

La deuxième erreur serait l'immobilisme. Ne pas utiliser l'IA pour éviter les risques est une stratégie perdante à terme. Les organisations qui refusent d'intégrer ces outils se retrouveront en retard sur leurs concurrents, sans pour autant être à l'abri — car les risques de cybersécurité, eux, n'attendent pas.

La voie raisonnable est celle du déploiement maîtrisé : identifier les usages RH à fort potentiel, sélectionner des outils conformes et certifiés, former les équipes, anonymiser les données avant tout usage avec un outil tiers, et auditer régulièrement les pratiques. L'ensemble de ces recommandations, détaillées dans l'analyse sectorielle d'Onyri Sanitize, dessine une feuille de route accessible à des organisations de toutes tailles.

Le secteur RH est en première ligne face aux fuites de données à l'ère de l'IA. Ce n'est pas une raison de reculer. C'est une raison d'avancer avec plus d'intelligence.