La prompt injection : le risque que personne ne vous explique

Je n'ai pas d'histoire de catastrophe à vous raconter. C'est justement ce qui rend ce sujet difficile à faire entendre : quand tout se passe bien, on ne voit rien. Et quand ça se passe mal, on met des semaines à comprendre pourquoi.

Vous avez peut-être déjà branché un assistant sur votre boîte mail, votre agenda, un dossier partagé. Ça fonctionne, vous gagnez du temps, et je ne vais pas vous dire de revenir en arrière. Mais vous venez de faire quelque chose que personne ne vous a expliqué : vous avez autorisé un logiciel à lire des textes que vous n'avez pas écrits, et à agir à partir de ce qu'il y lit.

Qu'est-ce que la prompt injection, concrètement ?

C'est le moment où un assistant prend un contenu qu'il lit pour une consigne qu'on lui donne. Vous croyez lui avoir demandé de résumer un document ; le document, lui, contient une phrase qui lui demande autre chose. L'assistant ne distingue pas « voici le texte à traiter » de « voici ce qu'il y a à faire » : tout lui arrive sous la même forme, du texte. Il n'y a ni piratage ni mot de passe volé — juste une machine obéissante à qui quelqu'un d'autre a parlé avant vous.

Le texte piégé n'a même pas besoin d'être visible. Il peut être écrit en blanc sur blanc, en corps minuscule, ou enfoui dans les dernières lignes d'un fichier que personne ne lit jusqu'au bout.

Trois situations de cabinet parfaitement banales

• Un document reçu. Une pièce jointe arrive d'un expéditeur que vous ne connaissez pas : un devis, une relance, une candidature spontanée. Vous demandez à l'assistant de vous en faire le résumé. Il lit tout le fichier, y compris le paragraphe que vous n'avez pas vu.
• Un contenu collé sans le relire. Vous copiez une page trouvée en ligne pour poser une question dessus. Ce que vous survolez, l'assistant le lit intégralement.
• Une boîte mail branchée. Votre assistant prépare vos réponses. À partir de cet instant, n'importe qui connaissant l'adresse du cabinet peut écrire, non plus à vous, mais à lui.

La troisième est la plus inconfortable, parce qu'elle change la nature du risque : ce n'est plus un accident possible, c'est une porte ouverte.

Pourquoi c'est plus sérieux chez nous qu'ailleurs

• Les contenus qui circulent au cabinet touchent, de près ou de loin, à des données de santé. Le RGPD les classe parmi les données sensibles, avec des obligations bien plus strictes.
• Ce qui sort de chez vous porte votre nom. Un message étrange envoyé au nom du cabinet abîme d'abord une relation de confiance, avant même de poser un problème technique.
• Le responsable du traitement, c'est vous. Pas l'éditeur de l'outil. La phrase est courte, et elle est lourde.
• Une violation de données personnelles peut vous obliger à notifier la CNIL, et parfois à en informer les personnes concernées. Ce n'est alors plus un incident informatique : c'est une démarche administrative que vous devrez conduire vous-même.

Est-ce qu'un réglage peut me protéger ?

Pas complètement, et c'est le point le plus important de ce billet. Les éditeurs travaillent sérieusement sur le sujet et les protections progressent, mais tant qu'un assistant lit du texte venu de l'extérieur, la possibilité existe. Aucune case à cocher ne vous met à l'abri. La seule parade qui tient vraiment, c'est qu'aucun contenu ne quitte votre cabinet sans qu'un humain l'ait lu.

Cela se traduit par une règle simple, que j'applique chez moi sans exception : un assistant prépare, il n'envoie pas. Préparer et envoyer sont deux gestes différents, et le second reste le mien.

Les erreurs que je vois le plus souvent

• Confondre « ça a l'air juste » et « j'ai vérifié ». Un texte bien écrit inspire confiance. C'est exactement ce qui le rend dangereux.
• Ouvrir tous les accès d'un coup, parce que c'est plus pratique que d'y réfléchir. Un outil, une tâche, un périmètre : plus l'accès est large, plus la porte est grande.
• Croire qu'anonymiser, c'est retirer le nom. Une date précise, une adresse exacte, un détail rare suffisent souvent à reconnaître quelqu'un. La bonne question n'est pas « ai-je enlevé le nom ? », c'est « de quoi l'assistant a-t-il réellement besoin pour faire ce travail ? ». Le plus souvent : de beaucoup moins que ce qu'on lui donne.
• Demander à l'assistant de se relire lui-même. S'il a été manipulé, il se relira avec les yeux de celui qui l'a manipulé.
• Se dire « je n'ai rien d'intéressant à voler ». Ce n'est pas votre carnet d'adresses qui intéresse, c'est l'accès. Un cabinet est un expéditeur crédible, et un expéditeur crédible a de la valeur.

Que dois-je pouvoir montrer si on me demande des comptes ?

Quatre choses, et elles tiennent sur une page : quels outils tournent au cabinet, pour quelles tâches, avec quelles données, et qui valide avant l'envoi. Le RGPD vous demande déjà de savoir quels traitements ont lieu chez vous ; un outil d'intelligence artificielle n'y échappe pas. Le piège classique, c'est la politique de confidentialité qui décrit une pratique qui n'est pas la vôtre. Ce n'est pas l'absence de texte qui vous met en difficulté, c'est l'écart entre le texte et la réalité.

Quand y aller, quand s'abstenir

J'y vais quand trois conditions sont réunies : je lis le résultat avant qu'il serve, les données en jeu n'identifient personne, et une erreur coûterait peu. Mettre de l'ordre dans mes notes, préparer un brouillon interne, dégrossir un document administratif : oui, sans hésiter.

Je m'abstiens dès qu'un envoi partirait sans relecture, dès qu'une donnée identifiante entrerait dans la conversation, et dès que le contenu engage le cabinet vis-à-vis d'un patient ou d'un organisme. Dans ces cas-là, le temps gagné ne vaut pas le risque pris. Ce n'est pas de la prudence excessive, c'est le même réflexe que vous avez déjà pour tout ce que vous signez.

Comprendre le risque, c'est déjà la moitié du chemin ; l'autre moitié consiste à poser la limite au bon endroit dans votre organisation — quel accès, quelle validation, quelle trace — et c'est exactement ce que nous installons ensemble, sur votre cabinet, pendant la formation.