Secret des affaires et IA : ce que vous risquez de perdre
Une information ne devient un secret des affaires que si vous l'avez protégée. Laisser vos équipes coller n'importe quoi dans un outil d'IA peut vous faire perdre cette protection — avant même qu'un concurrent s'en serve.
À jour au 20 septembre 2026 — Secret des affaires & PME
Le secret des affaires n'est pas un statut automatique. L'article L. 151-1 du code de commerce pose trois conditions cumulatives : l'information n'est pas « généralement connue ou aisément accessible » pour les gens du métier, elle a « une valeur commerciale, effective ou potentielle, du fait de son caractère secret », et elle « fait l'objet de la part de son détenteur légitime de mesures de protection raisonnables ». Si la troisième condition tombe, la protection tombe avec elle.
Check-list gratuite. Faites le point en 15 minutes sur les 10 points AI Act et RGPD à vérifier dans votre PME. Ouvrir la check-list →
Ce que protège — et ne protège pas — le secret des affaires
La loi n° 2018-670 du 30 juillet 2018, qui transpose la directive (UE) 2016/943, a introduit ce régime aux articles L. 151-1 et suivants du code de commerce. Il ne s'agit pas d'un titre déposé comme un brevet ou une marque : aucune formalité, aucun registre. C'est une protection de fait, que l'entreprise doit être capable de démontrer le jour où elle agit contre quelqu'un.
Ce régime couvre ce qui fait la valeur d'une PME sans être public : fichier clients et conditions commerciales, grille tarifaire et marges, méthodes de production, code source non publié, plans de développement, résultats d'essais, contenu d'un appel d'offres en préparation.
Attention à ne pas confondre avec le secret professionnel, qui est une obligation pénalement sanctionnée pesant sur certaines professions (avocat, expert-comptable, professionnel de santé). Le secret des affaires, lui, protège la valeur économique d'une information, et sa sanction est civile.
Le document est gratuit. Vous n’avez pas à le rédiger. Le modèle de politique d’usage de l’IA reprend les neuf clauses d’une politique d’usage, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Essayer le modèle — remplir et voir le document →
ou recevoir le modèle complet, gratuitement
Gratuit. Une adresse email suffit pour le recevoir.
Le point faible : les « mesures de protection raisonnables »
C'est la troisième condition de l'article L. 151-1 qui pose problème en pratique. Devant un tribunal, l'entreprise doit montrer ce qu'elle a concrètement mis en place : clauses de confidentialité, restriction des accès, marquage des documents sensibles, procédures internes écrites. Une information que tout le monde peut consulter, copier et diffuser librement à l'intérieur de l'entreprise a du mal à être présentée ensuite comme un secret.
L'usage non encadré d'un outil d'IA généraliste s'inscrit exactement dans cette faille. Si un salarié peut copier une grille tarifaire ou un contrat en préparation dans un service en ligne dont l'entreprise n'a pas lu les conditions, il devient difficile de soutenir que cette information faisait l'objet de mesures de protection raisonnables.
Ce que deviennent vos informations dans l'outil
Tout dépend de l'offre utilisée. Une offre professionnelle encadrée par un contrat, qui écarte la réutilisation des contenus, ne pose pas le même problème qu'un compte grand public dont les conditions réservent au fournisseur la possibilité de réutiliser les saisies. C'est précisément ce que nous avons détaillé dans Vos données servent-elles à entraîner l'IA ?
Le point juridique à retenir est indirect mais décisif : ce n'est pas seulement le risque que le fournisseur exploite vos données. C'est le fait que l'absence de règle interne fragilise votre propre capacité à qualifier ces informations de secret des affaires, et donc à agir plus tard.
Si la fuite vient d'un salarié
Les articles L. 151-4 à L. 151-6 du code de commerce définissent l'obtention, l'utilisation et la divulgation illicites d'un secret des affaires. Encore faut-il que l'information réponde aux trois conditions de l'article L. 151-1 : sans mesures de protection démontrables, l'action est fragile dès le départ, quel que soit le comportement de la personne en cause.
