Utiliser ChatGPT en entreprise : règles, risques et bonnes pratiques

Trente-six pour cent des salariés utilisent ChatGPT dans leur travail sans en informer leur employeur. Onze pour cent des données collées dans l’outil en contexte professionnel sont confidentielles. Et dans 72 % des cas, ces usages ne sont pas tracés par le département informatique. Ces chiffres ne décrivent pas un phénomène marginal : ils décrivent la réalité quotidienne de milliers d’entreprises françaises qui naviguent entre productivité immédiate et exposition juridique silencieuse. Interdire ne fonctionne pas — le shadow AI prospère précisément là où les règles manquent. Encadrer, en revanche, est possible, à condition de savoir par où commencer.

Pourquoi ChatGPT entre en entreprise et ce que cela change

ChatGPT — acronyme de Chat Generative Pre-trained Transformer — est un programme capable de comprendre et de générer du langage naturel à partir d’un vaste corpus d’entraînement. Concrètement, il produit un texte synthétique en réponse à une instruction rédigée en langage courant, sans intervention humaine nécessaire à chaque étape. Cette capacité, apparemment simple, a suffi à déclencher une adoption massive dans les entreprises : rédaction d’articles, de comptes-rendus et d’e-mails, analyse de CV et de lettres de motivation, génération de contenus marketing, prospection commerciale, recherche documentaire, traduction, synthèse de rapports.

En 2026, 65 % des PME françaises utiliseraient au moins un outil d’IA générative dans leur quotidien professionnel. Ce chiffre traduit une bascule : l’IA générative n’est plus un sujet de laboratoire, c’est un outil de bureau. Les collaborateurs l’adoptent de la même façon qu’ils ont adopté Dropbox ou WhatsApp avant que la DSI ne les encadre — spontanément, pour gagner du temps, sans attendre la validation de la direction.

C’est précisément ce mouvement organique qui transforme les risques. Avant l’IA générative, les risques de fuite de données passaient principalement par des canaux connus : messagerie non chiffrée, clé USB, accès distants mal sécurisés. Aujourd’hui, un collaborateur peut coller un contrat client, synthétiser une feuille de paie ou uploader un fichier de prospects dans un chatbot tiers en quelques secondes, depuis son navigateur, sans laisser la moindre trace dans les outils de supervision de l’entreprise. Le phénomène a un nom : le shadow AI, équivalent contemporain du shadow IT des années 2010, mais avec une surface d’exposition bien plus large.

Ce qui change fondamentalement, c’est la nature de la décision. Adopter un logiciel métier impliquait un achat, un contrat, une installation — autant de points de contrôle naturels. Utiliser ChatGPT ne nécessite qu’un navigateur et une adresse e-mail. La gouvernance traditionnelle, fondée sur la maîtrise des outils, est contournée par défaut. L’entreprise ne peut plus se contenter de décider si elle « autorise » l’IA : elle doit décider comment elle l’encadre, sous peine de subir les conséquences d’usages qu’elle n’a ni vus ni anticipés.

Ce constat ne conduit pas à l’interdiction — qui s’avère inefficace — mais à la nécessité d’un cadre opérationnel. Avant de construire ce cadre, il faut répondre à la question que posent la plupart des managers et des salariés : ChatGPT est-il seulement autorisé au travail ?

ChatGPT est-il autorisé au travail : cadre légal et règles internes

La réponse courte : aucune disposition légale française n’interdit l’usage de ChatGPT en entreprise. Il n’existe pas de texte qui prohibe, de façon générale, le recours à un outil d’IA générative dans un contexte professionnel. Ce qui existe, en revanche, c’est un ensemble d’obligations légales et contractuelles que l’usage de cet outil peut violer — et c’est là que se situe le vrai enjeu.

