Le problème qu'on ne voit pas venir
Un collaborateur commercial ouvre ChatGPT, copie-colle des extraits d'un contrat client pour demander une synthèse. Une assistante RH soumet un CV reçu à un outil IA pour en extraire les compétences. Un juriste utilise Claude pour analyser un accord de confidentialité contenant les coordonnées de dirigeants.
Ces situations arrivent chaque jour dans des milliers d'entreprises françaises. La plupart du temps, sans que personne -- ni le collaborateur, ni la direction, ni le DPO -- ne l'ait anticipé.
Former des collaborateurs à ChatGPT sans aborder la gouvernance des données, c'est leur apprendre à conduire sans leur parler du code de la route. Ce qui suit rassemble les règles que tout collaborateur devrait connaître avant d'utiliser un LLM dans un contexte professionnel.
Comprendre le risque réel : que fait ChatGPT de vos données ?
Les versions grand public
Avec ChatGPT Free et ChatGPT Plus, par défaut :
- Les conversations peuvent être utilisées pour améliorer les modèles d'OpenAI
- Vos données sont stockées sur des serveurs aux États-Unis
- Il n'existe pas de garantie contractuelle de confidentialité au sens RGPD
Si un collaborateur saisit le nom d'un client, des données de paie, une clause confidentielle ou des informations médicales, ces données quittent le périmètre contrôlé de l'entreprise.
Les versions professionnelles
ChatGPT Enterprise, ChatGPT Team, Claude for Business, Gemini for Workspace proposent des garanties différentes :
- Pas d'utilisation des données pour entraîner les modèles
- Accord de traitement des données (DPA) signable
- Hébergement européen possible selon les produits
- Contrôles d'administration et de conformité
Si vous n'avez pas signé de DPA avec votre fournisseur, partez du principe que les données saisies ne sont pas protégées.
Comparatif des niveaux de garantie
| Version | Entraînement des modèles | DPA disponible | Données admissibles |
|---|---|---|---|
| Grand public gratuit | Possible par défaut | Non | Données publiques uniquement |
| Grand public payant (Plus) | Possible sauf désactivation manuelle | Non | Données publiques uniquement |
| Entreprise (Team/Enterprise) | Non | Oui | Données internes non confidentielles |
| On-premise / cloud privé | Non | Oui, personnalisable | Données sensibles, selon audit préalable |
Les 4 règles RGPD pour l'usage des LLM en entreprise
Règle 1 — Ne jamais soumettre de données personnelles sans base légale
Par "données personnelles", on entend : noms, prénoms, adresses, emails de clients ou collaborateurs ; numéros de téléphone, numéros de sécurité sociale, données bancaires ; informations de santé, d'origine ethnique, opinions politiques ; et plus généralement tout identifiant qui permet de reconnaître une personne physique.
Avant de soumettre un document à un LLM, vérifiez qu'il ne contient pas de données identifiantes. Si c'est le cas, anonymisez d'abord.
- ✅ "Rédige une synthèse de ce contrat de prestation" -- remplacez le nom du client par "CLIENT A"
- ❌ Copier-coller un email d'un prospect avec son nom, son adresse email et son numéro de téléphone
Règle 2 — Ne jamais divulguer d'informations confidentielles de l'entreprise
Certaines informations ne doivent jamais être saisies dans un LLM grand public : données financières non publiées (résultats, budgets, projections), stratégie commerciale, feuilles de route produits, informations sur des acquisitions en cours, secrets de fabrication ou propriété intellectuelle.
Ce n'est pas exactement un sujet RGPD au sens strict : il s'agit ici de confidentialité contractuelle et de risque concurrentiel. Le mécanisme de fuite est le même, mais la base juridique est différente, et les conséquences aussi.
Règle 3 — Comprendre la propriété intellectuelle des outputs
Quelques points clés sur l'état du droit :
- En France, un texte généré par une IA n'est pas protégeable par le droit d'auteur (il n'y a pas d'auteur humain au sens légal)
- Les conditions d'utilisation d'OpenAI cèdent les droits sur les outputs à l'utilisateur (comptes payants), avec des exceptions
- Le contenu généré peut incorporer des éléments du corpus d'entraînement potentiellement soumis à droits
En pratique, traitez les outputs IA comme des brouillons à retravailler avant publication ou usage commercial. Cette réécriture crée une contribution humaine identifiable et change votre position juridique.
Règle 4 — Appliquer le principe de minimisation
Le RGPD impose de ne traiter que les données strictement nécessaires à l'objectif visé. Appliqué aux LLM, cela donne des réflexes simples :
- Soumettez des extraits, pas des documents complets
- Anonymisez ce qui peut l'être avant d'envoyer
- Ne stockez pas de conversations contenant des données sensibles
L'AI Act : ce qui change pour les entreprises françaises
L'AI Act européen est en application progressive depuis août 2024 et s'applique pleinement à partir de 2026.
