Page mise à jour le
La réponse courte
Est un secret des affaires, au sens de l'article L.151-1 du code de commerce, une information qui n'est pas généralement connue ni aisément accessible, qui a une valeur commerciale du fait de son secret, et dont le détenteur légitime a pris des mesures de protection raisonnables. Ce régime transpose la directive (UE) 2016/943. Coller une grille tarifaire, un fichier clients, un procédé, un projet de réponse à un appel d'offres dans un assistant dont les conditions autorisent la réutilisation, ce n'est pas une mesure raisonnable : c'est, au contraire, une divulgation à un tiers. La protection peut tomber, et le tiers n'est pas forcément de mauvaise foi. Le RGPD, l'article 28 et le contrat d'IA traitent d'autres faces du même geste.
Les trois critères, et celui que les PME ratent
Le secret n'a pas besoin d'être « technique » : un fichier de marges, une liste de prospects, un script d'entretien, un calendrier de lancement, peuvent l'être. Le premier critère (pas généralement connu) et le deuxième (valeur commerciale du secret) sont souvent réunis sans qu'on y pense. Le troisième — mesures de protection raisonnables — est celui qui se discute le jour du litige. Un accord de confidentialité avec les salariés, des accès nominatifs, un classement, un contrat avec le prestataire, en sont. Un outil grand public, compte personnel, option d'entraînement activée, n'en est pas. La jurisprudence n'exige pas un coffre-fort. Elle exige que l'on n'ait pas soi-même traité l'information comme banale. L'IA n'a pas changé L.151-1. Elle a multiplié les endroits où l'information sort en une seconde.
Obtention, utilisation, divulgation illicites
L'article L.151-4 et suivants qualifient d'illicites l'accès non autorisé, l'appropriation, la copie, et l'utilisation ou la divulgation sans consentement, y compris lorsque la personne savait ou aurait dû savoir que l'information provenait d'une obtention illicite. Un salarié qui exporte la base vers un outil personnel, un prestataire qui réentraîne un modèle sur vos dossiers malgré le contrat, un concurrent qui moissonne un espace non public, peuvent entrer dans ce régime. Les actions (interdiction, dommages-intérêts, rappel de produits dans certains cas) sont au L.152-1 et suivants. Elles n'empêchent pas le fait : une information collée dans un modèle peut ne plus pouvoir être retirée. Le contentieux répare mal. La prévention, ici, est la seule stratégie : ce qui ne doit pas sortir ne sort pas, et ce qui sort va dans un outil dont le contrat l'interdit.
Ce que « mesures raisonnables » peut vouloir dire avec un outil d'IA
Une politique d'usage : quelles catégories d'information ont le droit d'aller dans quel outil. Un outil professionnel, avec DPA, opt-out d'entraînement, hébergement nommé. Des comptes d'entreprise, pas des comptes personnels. Une journalisation des envois vers l'extérieur, même sommaire. Un accord de confidentialité qui mentionne les outils d'IA, pour les salariés et les prestataires. Rien de tout cela n'est une liste légale. C'est le genre de traces qui, le jour où l'on vous oppose que vous n'avez rien protégé, permettent de répondre. L'article 4 de l'AI Act (favoriser la maîtrise) recoupe ce sujet sans le remplacer : des gens qui savent ce qu'ils n'ont pas le droit de coller, c'est déjà une mesure. Des gens qui ne le savent pas, c'est un trou.
Secret des affaires, données personnelles, droit d'auteur : trois régimes
Un même document peut être les trois. Un CV est une donnée personnelle, parfois un secret (votre vivier), rarement une oeuvre que vous détenez. Un devis est souvent un secret, parfois une oeuvre, rarement une donnée de santé. Un modèle de contrat interne est un secret et peut être une oeuvre. Les trois régimes ne se substituent pas. Perdre le secret (divulgation) n'efface pas le RGPD (vous restez responsable du traitement). Avoir un droit d'auteur n'interdit pas à un salarié de copier le fichier dans un outil, ça donne une autre action. Pour une PME, la grille pratique est plus simple que le droit : ce qui ne doit pas entraîner un modèle tiers, ce qui ne doit pas quitter l'entreprise, ce qui peut partir sous contrat. Cette grille se décide une fois, par écrit, et se tient.
