Confiance & données · 2026
Confidentialité et IA : ce que vous avez le droit de déposer
La question arrive toujours au même moment : l'outil marche, il fait gagner une demi-journée, et quelqu'un demande « mais on a le droit de mettre le dossier du client là-dedans ? ». La réponse honnête n'est ni « oui, ne t'inquiète pas » ni « surtout pas ». C'est : ça dépend de la pièce — et il existe une règle simple pour trancher pièce par pièce, en trente secondes, sans être juriste.
Le contresens de départ : la question n'est pas « est-ce que l'IA est légale »
Elle l'est. Aucun texte n'interdit à une entreprise de travaux, à un économiste ou à un maître d'œuvre d'utiliser un outil d'analyse automatique. La vraie question est en amont, et elle est bien plus ancienne que l'IA : à qui appartient la pièce que vous vous apprêtez à faire sortir de votre bureau, et qu'avez-vous promis à son sujet ?
C'est exactement la question que vous vous posez déjà — sans y penser — quand vous transférez un CCTP à un fournisseur pour obtenir un prix, quand vous déposez un plan sur un partage de fichiers, ou quand vous envoyez une DPGF par mail à un sous-traitant. Un outil en ligne n'invente pas un risque : il rend visible un risque que vous prenez déjà tous les jours, et que personne ne formalise.
D'où la façon utile de raisonner : ne cherchez pas une autorisation générale pour « l'IA ». Classez la pièce. Il n'y a que trois familles.
Famille 1 — Les pièces du marché : l'article 5 du CCAG-Travaux, et son exception
En marché public, le texte de référence est l'article 5 du CCAG-Travaux 2021 (« Confidentialité — Protection des données à caractère personnel — Mesures de sécurité »), applicable dès lors que le marché se réfère à ce CCAG. Il pose trois choses qu'il faut avoir en tête :
- L'obligation est réciproque et elle survit au marché. Elle pèse sur le titulaire comme sur l'acheteur, et elle ne s'éteint pas à la réception : une information confidentielle le reste après la fin du chantier.
- Elle vise ce qui présente un caractère confidentiel, en particulier ce qui est signalé comme tel. Ce n'est pas « tout le dossier par défaut » : c'est ce que les pièces désignent.
- Elle doit être répercutée sur les sous-traitants. C'est l'alinéa le plus souvent oublié, et c'est celui qui vous concerne le jour où vous confiez une partie du travail à un confrère, à un métreur indépendant — ou à un outil.
Et il y a une exception qui règle, à elle seule, la majorité des cas concrets : ne sont pas couvertes les informations déjà accessibles au public au moment où elles sont portées à la connaissance des parties. Or le dossier de consultation d'un appel d'offres ouvert est téléchargeable par n'importe quel candidat sur le profil d'acheteur. Le RC, le CCAP, le CCTP, la DPGF vierge d'une consultation ouverte ne sont pas des secrets : ce sont des documents publiés.
Les cas où l'exception ne joue pas, et où il faut s'arrêter : procédure restreinte ou négociée avec des pièces remises aux seuls candidats retenus ; clause de confidentialité renforcée au RC ou au CCAP ; obligation de restitution ou de destruction des pièces en fin de consultation ; marchés de sûreté, de défense, d'établissements sensibles ou de sites classés ; plans de sécurité, d'alarme ou de réseaux. Dans ces cas, la pièce ne sort pas — ni vers un outil, ni vers un partage grand public, ni dans un mail à un confrère. La clause se lit avant de décider, pas après.
Famille 2 — Vos prix et vos méthodes : le secret des affaires ne protège que ceux qui protègent
Votre bibliothèque de prix, vos sous-détails, vos ratios, la trame de votre mémoire technique : c'est votre fonds de commerce, et c'est ce que le droit appelle un secret d'affaires. Sa protection repose sur trois conditions cumulatives : l'information n'est ni connue ni aisément accessible ; elle tire une valeur commerciale de ce caractère secret ; et — c'est la condition décisive — elle fait l'objet de mesures de protection raisonnables de la part de celui qui la détient.
Cette troisième condition retourne complètement la question. On croit que le risque de déposer un bordereau de prix dans un service inconnu, c'est qu'il soit lu. Le risque réel est plus large : c'est d'avoir affaibli soi-même la démonstration qu'on protégeait ses informations, le jour où l'on doit s'en prévaloir contre un ancien salarié ou un concurrent.