Ce qui est interdit (pour tout le monde)
- Les systèmes de notation sociale par les pouvoirs publics
- La manipulation comportementale exploitant des vulnérabilités
- La reconnaissance biométrique à distance en temps réel dans les espaces publics (sauf exceptions)
- Les systèmes d'inférence d'émotions dans le recrutement (point particulièrement important pour les équipes RH)
Ce qui est à haut risque (obligations renforcées)
- L'IA dans les processus de recrutement et d'évaluation des collaborateurs
- L'IA dans les décisions d'accès aux services (crédit, assurance)
- L'IA dans les infrastructures critiques
Si vous utilisez des outils de tri automatisé de CV ou de scoring de candidats, des obligations de transparence et de documentation s'appliquent dès maintenant, pas à partir de 2026.
Ce que les PME doivent faire dès maintenant
- Inventorier les outils IA utilisés dans l'organisation (y compris les usages individuels informels)
- Catégoriser leur niveau de risque selon la grille AI Act
- Rédiger une politique d'usage de l'IA accessible à tous les collaborateurs
- Former les équipes aux bonnes pratiques -- c'est une obligation de l'employeur, pas une option
Bâtir une politique d'usage de l'IA en entreprise
Une politique d'usage de l'IA n'a pas besoin d'être un document juridique complexe. Deux à trois pages bien rédigées suffisent pour couvrir l'essentiel.
Structure recommandée
Commencez par les outils autorisés : une liste des outils formellement validés, avec les conditions d'usage (version, compte personnel ou entreprise). Sans cette liste, chaque collaborateur décide seul.
Ajoutez les données interdites : une liste claire des types de données qui ne peuvent pas être soumises à un LLM externe. Données personnelles, informations confidentielles, données financières non publiées. Plus c'est concret, plus c'est suivi.
Précisez les règles de publication : tout contenu généré ou assisté par IA destiné à une diffusion externe doit être relu et validé par un humain avant publication. Cela couvre les posts LinkedIn, les communiqués, les articles, les réponses clients.
Enfin, indiquez comment signaler un incident ou une utilisation non conforme. Sans canal dédié, les incidents ne remontent pas.
Ce que les collaborateurs retiennent le mieux
En formation sur ce sujet, les règles qui s'ancrent le mieux ne sont pas les plus complètes -- ce sont les plus visuelles.
Le test du journal : "Si ce que je suis sur le point de saisir se retrouvait dans un article de presse demain, est-ce que ça poserait un problème ?" Si la réponse est oui, ne le faites pas.
L'anonymisation systématique : avant de soumettre tout document à un LLM, faites une passe rapide pour remplacer les noms propres et les informations identifiantes par des codes neutres (CLIENT_A, CANDIDAT_1, PROJET_X). Ça prend deux minutes et ça change tout.
La hiérarchie des outils : version gratuite grand public -- données publiques uniquement. Version entreprise avec DPA -- données internes non confidentielles. Solution on-premise ou privée -- données sensibles.
Ce qui se passe en cas de manquement
Un collaborateur qui saisit par erreur des données personnelles dans un LLM grand public n'entraîne pas automatiquement une sanction, mais expose l'entreprise à un risque réel : violation potentielle du RGPD, perte de confidentialité contractuelle, ou incident à documenter auprès de la CNIL selon la gravité.
C'est pourquoi la politique d'usage doit prévoir un circuit de signalement simple et non punitif : un collaborateur qui a un doute ou qui a commis une erreur doit pouvoir la signaler rapidement, sans crainte, pour permettre une réaction adaptée (suppression de la conversation, information du DPO si nécessaire). Une culture de la transparence réduit les risques bien plus efficacement qu'une culture de la sanction.
Conclusion
Les entreprises qui forment leurs collaborateurs aux bonnes pratiques RGPD et éthiques de l'IA ne le font pas par contrainte réglementaire. Elles le font parce que ça fonctionne : leurs équipes utilisent les outils plus largement et avec moins d'incidents, parce qu'elles savent exactement ce qu'elles peuvent faire.
C'est là toute la différence entre une politique d'usage perçue comme un frein et une politique d'usage qui libère.
Sources & ressources
- Union européenne, Règlement (UE) 2024/1689 sur l'intelligence artificielle (AI Act) — texte de référence sur les obligations applicables aux systèmes IA
- CNIL, La CNIL publie un guide pour les recruteurs — recommandations applicables aux traitements automatisés en entreprise
👉 Guide complet du déploiement IA en entreprise 👉 Nos formations IA intégrant le volet conformité 👉 Contacter Upnov IA pour un accompagnement sur mesure