Une règle d'usage écrite et diffusée sert donc deux objectifs à la fois : elle répond à l'obligation de maîtrise de l'IA de l'article 4 de l'AI Act, et elle constitue l'une des mesures de protection que le code de commerce exige pour le secret des affaires.
Ce qu'une PME peut mettre en place, concrètement
Lister les informations qui font réellement la valeur de l'entreprise, et celles qui ne doivent jamais sortir : tarifs, marges, fichier clients, méthodes, développements en cours.
Écrire noir sur blanc quels outils d'IA sont autorisés, et pour quels types de contenus — avec une liste explicite de ce qu'on ne saisit jamais.
Vérifier, pour chaque outil autorisé, ce que son contrat dit de la confidentialité et de la réutilisation des saisies.
Dater et diffuser cette règle auprès des équipes, et conserver la preuve de cette diffusion.
Marquer comme confidentiels les documents sensibles, et limiter leur accès aux personnes qui en ont besoin.
Aucune de ces mesures n'est coûteuse. Leur absence, en revanche, se paie au moment précis où l'entreprise voudrait se défendre.
Le modèle de politique d’usage — gratuit
Les neuf clauses d’une politique d’usage de l’IA, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Gratuit. Une adresse email suffit pour le recevoir.
Le kit de conformité — 199 €
Le kit vous permet de fixer noir sur blanc, dans votre politique d'usage, la liste des informations qui ne doivent jamais être saisies dans un outil d'IA — l'une des mesures de protection attendues au titre du secret des affaires.
Vous renseignez votre raison sociale et la liste de vos outils. Vous choisissez vous-même la catégorie de risque de chaque usage — interdit, haut risque, risque limité, risque minimal, ou « Je ne sais pas encore — à faire vérifier » — à l'aide d'un rappel des règles. Le kit met ensuite en forme votre politique d'usage de l'IA, dont les neuf clauses sont complétées avec les informations que vous avez saisies, votre registre des systèmes d'IA, votre journal des usages sensibles et votre note d'information au personnel.
Pas encore prêt ? Faites l'auto-diagnostic en 3 minutes ou commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.
La newsletter. Un numéro tous les quinze jours : une question de conformité IA traitée avec les textes applicables et leurs dates, chaque affirmation sourcée. Gratuite, sans publicité. Lire le premier numéro — « Le premier risque de l’IA en entreprise n’est pas européen ».
À lire ensuite
ChatGPT en entreprise : ce qui est autorisé ou non — la règle interne en six lignes.
Politique d'usage de l'IA en entreprise : modèle et guide — les neuf clauses, et comment les adopter.
Vos données servent-elles à entraîner l'IA ? — ce que disent vraiment les conditions de vos outils.
Secret professionnel et IA : ce qu'un cabinet peut faire — l'autre secret, celui des professions réglementées.
Sources
Code de commerce, articles L. 151-1 à L. 151-9 (objet et conditions de la protection du secret des affaires) et titre V, articles L. 151-1 à L. 154-1, consultés le 20 septembre 2026.
Loi n° 2018-670 du 30 juillet 2018 relative à la protection du secret des affaires, article 1er, transposant la directive (UE) 2016/943 du 8 juin 2016.
Règlement (UE) 2024/1689 (AI Act), article 4 (mesures pour favoriser la maîtrise de l'IA), dans sa rédaction issue du règlement (UE) 2026/1744.
Rédigé par Adrien Bano, fondateur d'IA en Règle. Nous ne sommes pas avocats : cet article a été préparé avec l'aide d'outils d'IA et vérifié sur les textes officiels cités.
Cet article a un but d'information générale, établi d'après les textes en vigueur au 20 septembre 2026 ; il ne constitue pas un conseil juridique.