À vérifier chez vous
Ce que vous pouvez contrôler vous-même
Des points vérifiables sans expertise juridique. Si l'un d'eux coince, c'est celui-là qu'il faut apporter à votre conseil.
- Lister ce qui, chez vous, a une valeur parce que ce n'est pas public.
- Interdire, par une règle écrite, de coller ces éléments dans un outil grand public.
- Réserver un outil professionnel, DPA, sans entraînement, pour le reste autorisé.
- Faire signer (salariés, prestataires) une confidentialité qui vise les outils d'IA.
- Vérifier que le contrat du fournisseur n'autorise pas la réutilisation « pour améliorer le service ».
Sources
Chaque affirmation de cette page renvoie au texte qui fait foi. En cas d'écart entre cette page et la source, c'est la source qui a raison.
- Légifrance — code de commerce article L.151-1 (secret des affaires) (nouvel onglet)
Trois critères cumulatifs : information non généralement connue, valeur commerciale du secret, mesures de protection raisonnables.
- EUR-Lex — directive (UE) 2016/943 sur le secret des affaires (nouvel onglet)
Directive transposée en droit français aux articles L.151-1 et suivants du code de commerce.
- Légifrance — code de commerce L.151-4 à L.151-6 (obtention et divulgation illicites) (nouvel onglet)
Qualifications d'illicéité : accès non autorisé, utilisation ou divulgation sans consentement.
- EUR-Lex — règlement (UE) 2016/679 (RGPD) (nouvel onglet)
Articles 5, 6 (base légale), 9, 13-14, 22, 24, 28 (sous-traitant), 32, 35 (AIPD), chapitre V (transferts).
- EUR-Lex — règlement (UE) 2024/1689 consolidé (CELEX 02024R1689-20260727) (nouvel onglet)
Seul texte de l'AI Act à citer depuis le 27 juillet 2026. Article 113 (calendrier), articles 4, 5, 6, 25, 26, 27, 50, 99, annexes I et III.
Vos questions
Un prompt est-il un secret des affaires ?
Le prompt en lui-même, s'il n'est qu'une consigne banale, non. Le prompt qui contient un tarif, un nom de client, un procédé, une stratégie, transporte le secret. C'est le contenu, pas l'enveloppe. Certaines entreprises considèrent aussi comme secret leur bibliothèque de prompts métier, parce qu'elle capitalise un savoir-faire. Dans ce cas, la stocker uniquement chez le fournisseur, sans copie chez vous, est une mauvaise mesure de protection : le jour où vous partez, le savoir-faire part avec le compte. Le secret et la réversibilité se rejoignent ici.
Si le fournisseur est sous-traitant RGPD, mon secret est-il protégé ?
Pas automatiquement. L'article 28 impose la confidentialité des personnes autorisées à traiter les données personnelles. Le secret des affaires vise aussi des informations qui ne sont pas des données personnelles (un procédé, une marge). Un DPA mal rédigé peut rester muet sur ce second objet. Il faut une clause de confidentialité qui couvre les informations non personnelles, une interdiction d'entraîner, et des mesures techniques (pas de logs de prompts en clair côté fournisseur, ou une rétention courte). Le RGPD est nécessaire, il n'est pas suffisant pour L.151-1.
Un salarié qui colle un secret dans ChatGPT engage-t-il l'entreprise ?
Sur le terrain du secret, l'entreprise peut avoir affaibli sa propre protection en n'ayant pas pris de mesures raisonnables — politique d'usage, outils fournis, contrôle. Sur le terrain du RGPD, l'employeur responsable de traitement répond du traitement, y compris de celui qu'un salarié a fait « avec les moyens de l'entreprise » ou, plus délicat, avec son compte personnel sur un dossier professionnel. Sur le terrain disciplinaire, le règlement intérieur et le contrat de travail peuvent fonder une sanction. Les trois discussions sont distinctes. La plus urgente n'est pas la sanction : c'est d'arrêter le geste, et de savoir ce qui est sorti.
Une idée en tête ?
Réservez un rendez-vous ou écrivez-nous — réponse sous 24 h.