Un éducateur qui colle le tableau de suivi de son groupe de jeunes dans une conversation avec une IA pour « qu'elle l'analyse » vient de transmettre des données personnelles de mineurs, parfois des données de santé, à un service dont il n'a pas lu les conditions. Il ne l'a pas fait par négligence : personne ne lui a dit où était la ligne. La voici.
La distinction qui règle presque tout
Il y a deux moments très différents dans l'usage d'une IA pour construire un outil de suivi :
- La fabrication. Vous décrivez votre besoin à l'IA (le cahier des charges) et elle produit l'outil. À ce moment-là, elle n'a besoin d'aucune donnée réelle. Des exemples inventés suffisent : « Athlète A, 60 min, RPE 7 ».
- L'usage. Vous ouvrez l'outil produit, sur votre machine, et vous y entrez vos vraies données. L'IA n'est plus dans la boucle. Rien ne sort de votre ordinateur.
Si vous tenez cette séparation, vous avez réglé l'essentiel : les données réelles vont dans l'outil, jamais dans la conversation. C'est la contrainte inscrite dans tous les cahiers des charges écrits en formation : fichier unique, hors connexion, données locales.
Quatre points à connaître
1. Les données de santé sont une catégorie à part
Une blessure, un certificat, un traitement, un poids chez un mineur : ce sont des données de santé au sens du RGPD, dont le traitement est en principe interdit sauf exceptions strictes. Un éducateur n'a en général aucune base légale pour les traiter dans un outil numérique. La solution n'est pas de les protéger mieux : c'est de ne pas les stocker. « En reprise, étape 2 sur 5 » n'est pas une donnée de santé ; « entorse cheville droite, grade 2 » en est une.
2. Les mineurs : le consentement passe par les parents
Pour tout traitement fondé sur le consentement concernant un mineur de moins de quinze ans, le consentement doit venir du titulaire de l'autorité parentale. En pratique : une information claire au moment de l'inscription sur ce qui est suivi, pourquoi, où c'est stocké, et pendant combien de temps. Une ligne dans le dossier d'inscription du club suffit souvent, à condition qu'elle soit vraie.
3. Le principe de minimisation
On ne collecte que ce qui sert une décision. C'est une obligation légale, et c'est aussi la meilleure règle de conception d'un outil : chaque champ « au cas où » est à la fois un risque et un frein à la saisie. Prénom et initiale suffisent souvent ; la date de naissance complète rarement.
4. Les exports de montre et les plateformes
Un fichier d'activité exporté d'une montre contient de la fréquence cardiaque, du GPS, parfois du sommeil. Analyser son propre fichier avec une IA est un choix personnel. Analyser celui d'un athlète, c'est traiter ses données : il faut son accord, et il faut savoir où part le fichier. La règle de séparation s'applique : l'outil peut lire l'export sur votre machine ; la conversation avec l'IA, non.
Ce que ça change dans l'outil
| À mettre dans l'outil | À ne pas y mettre |
|---|---|
| Prénom, groupe, catégorie | Nom complet, date de naissance, adresse |
| Durée, RPE, charge, ratio | Fréquence cardiaque nominative sans accord |
| « Reprise, étape 3/5 depuis 12 jours » | Diagnostic, certificat, traitement |
| Résultats de tests physiques | Poids et composition corporelle chez un mineur |
Et la conversation avec l'IA, alors ?
Elle sert à fabriquer l'outil, à reformuler un bilan, à préparer une séance. Avec des données inventées, anonymisées, ou les vôtres. Jamais avec le tableau du groupe. Ce sujet occupe la dernière séquence de la formation, parce que c'est le moment où les stagiaires ont un outil qui tourne et l'envie d'y mettre tout de suite leurs données : c'est là qu'on fixe la règle pour de bon.
Cet article donne des repères de bon sens, pas un avis juridique. Pour une structure, la référence reste la CNIL et, le cas échéant, le délégué à la protection des données de votre fédération.