Trois corps de règles s’appliquent simultanément :

• Le RGPD et la loi Informatique et Libertés : dès lors qu’un salarié saisit des données à caractère personnel dans un prompt — nom d’un client, coordonnées, données de santé, situation financière — l’entreprise devient responsable d’un traitement. Elle doit disposer d’une base légale, informer les personnes concernées, et s’assurer que le sous-traitant (OpenAI) présente des garanties suffisantes. La CNIL a rappelé ce cadre à l’occasion de la suspension italienne de fin mars 2023, qui illustrait précisément le manquement à l’obligation d’information des utilisateurs.
• Les obligations de confidentialité et le secret des affaires : tout salarié est tenu à une obligation de loyauté envers son employeur. Saisir des informations confidentielles — stratégie, données financières non publiques, informations couvertes par un NDA — dans un outil tiers dont les conditions d’utilisation prévoient un usage potentiel des données pour l’entraînement du modèle constitue une violation de cette obligation, indépendamment de toute règle interne.
• Les règles internes de l’entreprise : règlement intérieur, charte informatique, politique de sécurité des systèmes d’information (PSSI). Ces documents définissent ce que le salarié est autorisé à faire avec les outils numériques, y compris les outils tiers. En l’absence de toute mention de l’IA générative dans ces textes, une zone grise s’installe — ce qui n’est ni une autorisation ni une interdiction, mais une exposition.

Il faut également distinguer trois situations concrètes qui n’ont pas le même régime :

• Usage personnel, sur équipement personnel, hors temps de travail : l’employeur n’a pas de droit de regard direct, mais les obligations de confidentialité du salarié s’appliquent toujours.
• Usage professionnel, sur équipement personnel : situation hybride, souvent non encadrée, qui cumule les risques (pas de contrôle IT, pas de traçabilité, potentielle fuite de données sur un appareil non géré).
• Usage professionnel, sur équipement de l’entreprise : l’employeur peut légitimement encadrer, surveiller dans les limites du droit, et sanctionner les usages contraires à la charte.

Pratiques identifiées comme particulièrement problématiques : utiliser ChatGPT pour remplacer des missions nécessitant une validation humaine, saisir des informations confidentielles sans autorisation, ou encore utiliser l’outil à des fins personnelles sur le temps de travail. Ces comportements peuvent justifier des sanctions disciplinaires, voire engager la responsabilité civile du salarié si un préjudice en résulte.

La bonne pratique, en cas de doute sur la légitimité d’un usage, est simple : demander une validation écrite à sa hiérarchie ou au service juridique. Cette démarche protège le salarié et oblige l’entreprise à se positionner clairement. Mais avant que cette validation soit possible, encore faut-il que l’entreprise ait identifié les risques concrets qu’elle cherche à prévenir.

Risques majeurs : données, cybersécurité, conformité, qualité et responsabilité

Les risques liés à l’usage de ChatGPT en entreprise se répartissent en cinq catégories distinctes, qui s’additionnent plutôt qu’elles ne s’excluent.

1. La fuite de données confidentielles est le risque n° 1. En version gratuite, les données saisies transitent et peuvent être stockées sur des serveurs situés aux États-Unis. La possibilité de réentraînement du modèle sur ces données existe, sauf opt-out explicite dans les paramètres du compte — option que la majorité des utilisateurs ne connaissent pas ou n’activent pas. Un cas emblématique : en mars 2023, une grande entreprise a interdit en urgence l’usage interne de ChatGPT après trois incidents en trois semaines impliquant l’upload de code source propriétaire et de notes de réunion confidentielles. Le risque est réel, documenté et rapide à se matérialiser.

2. Les attaques cybersécurité spécifiques à l’IA constituent une surface d’exposition nouvelle. La technique dite de prompt injection consiste à insérer des instructions malveillantes dans un document ou un e-mail pour détourner l’IA de son usage prévu — par exemple, faire exfiltrer des données vers un tiers en manipulant un agent IA qui traite des e-mails entrants. Le phishing assisté par IA générative produit des messages indiscernables des communications légitimes. Ces vecteurs d’attaque ne sont pas théoriques : ils sont activement exploités.

3. Les risques de conformité dépassent le seul RGPD. La propriété intellectuelle est en jeu : les contenus générés par ChatGPT peuvent reproduire, même partiellement, des œuvres protégées par des droits d’auteur. L’entreprise qui publie ou commercialise ces contenus sans vérification s’expose à des actions en contrefaçon. Les clauses de confidentialité (NDA) signées avec des partenaires peuvent être violées dès lors que des informations couvertes sont saisies dans un outil tiers.

