Voici une certitude statistique : si votre entreprise compte plus de trois salariés, certains utilisent déjà ChatGPT ou un équivalent dans leur travail. Et il y a fort à parier que des informations clients, des contrats ou des données internes sont déjà passés dans ces outils. Le sujet n’est pas d’interdire (c’est inefficace), mais d’encadrer.
Le problème concret, sans dramatiser
Quand un collaborateur colle dans un chatbot grand public le courrier d’un client pour « l’améliorer », plusieurs choses se produisent :
- Des données personnelles sont transférées à un tiers (souvent hors UE) sans base légale ni information des personnes : c’est un traitement au sens du RGPD, et il est irrégulier.
- Des informations confidentielles sortent du périmètre de l’entreprise : selon les réglages du compte, elles peuvent servir à l’amélioration des modèles.
- Personne n’en garde trace : en cas de question d’un client ou de la CNIL, impossible de dire ce qui est sorti, où et quand.
L'angle mort : les comptes personnels gratuits
Le risque maximal vient des comptes gratuits personnels utilisés au travail : les réglages de confidentialité y sont les plus faibles et l’entreprise n’a aucune visibilité. Première mesure, simple et efficace : fournir un accès professionnel paramétré, pour que personne n’ait de raison d’utiliser son compte perso.
Les règles simples qui changent tout
1. Une charte d’usage en une page
Pas un pavé juridique : une page claire qui dit ce qui peut entrer dans une IA (textes génériques, brouillons sans données nominatives, questions techniques) et ce qui ne doit jamais y entrer (données clients identifiantes, données de santé, contrats, secrets de fabrication, mots de passe).
2. Des outils pro, paramétrés
Les offres professionnelles des grands fournisseurs permettent de désactiver l’utilisation des données pour l’entraînement, et offrent des garanties contractuelles. À défaut, des modèles peuvent tourner sur vos propres serveurs pour les usages sensibles.
3. L’anonymisation par réflexe
« Monsieur Martin, 12 rue des Lilas à Brive » devient « le client » : pour la plupart des usages (reformuler, résumer, structurer), l’IA n’a pas besoin des identités. Ce réflexe simple neutralise l’essentiel du risque RGPD.
4. La transparence dans vos documents
Votre politique de confidentialité et votre registre des traitements doivent mentionner l’usage d’outils d’IA dès lors qu’ils touchent des données personnelles.
Votre plan de mise en conformité
Encadrer l'IA en entreprise : les 6 étapes
- Faire l'état des lieux : qui utilise quoi, pour quoi faire (sans blâmer)
- Rédiger la charte d'usage en une page, avec des exemples concrets
- Fournir des comptes professionnels paramétrés (pas d'entraînement sur vos données)
- Former l'équipe au réflexe d'anonymisation
- Mettre à jour politique de confidentialité et registre des traitements
- Réévaluer tous les 6 mois : les outils et les règles évoluent vite
L’IA bien encadrée est un avantage, pas un risque
Les entreprises qui interdisent perdent en productivité et poussent les usages dans l’ombre. Celles qui encadrent gagnent sur les deux tableaux : les gains de l’IA, sans l’exposition juridique. C’est l’esprit de nos offres RGPD & sécurité et Agents IA & automatisation : des outils déployés proprement, avec vos données qui restent sous votre contrôle, comme nous le défendons dans notre approche de la protection de l’intelligence numérique.
État des lieux des usages, charte adaptée à votre activité, paramétrage des outils et formation de l'équipe : une demi-journée pour être en règle.