La plupart des chiffres cités pour affirmer que « l’IA pose un problème de fuite de données » remontent à une poignée d’études, répétées si souvent que la méthodologie d’origine finit par se perdre en route. La plus citée est l’analyse de Cyberhaven Labs portant sur la télémétrie de 1,6 million de salariés, recueillie auprès d’entreprises utilisant le produit de Cyberhaven entre fin 2022 et environ mi-2023, avec des mises à jour ultérieures. Il vaut la peine de lire les vrais chiffres plutôt que leur version en gros titre, parce qu’ils sont plus précis — et plus intéressants — que « tout le monde fait fuiter des données dans ChatGPT ».
Les chiffres, tels que publiés
- 4,7 % des salariés ont déjà collé au moins une fois des données confidentielles de l’entreprise dans ChatGPT.
- De tout ce que les salariés collent dans ChatGPT, 11 % est classé comme sensible ou confidentiel — le code source et les données clients figurent parmi les principales catégories.
- Le comportement est concentré : 0,9 % des salariés sont à l’origine de 80 % de ces collages.
Lus ensemble, ces trois chiffres racontent une histoire plus précise que « 4,7 %, c’est effrayant » ou « 4,7 %, ce n’est rien ». Un pourcentage à un chiffre de l’ensemble des salariés reste un grand nombre en valeur absolue une fois multiplié par le nombre de personnes qui utilisent ChatGPT ou Claude au travail chaque semaine — mais ce n’est pas tout le monde qui le fait régulièrement. C’est un groupe plus restreint, qui le fait de manière répétée, et ce groupe est responsable de façon disproportionnée du volume de données sensibles qui transite par ces outils.
Qui sont probablement ces 0,9 %
Le chiffre de concentration est celui qui mérite qu’on s’y arrête. Il ne désigne pas tant une minorité négligente qu’une minorité de gros utilisateurs — ceux qui ont intégré les outils d’IA assez profondément dans leur quotidien pour y coller en permanence : déboguer, rédiger, résumer, demander un deuxième avis sur un fichier de config. Cette description correspond à beaucoup de développeurs en activité, pas à quelqu’un qui ferait quelque chose d’inhabituel. Si vous collez dans un outil d’IA plusieurs fois par jour, le taux de base indique que vous avez plus de chances de faire partie de ces 0,9 % que le salarié médian — c’est bon à savoir, non comme une accusation, mais comme une façon plus juste de penser à qui cela décrit vraiment.
Un chiffre dont il faut se méfier
Un autre chiffre, plus bruyant, circule à côté de ceux de Cyberhaven : l’affirmation selon laquelle « 77 % des salariés font fuiter des données » dans les outils d’IA, généralement attribuée à un rapport de LayerX Security via un article d’eSecurity Planet. Ce titre ne correspond pas aux chiffres sous-jacents tels qu’ils ont été publiés — environ 18 % des salariés en entreprise collent des données dans des outils d’IA générative, et plus de la moitié de ces collages contiennent des informations d’entreprise. Passer de « 18 % collent, et plus de la moitié contient des infos d’entreprise » à « 77 % font fuiter des données » est un raccourci que l’article publié n’explique pas clairement, et il ne précise ni la taille de l’échantillon ni la méthodologie complète.
Nous préférons citer le chiffre que nous pouvons réellement défendre plutôt que le plus effrayant. Les chiffres de Cyberhaven s’accompagnent d’une méthodologie décrite et d’une affirmation précise et vérifiable ; le chiffre de 77 %, pour autant que nous puissions le vérifier, ne résiste pas au même examen. Si vous le voyez cité ailleurs, demandez-vous d’où il vient réellement avant de le reprendre.
Ce que cela signifie au quotidien
La lecture honnête de cette étude est plus nuancée que « personne n’a à s’en inquiéter » ou « tout le monde est à un collage d’une fuite ». Elle ressemble plutôt à ceci : c’est un comportement réel, mesuré, faible mais non nul, concentré chez les personnes qui utilisent le plus les outils d’IA — ce qui, si vous lisez un article comme celui-ci, vous inclut probablement. C’est une raison de prendre une habitude au moment du collage, pas une raison de paniquer à propos de chaque conversation avec une IA que vous avez eue.
Ce que l’étude ne tranche pas, et nous reconnaissons que c’est encore une question ouverte, c’est si les développeurs choisiraient un outil personnel et local pour cela plutôt que ce que leur employeur fournit déjà via une solution de prévention des pertes de données d’entreprise — c’est une vraie hypothèse derrière la création de PasteCloak, et nous la validons plutôt que de la tenir pour acquise. L’étude nous dit que le comportement est réel et documenté à plusieurs reprises par plus d’une étude indépendante. Elle ne nous dit pas encore comment les gens veulent le résoudre.