4. Les risques de qualité sont souvent sous-estimés. Les hallucinations — production d’informations fausses présentées avec assurance — sont inhérentes au fonctionnement des modèles de langage. Un juriste qui utilise ChatGPT pour vérifier une jurisprudence, un commercial qui s’appuie sur des chiffres de marché générés par l’outil, un médecin du travail qui synthétise des recommandations : dans chacun de ces cas, une erreur non détectée peut avoir des conséquences sérieuses. Les biais présents dans les données d’entraînement se retrouvent dans les sorties, avec des effets potentiels sur les décisions RH, commerciales ou stratégiques.

5. Les risques de responsabilité sont encore peu jurisprudentiels mais se dessinent clairement. Si une décision prise sur la base d’une sortie IA cause un préjudice à un tiers, la question de la responsabilité de l’entreprise — et du salarié — se posera. L’absence de traçabilité de l’usage rend cette responsabilité encore plus difficile à gérer.

Ces cinq catégories de risques partagent un point commun : ils sont largement prévenables par une bonne gestion des données et une documentation rigoureuse des usages. C’est précisément ce que le cadre RGPD impose — et ce que la section suivante détaille.

Données et RGPD : ce qui peut être saisi, ce qui doit être interdit, et comment documenter

La première étape d’une gouvernance sérieuse consiste à classifier les données selon leur sensibilité, avant même de parler d’outils. Cette classification détermine ce qui peut ou ne peut pas transiter dans un prompt.

Le principe de minimisation des données imposé par le RGPD s’applique directement aux prompts : ne saisir que ce qui est strictement nécessaire à la tâche. Un rédacteur qui demande à ChatGPT de reformuler un e-mail client n’a pas besoin d’y inclure le nom complet, le numéro de client et l’historique de commandes — le texte seul suffit dans la plupart des cas.

L’anonymisation et la pseudonymisation sont des techniques concrètes : remplacer « M. Dupont, directeur financier de la société X » par « un dirigeant d’une PME industrielle » avant de coller le texte dans un prompt. Cette opération simple réduit drastiquement l’exposition sans nuire à la qualité de la réponse obtenue.

Sur le plan documentaire, plusieurs obligations s’imposent :

• Le registre de traitements : le DPO doit recenser l’usage de ChatGPT comme un traitement à part entière, avec finalités, catégories de données, base légale, durée de conservation et identification du sous-traitant (OpenAI).
• L’analyse d’impact (AIPD/DPIA) : obligatoire dès lors que le traitement est susceptible d’engendrer un risque élevé pour les personnes — par exemple, si ChatGPT est utilisé pour analyser des CV à grande échelle ou pour prendre des décisions automatisées affectant des salariés.
• La base légale : pour tout traitement de données personnelles via ChatGPT, l’entreprise doit identifier sa base légale (intérêt légitime, exécution d’un contrat, consentement…). L’intérêt légitime est souvent invoqué pour les usages professionnels, mais il doit être documenté et équilibré.

La question du sous-traitant est centrale. OpenAI est un sous-traitant au sens du RGPD dès lors qu’il traite des données personnelles pour le compte de l’entreprise. Un contrat de traitement de données (DPA) doit être signé. Pour les transferts hors UE — les serveurs d’OpenAI sont aux États-Unis — des clauses contractuelles types (CCT/SCC) doivent être en place, conformément aux exigences post-Schrems II. L’offre ChatGPT Enterprise propose un DPA et des garanties sur l’isolement des données ; la version gratuite n’en propose aucune.

La durée de conservation des données doit être définie : combien de temps les conversations sont-elles conservées dans l’outil ? Qui peut y accéder ? Comment les supprimer ? Ces questions doivent trouver une réponse dans la politique interne.

Enfin, lorsque ChatGPT interagit directement avec des clients ou des usagers — chatbot de service client, assistant de réponse automatique — l’obligation de transparence s’impose : les personnes doivent être informées qu’elles interagissent avec un système d’IA et que leurs données sont traitées. La CNIL a rappelé ce principe à plusieurs reprises. Une mention dans les CGU ou une bannière d’information ne suffit pas toujours ; une information claire et accessible est requise.

Une fois le cadre de données défini, la question du choix de l’offre devient déterminante : toutes les versions de ChatGPT ne présentent pas le même niveau de garantie.

