Le site de l’outil Emulate affiche en 2026 une promesse sans détour : une IA « indétectable » qui écrit comme son utilisateur. Deux modes sont proposés. Le premier rédige un texte à partir d’une consigne, le second réécrit un brouillon produit par une autre IA pour qu’il paraisse humain. La page d’accueil présente un exemple noté à 92 % « IA » par un détecteur, ramené sous 1 % après passage dans l’outil, et affiche les logos des principaux détecteurs du marché. Pour un employeur ou un établissement de formation, ce type de service est une bonne occasion de relire sa charte IA générative.
Des brouillons conservés et partageables par lien
D’après sa page de présentation, Emulate enregistre les brouillons dans le compte de l’utilisateur au fil de la frappe et conserve un historique. Chaque brouillon peut être copié, téléchargé ou partagé au moyen d’un lien en lecture seule, consultable sans créer de compte. La page d’accueil ne donne ni l’identité de l’éditeur, ni la localisation des serveurs, ni l’usage des textes pour l’entraînement : il faut aller chercher ces éléments dans la politique de confidentialité.
Le risque se comprend vite. Un salarié colle dans l’outil le compte rendu d’une réunion, un courrier destiné à un adhérent, la réponse à une réclamation. Le texte part chez un éditeur avec lequel l’organisme n’a signé aucun contrat. S’il crée ensuite un lien de partage pour faire relire, toute personne qui obtient l’adresse peut lire le document. Un lien transféré par erreur suffit. Selon les données contenues, l’incident peut constituer une violation au sens de l’article 4(12) du RGPD, à inscrire au registre des violations (article 33(5)) même quand la notification à la CNIL n’est pas requise.
Examens, recrutement : l’intégrité des écrits
La promesse d’indétectabilité pose une autre question. Les détecteurs de texte généré étaient déjà fragiles ; un outil conçu pour les tromper leur retire toute valeur de preuve. Fonder la sanction d’un étudiant ou l’élimination d’un candidat sur un score de détecteur revient à décider sur un indicateur que des services grand public savent fausser. L’article 22 du RGPD encadre déjà les décisions fondées exclusivement sur un traitement automatisé.
Le recruteur ou l’enseignant qui soupçonne un texte généré doit aussi garder à l’esprit les droits de la personne : elle peut demander l’accès aux données qui ont fondé la décision, dont le score du détecteur et la façon dont il a été utilisé. En recrutement, la lettre de motivation ou l’exercice rédigé à distance perdent une partie de leur intérêt. Adapter l’épreuve donne de meilleurs résultats que multiplier les contrôles automatiques : entretien, exercice en présence, questions sur le texte remis.
Ce que prévoit l’AI Act sur le marquage
L’article 50 du règlement européen sur l’IA, dont le texte fixe l’application au 2 août 2026, impose aux fournisseurs de systèmes qui génèrent du texte, des images, du son ou de la vidéo de marquer ces contenus dans un format lisible par machine, pour qu’ils soient détectables comme générés artificiellement. L’obligation connaît des exceptions, notamment pour les fonctions d’aide à la rédaction qui ne modifient pas substantiellement le texte de départ.
Le même article oblige les déployeurs qui publient un texte généré ou modifié par IA pour informer le public sur des questions d’intérêt public à le signaler, sauf relecture humaine sous la responsabilité éditoriale d’une personne. Un service dont l’argument commercial consiste à effacer toute trace d’IA va à rebours de cette logique. Les autorités de surveillance diront comment l’article 50 s’applique à un outil de réécriture accessible depuis l’Union. Pour un organisme utilisateur, la prudence commande de ne pas faire reposer sa communication publique sur ce type d’outil.
Mettre à jour la charte IA générative
- Lister les outils autorisés, couverts par un contrat (article 28 ou conditions professionnelles) avec une localisation des données connue. Tout autre outil est exclu pour les données internes.
- Interdire les liens de partage publics pour les contenus professionnels, quel que soit l’outil.
- Nommer les données qui ne doivent jamais être saisies : données de santé, informations sur les salariés suivis, dossiers RH, données de mineurs.
- Fixer une règle de transparence : dans quels cas un texte remis à l’extérieur mentionne l’usage d’une IA, et qui en assume la relecture.
- Former les équipes. Depuis février 2025, l’article 4 de l’AI Act demande aux déployeurs de veiller à un niveau suffisant de maîtrise de l’IA chez leur personnel.
- Prévoir la conduite à tenir après la saisie de données sensibles dans un outil non autorisé : signalement au DPO, analyse du risque, inscription au registre des violations.
Une charte ne vaut que si elle est connue. Je conseille de la présenter dès l’accueil des nouveaux arrivants et de la rappeler à chaque changement d’outil.
Le réseau DPO FRANCE regroupe des DPO indépendants qui aident les organismes à rédiger leur politique d’usage de l’IA et à former leurs équipes. Le logiciel DPO SUITE recense les outils d’IA utilisés, les rattache au registre et aux contrats fournisseurs, et conserve le registre des violations et les preuves de sensibilisation.