Famille 3 — Tout ce qui contient un nom : là, c'est le RGPD
Dès qu'une pièce permet d'identifier une personne physique, elle change de régime : le RGPD s'applique, et l'article 5 du CCAG-Travaux le rappelle d'ailleurs expressément dans son volet consacré aux données à caractère personnel. Le réflexe utile n'est pas de s'en effrayer, c'est de savoir où le nominatif se cache dans un dossier de chantier — car il s'y cache bien plus qu'on ne croit :
- Un compte-rendu de visite : la liste de présence, les noms des conducteurs, les portables personnels en bas de page.
- Un tableau de réserves : le nom de l'entreprise responsable, souvent celui d'une personne, parfois une appréciation sur son travail.
- Un devis ou un marché de rénovation chez un particulier : nom, adresse du domicile, téléphone, parfois la situation familiale ou le mode de financement.
- Une photo de chantier sur laquelle un compagnon est reconnaissable — c'est une donnée personnelle, au même titre qu'un nom.
- Un plan de prévention, un registre, une liste d'accès : du nominatif à l'état pur.
Le principe qui commande est celui de minimisation : ne transmettre que ce qui est nécessaire à la tâche demandée. Et il tombe très bien, parce qu'il coïncide avec le bon usage de l'outil. Pour rédiger un compte-rendu, l'outil a besoin de vos constats ; il n'a besoin ni du portable du conducteur, ni du nom de famille du riverain qui s'est plaint.
Le tableau qui tranche, pièce par pièce
| La pièce | Ce qui la protège | Peut-elle être déposée ? | Le réflexe avant |
|---|---|---|---|
| DCE d'une consultation ouverte RC, CCAP, CCTP, DPGF vierge, plans | Rien : déjà public sur le profil d'acheteur | Oui | Vérifier qu'aucune clause de confidentialité renforcée ne figure au RC |
| Pièces d'une procédure restreinte remises aux seuls candidats retenus | Article 5 du CCAG-Travaux, clause du RC | À vérifier | Lire la clause ; si restitution ou destruction est prévue, ne pas déposer |
| Plans de sûreté, de réseaux, sites sensibles | Confidentialité renforcée, parfois engagement nominatif | Non | Ne sort pas du bureau, quel que soit le support |
| Votre bibliothèque de prix, vos sous-détails | Secret des affaires — sous réserve de mesures de protection raisonnables | Décision d'entreprise | Exiger par écrit la politique de conservation et de non-entraînement |
| Notes de visite, comptes-rendus, réserves | RGPD dès qu'un nom apparaît | Oui, écrémés | Retirer les coordonnées personnelles qui ne servent pas à l'analyse |
| Devis et dossiers de particuliers | RGPD — nom, adresse du domicile, téléphone | Oui, écrémés | Remplacer l'identité par « le client » avant de soumettre |
| Photos de chantier avec des personnes | RGPD — l'image est une donnée personnelle | Prudence | Cadrer sur l'ouvrage, pas sur les compagnons |
| Pièces d'un contentieux en cours | Stratégie de défense, échanges couverts | Pas sans l'avocat | Demander à celui qui défend le dossier |
L'écrémage avant dépôt : cinq gestes, deux minutes
Ce n'est pas une procédure qualité, c'est une habitude. Elle prend moins de temps que la discussion qu'elle évite.
- Regarder d'où vient la pièce. Téléchargée sur un profil d'acheteur en procédure ouverte ? Elle est publique. Reçue en main propre, par un lien nominatif, ou marquée « confidentiel » ? Elle ne l'est pas.
- Chercher deux mots dans le RC et le CCAP : « confidentiel » et « restitution ». Trois secondes, et c'est le seul contrôle qui compte vraiment.
- Enlever les personnes qui ne servent pas. Un nom, un portable, une adresse de domicile n'améliorent aucune analyse : ils ne font qu'élargir ce que vous transmettez.
- Ne déposer que ce qui répond à la question posée. Pour vérifier une cohérence entre CCTP et DPGF, il faut le CCTP et la DPGF — pas l'intégralité du ZIP avec l'étude de sol et le rapport amiante.
- Écrire la règle une fois, pour tout le monde. Une note d'une page qui dit ce qu'on dépose et ce qu'on ne dépose pas est, en elle-même, l'une des « mesures de protection raisonnables » que le secret des affaires exige. Elle vous protège deux fois : dans les faits, et dans la démonstration.