Choisir la bonne offre et le bon mode d’accès : comptes, prix, hébergement, options de confidentialité

Le marché des accès à ChatGPT s’est structuré rapidement, avec des offres aux implications juridiques et techniques très différentes. Confondre la version gratuite grand public avec une offre entreprise est l’une des erreurs les plus fréquentes — et les plus coûteuses.

ChatGPT Enterprise est l’offre la plus adaptée aux entreprises soumises à des obligations de conformité élevées. Elle garantit que les conversations ne sont pas utilisées pour entraîner les modèles, propose un DPA conforme au RGPD, offre une gestion centralisée des accès (SSO, MFA), une journalisation des usages et des options d’audit. Le coût est significativement plus élevé qu’un abonnement individuel, mais il doit être mis en regard du coût d’un incident de sécurité ou d’une sanction CNIL.

ChatGPT Team est une option intermédiaire adaptée aux équipes de taille moyenne : les données ne sont pas réutilisées pour l’entraînement, un espace de travail partagé est disponible, mais les garanties contractuelles restent moins étendues que l’offre Enterprise.

Microsoft Copilot, intégré à Microsoft 365, présente un avantage structurel pour les entreprises déjà dans l’écosystème Microsoft : les données restent dans le tenant de l’entreprise, les droits d’accès héritent de la configuration Azure Active Directory, et l’hébergement peut être localisé en Europe. C’est souvent l’option la plus simple à gouverner pour une DSI déjà équipée.

L’API OpenAI permet de construire des intégrations sur mesure, avec un contrôle plus fin des données transmises au modèle. Elle est pertinente pour les équipes techniques qui souhaitent intégrer l’IA dans des workflows existants tout en maîtrisant exactement ce qui est envoyé au modèle.

Sur la question du coût total, il faut intégrer plusieurs postes souvent oubliés :

• Le coût des licences et abonnements (par utilisateur, par mois)
• Le coût de la mise en conformité (DPO, audit, AIPD)
• Le coût de la formation et de la sensibilisation des salariés
• Le coût du support interne (référent IA, helpdesk)
• Le coût potentiel d’un incident non encadré (notification CNIL, préjudice client, perte de secret des affaires)

Le choix de l’offre conditionne directement la structure de la charte d’usage : on n’écrit pas les mêmes règles selon que les salariés accèdent à ChatGPT via un compte personnel gratuit ou via ChatGPT Enterprise avec SSO et journalisation centralisée.

Mettre en place une charte d’usage IA : règles simples, rôles, validations et sanctions

Une charte d’usage IA n’est pas un document de communication interne. C’est un instrument juridique et opérationnel qui définit les droits et obligations des salariés, engage la responsabilité de l’entreprise et sert de référence en cas de litige ou d’incident. Elle doit être annexée au règlement intérieur ou à la charte informatique existante, soumise à consultation des représentants du personnel si nécessaire, et portée à la connaissance de tous les salariés de façon documentée.

La structure minimale d’une charte efficace comprend les éléments suivants :

1. Finalités autorisées : liste explicite des usages validés (rédaction, reformulation, traduction, synthèse de documents publics, génération de code sur des bases non confidentielles, brainstorming). Cette liste doit être revue régulièrement car les usages évoluent vite.

2. Classification des données : liste rouge / orange / verte

• Liste verte : données publiques, textes génériques, requêtes sans données personnelles — usage libre.
• Liste orange : données internes non confidentielles — usage possible sur offre entreprise validée, après anonymisation.
• Liste rouge : données personnelles non anonymisées, données sensibles, informations couvertes par NDA, code source propriétaire, données financières non publiques, données clients — usage strictement interdit.

3. Obligations des salariés :

• Relecture systématique et validation humaine de tout contenu généré avant diffusion externe
• Mention de l’assistance par IA dans les documents internes (traçabilité)
• Vérification des sources citées par l’outil (lutte contre les hallucinations)
• Non-divulgation des sorties de l’IA à des tiers non autorisés
• Signalement immédiat de tout incident ou comportement anormal de l’outil

4. Processus d’escalade : qui contacter en cas de doute sur la légitimité d’un usage ? La charte doit désigner un référent IA (ou à défaut le DPO ou le RSSI) et prévoir un délai de réponse.

5. Sanctions : la charte doit indiquer clairement que le non-respect des règles peut entraîner des sanctions disciplinaires proportionnées à la gravité du manquement — de l’avertissement au licenciement pour faute grave en cas de divulgation délibérée d’informations confidentielles.

6. Rôles et responsabilités :

• Direction générale : validation de la politique et des offres retenues
• DPO : conformité RGPD, registre de traitements, AIPD, relations avec la CNIL
• RSSI : sécurité technique, PSSI, gestion des incidents, contrôle d’accès
• Direction juridique : propriété intellectuelle, NDA, clauses contractuelles avec OpenAI
• Managers : application au quotidien, remontée d’incidents, validation des usages nouveaux
• Référent IA : animation de la communauté d’utilisateurs, mise à jour de la bibliothèque de cas d’usage, formation continue

7. Mise à jour : la charte doit prévoir une révision au moins annuelle, ou à chaque évolution significative des outils ou de la réglementation. Le règlement européen sur l’IA (AI Act), dont les dispositions s’appliquent progressivement, impose déjà de nouvelles obligations pour certains usages à haut risque.

La charte est nécessaire, mais insuffisante seule. Elle doit s’appuyer sur des mesures techniques qui rendent les règles applicables en pratique.

Garde-fous concrets : mesures techniques et organisationnelles contre le shadow AI

La gouvernance documentaire ne vaut que si elle est soutenue par des contrôles techniques. Sans eux, la charte reste un texte que personne ne lit et que personne ne respecte — non par mauvaise volonté, mais par absence de friction.

Contrôle d’accès et authentification : l’accès aux outils IA validés doit passer par le SSO (Single Sign-On) de l’entreprise, couplé à une authentification multifacteur (MFA). Cela permet de lier chaque usage à une identité connue, de révoquer rapidement les accès en cas de départ ou d’incident, et d’alimenter les journaux d’audit.

Journalisation et traçabilité : sur les offres entreprise, activer les logs d’usage est une priorité. Ces journaux permettent de savoir qui a utilisé l’outil, quand, et avec quel volume d’échanges — sans nécessairement enregistrer le contenu des prompts, ce qui poserait d’autres questions (surveillance des salariés, RGPD). La traçabilité minimale porte sur les métadonnées d’usage, pas sur le contenu.

Filtrage et DLP (Data Loss Prevention) : des solutions de DLP peuvent être configurées pour détecter et bloquer l’envoi de données classifiées vers des destinations non autorisées — y compris des URL de services IA non validés. Cette approche est particulièrement efficace pour lutter contre le shadow AI : si le collaborateur ne peut pas accéder à ChatGPT.com depuis le réseau de l’entreprise, il utilisera l’outil validé ou sollicitera une dérogation.

Classification des données à la source : les outils de classification automatique des documents (labels de sensibilité dans Microsoft 365, par exemple) permettent d’identifier en temps réel si un fichier classifié est en train d’être copié-collé dans une application externe. C’est un complément efficace au DLP.

Modèles de prompts sécurisés : fournir aux salariés des templates de prompts pré-validés pour les cas d’usage courants réduit le risque d’erreur. Un modèle de prompt pour la synthèse d’une réunion interne peut être conçu pour ne jamais inclure de noms propres ou de données chiffrées sensibles — la structure du prompt guide l’utilisateur vers un usage conforme.

Environnements dédiés et isolation : pour les usages les plus sensibles (analyse de contrats, traitement de données RH), envisager des déploiements via l’API avec des garde-fous applicatifs côté entreprise — filtrage des entrées/sorties, anonymisation automatique avant envoi au modèle, journalisation du contenu dans un environnement sécurisé.

Revue de sécurité et audits : intégrer les outils IA dans le périmètre des audits de sécurité réguliers. Vérifier que les clauses contractuelles avec OpenAI (ou tout autre fournisseur) sont à jour, que les DPA sont signés, que les CCT/SCC couvrent bien les transferts hors UE.

Procédure incident : définir un processus clair pour les incidents liés à l’IA — qui notifier, dans quel délai, comment documenter. Si des données personnelles ont été divulguées, la notification à la CNIL dans les 72 heures est obligatoire au titre du RGPD.