Les six questions à poser à n'importe quel outil
Elles valent pour un assistant d'IA généraliste comme pour un outil métier, et elles se vérifient sur le site de l'éditeur. Un éditeur qui n'y répond nulle part répond déjà quelque chose.
| La question | Pourquoi elle compte |
|---|---|
| Qu'est-ce qui sort de ma machine ? | Le fichier entier, ou seulement le texte nécessaire à l'analyse ? Ce n'est pas la même exposition. |
| Qu'est-ce qui est conservé côté serveur, et combien de temps ? | Ce qui n'est pas stocké ne peut pas être dérobé plus tard. Une durée de conservation floue est une réponse en soi. |
| Qui sont les sous-traitants techniques, et que reçoit chacun ? | Les nommer est une obligation du RGPD ; dire ce que chacun voit réellement est ce qui la rend utile. |
| Mes contenus servent-ils à entraîner un modèle ? | C'est la question qui décide si vos prix peuvent, un jour, ressortir ailleurs. |
| Y a-t-il des mentions légales avec un éditeur identifiable ? | Un service sans identité d'éditeur ne peut rien vous garantir d'opposable. |
| Puis-je effacer ce que j'ai déposé ? | Et le vérifier soi-même, pas seulement le lire dans une page. |
Ce que ce guide ne dit pas
Il ne remplace pas la lecture de votre marché, et il n'est pas une consultation juridique. Les clauses de confidentialité varient d'un maître d'ouvrage à l'autre, et un CCAP peut toujours durcir ce que le CCAG prévoit — c'est le principe même de la hiérarchie des pièces contractuelles : la pièce particulière l'emporte sur la pièce générale. En cas de doute sur un dossier précis, la bonne personne à qui poser la question est le maître d'ouvrage lui-même : la demande est banale, et la réponse est écrite.
Voir ce que ça donne sur un dossier public
Prenez un DCE d'une consultation ouverte — celui sur lequel vous hésitez cette semaine — et regardez ce que le premier passage fait ressortir : inventaire des pièces, incohérences entre CCTP et DPGF, points contractuels à vérifier. Rien n'est conservé côté serveur. Première analyse offerte, sans carte bancaire.
Analyser mon dossier →Questions fréquentes
Ai-je le droit de déposer un DCE dans un outil d'IA en ligne ?
Le plus souvent oui. Un DCE de consultation ouverte est déjà public : l'article 5 du CCAG-Travaux 2021 exclut de l'obligation de discrétion ce qui était accessible au public au moment de sa communication. Restent trois vérifications : aucune clause de confidentialité renforcée au RC, un éditeur dont vous connaissez la politique de conservation, et la même exigence répercutée sur vos sous-traitants — ce que l'article 5 impose explicitement.
Et si le règlement de la consultation interdit la diffusion des pièces ?
Alors la pièce ne sort pas, et pas seulement de l'outil : ni mail à un confrère, ni partage de fichiers grand public. Les cas typiques sont les procédures restreintes ou négociées, les marchés de sûreté ou de défense, les sites sensibles, et tout marché prévoyant restitution ou destruction des pièces. Le contrôle tient en deux mots à chercher dans le RC et le CCAP : « confidentiel » et « restitution ».
Le RGPD s'applique-t-il à un dossier de chantier ?
Dès qu'une personne physique est identifiable : liste de présence, portable d'un conducteur, adresse d'un particulier, photo où un compagnon est reconnaissable. Un CCTP seul n'en contient généralement pas ; un compte-rendu de visite en contient presque toujours. Ce n'est pas un interdit mais une obligation de minimisation : ne transmettre que ce que la tâche demande.
Mes prix sont-ils protégés si je les dépose quelque part ?
Le secret des affaires suppose trois conditions cumulatives, et la troisième est celle qu'on oublie : l'information doit faire l'objet de mesures de protection raisonnables de la part de son détenteur. Déposer un bordereau complet dans un service dont vous ignorez la politique de conservation n'expose pas seulement les prix : cela affaiblit la démonstration que vous les protégiez, le jour où vous devez vous en prévaloir.
Que faut-il vérifier avant d'utiliser un outil ?
Six points, dix minutes : ce qui sort de votre machine, ce qui est conservé côté serveur et pour combien de temps, qui sont les sous-traitants techniques et ce que chacun reçoit, si vos contenus entraînent un modèle, s'il existe des mentions légales avec un éditeur identifiable, et si l'on peut effacer ce qui a été déposé. Un éditeur qui répond par écrit vous donne de quoi justifier votre choix devant un maître d'ouvrage.
Pour aller plus loin : où va le dossier que vous déposez sur BatiAssist · les pièces d'un marché public et leur hiérarchie · analyser un DCE en ZIP · compte-rendu de chantier.
Économiste ou bureau d'études ? La page métier, et la section sur ce qui ne sort pas de chez vous. Artisan ou patron de PME ? La page qui vous est consacrée. Un doute sur une clause précise de votre marché ? L'accompagnement BatiAssist — un conducteur de travaux en activité, pas seulement un logiciel.