Ces mesures techniques ne visent pas à surveiller les salariés, mais à rendre la conformité aussi naturelle que possible. Un collaborateur qui utilise l’outil validé, avec son compte SSO, sur une interface pré-configurée, n’a pas besoin de se souvenir de toutes les règles de la charte : l’environnement technique les applique pour lui. C’est cette logique de secure by design qui transforme la gouvernance théorique en pratique quotidienne.

Bonnes pratiques d’usage au quotidien : prompts, relecture, sources et traçabilité

Au-delà des règles et des outils, l’usage quotidien de ChatGPT en entreprise repose sur des réflexes individuels. Ces réflexes s’acquièrent par la formation, mais aussi par la mise à disposition de méthodes concrètes et immédiatement applicables.

Écrire des prompts sans données sensibles est le premier réflexe à ancrer. Avant de rédiger un prompt, se poser une question simple : si ce texte était envoyé par e-mail à un prestataire externe inconnu, serait-ce acceptable ? Si la réponse est non, le prompt doit être revu. Remplacer les noms propres par des catégories génériques, les chiffres réels par des ordres de grandeur, les références contractuelles par des descriptions fonctionnelles.

Demander des plans et des critères plutôt que des réponses finales : utiliser ChatGPT pour structurer une réflexion, générer des options, identifier des angles — pas pour produire directement un document diffusable. Cette approche réduit le risque d’hallucination non détectée et maintient le jugement humain au centre du processus.

Exiger des sources vérifiables : lorsque ChatGPT cite des données chiffrées, des jurisprudences ou des normes techniques, ne jamais utiliser ces éléments sans vérification indépendante. L’outil peut produire des références plausibles mais inexactes. La règle : toute affirmation factuelle dans un document externe doit avoir une source vérifiée hors de l’outil.

Tester sur des jeux de données factices : lors de la mise en place d’un nouveau cas d’usage (analyse de contrats, traitement de données RH), commencer par des données fictives ou anonymisées pour valider le comportement de l’outil avant de l’exposer à des données réelles.

Double validation humaine pour les documents à enjeux : tout contenu généré par IA destiné à être diffusé à l’extérieur (offre commerciale, communication client, document juridique, rapport financier) doit être relu et validé par au moins deux personnes. La première relit le fond, la seconde vérifie les faits et les sources.

Mentionner l’assistance par IA : dans les documents internes, indiquer systématiquement que le contenu a été assisté par IA. Cette mention n’est pas une marque d’infériorité du document — c’est une information de traçabilité qui permet, en cas de problème, de retracer le processus de production.

Check-list avant diffusion externe :

• Le contenu a-t-il été relu intégralement par un humain ?
• Les données chiffrées ont-elles été vérifiées dans une source primaire ?
• Aucune donnée personnelle ou confidentielle n’apparaît dans le document final ?
• Les droits d’auteur sur les éventuels contenus reproduits ont-ils été vérifiés ?
• La mention d’assistance IA est-elle présente si requise par la politique interne ?

Ces pratiques individuelles, répétées et normalisées, constituent le socle d’un usage responsable. Mais leur pérennité dépend d’un pilotage organisationnel qui va au-delà de la simple diffusion d’une charte.

Piloter et mesurer : formation, indicateurs, retours d’expérience et mise à jour des règles

Une gouvernance IA qui ne se mesure pas ne s’améliore pas. L’industrialisation des usages responsables passe par un programme structuré qui combine formation, indicateurs de performance et révision régulière des règles.

Programme de formation des salariés : la sensibilisation ne peut pas se limiter à un e-mail d’information lors du lancement de la charte. Un programme efficace comprend :

• Une formation initiale obligatoire pour tous les utilisateurs (format court, 30 à 60 minutes, en ligne), couvrant les risques, les règles de base et les cas d’usage autorisés
• Des modules spécifiques par métier (juridique, RH, marketing, technique) avec des exemples concrets issus du quotidien de chaque équipe
• Des mises à jour régulières (au moins semestrielles) pour intégrer les évolutions des outils et de la réglementation
• Des exercices pratiques : rédiger un prompt conforme, identifier une hallucination, signaler un incident

Référents IA par département : désigner un référent IA dans chaque grande équipe permet de décentraliser le support, de remonter les cas d’usage nouveaux et de maintenir une dynamique d’adoption positive. Ces référents sont le relais opérationnel entre la DSI/DPO/RSSI et les utilisateurs finaux.

Bibliothèque de cas d’usage : documenter les usages validés, avec des exemples de prompts sécurisés, les résultats obtenus et les limites observées. Cette bibliothèque est un actif précieux qui accélère l’adoption et réduit les comportements d’improvisation risqués.

Indicateurs clés (KPI) à suivre :

• Taux d’adoption des outils validés vs. usage de comptes personnels non encadrés (proxy du shadow AI résiduel)
• Nombre d’incidents signalés liés à l’IA (fuite de données, hallucination ayant causé une erreur, incident de sécurité)
• Taux de complétion des formations obligatoires
• Gain de temps déclaré par les utilisateurs sur les tâches assistées par IA
• Nombre de cas d’usage nouveaux soumis et validés par période

Revues périodiques : organiser une revue trimestrielle impliquant le DPO, le RSSI, un représentant de la direction et des référents IA. L’ordre du jour type : incidents du trimestre, évolutions réglementaires, nouveaux cas d’usage à valider, mise à jour de la charte si nécessaire.

Veille réglementaire : l’ANSSI publie des recommandations sur la sécurité des systèmes d’IA ; la CNIL émet des lignes directrices sur l’IA et les données personnelles ; l’AI Act européen introduit de nouvelles obligations progressivement. Cette veille doit être organisée et ses conclusions intégrées dans les révisions de la politique interne.

Exercices de crise : simuler un incident de fuite de données via un outil IA (scénario : un salarié a collé une base de données clients dans ChatGPT Free) permet de tester la procédure de réponse, d’identifier les lacunes et de former les équipes dans un contexte contrôlé.

L’objectif final n’est pas de créer une bureaucratie de l’IA, mais d’installer une culture dans laquelle l’usage responsable est la norme, pas l’exception. Les entreprises qui y parviennent ne sont pas celles qui ont les chartes les plus longues, mais celles qui ont les processus les plus clairs, les formations les plus pratiques et les indicateurs les plus honnêtes.

FAQ

Est-ce que ChatGPT est interdit en entreprise ?

Non, aucune loi française n’interdit l’usage de ChatGPT en entreprise. En revanche, son utilisation doit respecter le RGPD, les obligations de confidentialité, le secret des affaires et les règles internes de l’entreprise (charte informatique, PSSI). Certaines entreprises ont choisi d’interdire temporairement l’outil en interne après des incidents de sécurité, mais c’est une décision de gouvernance interne, pas une obligation légale.

Puis-je utiliser ChatGPT au travail ?

Oui, si votre entreprise l’autorise dans sa charte informatique et que vous respectez les règles associées : ne pas saisir de données personnelles, confidentielles ou couvertes par un NDA, relire et valider les contenus générés, utiliser l’offre validée par votre DSI. En cas de doute, demandez une validation écrite à votre hiérarchie ou au service juridique avant d’utiliser l’outil sur une tâche sensible.

Quels sont les dangers de l’utilisation de ChatGPT ?

Les principaux risques sont : la fuite de données confidentielles vers des serveurs tiers (notamment en version gratuite), les hallucinations (informations fausses présentées avec assurance), les biais dans les sorties, les attaques par prompt injection, la violation de droits d’auteur sur les contenus générés, et l’engagement de la responsabilité de l’entreprise en cas de préjudice causé par une décision basée sur une sortie IA non vérifiée.

Est-ce une mauvaise idée d’utiliser ChatGPT pour les affaires ?

Non, à condition de choisir la bonne offre (ChatGPT Team ou Enterprise, voire l’API ou Microsoft Copilot), de mettre en place une gouvernance adaptée et de former les utilisateurs. L’IA générative apporte des gains de productivité réels sur de nombreuses tâches. Le risque n’est pas dans l’outil lui-même, mais dans l’absence de cadre — c’est le shadow AI non encadré qui expose l’entreprise, pas l’usage structuré et documenté.

Les entreprises qui traitent l’IA générative comme un sujet de gouvernance — et non comme un simple outil à adopter ou à interdire — prennent une longueur d’avance durable : elles sécurisent leur conformité, protègent leurs données, et permettent à leurs équipes d’exploiter pleinement le potentiel de ces technologies sans s’exposer inutilement.