ChatGPT en entreprise : quels risques pour vos données (et comment les maîtriser)
La réalité de 2026 : vos collaborateurs utilisent déjà ChatGPT, Claude ou Gemini — avec ou sans votre accord. C'est le « shadow AI » : des données clients, des contrats, des chiffres internes copiés-collés dans des outils grand public, hors de tout contrôle.
Interdire ne fonctionne pas (l'usage passe simplement sur les téléphones personnels). La bonne réponse tient en trois volets : comprendre les vrais risques, choisir les bonnes versions des outils, et poser un cadre simple que les équipes respectent.
Les vrais risques (et ceux qu'on exagère)
Le risque n°1 n'est pas que « l'IA vole vos données » : c'est l'humain qui colle dans un outil grand public des informations qui ne devraient pas en sortir — données personnelles de clients, éléments contractuels, données de santé, secrets industriels.
Sur les offres gratuites grand public, les conversations peuvent par défaut servir à améliorer les modèles. Sur les offres professionnelles (ChatGPT Business/Enterprise, Claude for Work, API), les fournisseurs s'engagent contractuellement à ne pas entraîner leurs modèles sur vos données. La différence entre les deux n'est pas un détail : c'est l'essentiel du sujet.
- Risque réel : fuite de données personnelles ou confidentielles via les comptes gratuits personnels.
- Risque réel : réponses erronées (hallucinations) réutilisées sans vérification dans des documents engageants.
- Risque réel : non-conformité RGPD si des données personnelles sont traitées sans base légale ni information des personnes.
- Risque exagéré : « ChatGPT va ressortir nos secrets à un concurrent ». Ce scénario relève du fantasme sur les offres professionnelles correctement configurées.
Versions grand public vs professionnelles : ce qui change
- Entraînement : les offres Business/Enterprise excluent vos données de l'entraînement par défaut ; sur les offres gratuites, c'est à désactiver manuellement — et personne ne le fait.
- Administration : comptes gérés par l'entreprise, contrôle des accès, journalisation, suppression centralisée en cas de départ d'un collaborateur.
- Conformité : accords de traitement des données (DPA), hébergement documenté, certifications — indispensables pour un dossier RGPD sérieux.
- Coût : de l'ordre de 25 à 60 € par utilisateur et par mois. Rapporté au temps gagné, c'est l'un des abonnements les plus rentables du marché — à condition de former les équipes.
Le RGPD et l'IA générative, sans dramatiser
Utiliser ChatGPT n'est pas illégal, y compris avec des données professionnelles. Ce qui compte : ne pas y traiter de données personnelles sans cadre (base légale, information, DPA avec le fournisseur), privilégier les offres professionnelles avec engagement de non-entraînement, et documenter l'usage dans votre registre de traitements.
Le règlement européen sur l'IA (AI Act) ajoute des obligations progressives, mais pour un usage bureautique standard en entreprise, l'essentiel reste : choisir les bons outils, minimiser les données envoyées et garder un humain responsable des décisions.
La charte IA en 6 règles qui tiennent sur une page
Une charte de 20 pages ne sera pas lue. Voici la version qui fonctionne :
- 1. Utilisez uniquement les comptes professionnels fournis par l'entreprise, jamais vos comptes personnels pour des sujets de travail.
- 2. Ne collez jamais de données personnelles de clients ou de collègues (noms, e-mails, données RH ou santé) sans anonymisation.
- 3. Ne collez jamais de documents classés confidentiels (contrats, éléments financiers non publics, R&D).
- 4. Vérifiez toute information factuelle avant de la réutiliser : l'IA se trompe avec assurance.
- 5. Vous restez responsable de ce que vous produisez avec l'IA — « c'est ChatGPT qui l'a dit » n'est pas une réponse.
- 6. Signalez les nouveaux usages : un cas d'usage utile mérite d'être outillé et sécurisé, pas caché.
Par où commencer concrètement
Le déploiement type que nous recommandons : un audit rapide des usages réels (souvent surprenant), le passage sur des licences professionnelles pour les équipes concernées, une charte courte validée par la direction, et une demi-journée de formation par équipe — c'est elle qui transforme la contrainte en gain de productivité.
Cette formation est finançable par votre OPCO, et c'est précisément ce que nous faisons chez JNS-IA : sécuriser l'usage existant et le transformer en avantage, plutôt que de le subir.
Questions fréquentes
ChatGPT utilise-t-il les données de mon entreprise pour s'entraîner ?
Sur les offres professionnelles (Business, Enterprise, API), non : OpenAI s'engage contractuellement à ne pas entraîner ses modèles sur vos données. Sur l'offre gratuite grand public, les conversations peuvent servir à l'amélioration des modèles sauf désactivation manuelle. D'où la règle : comptes professionnels uniquement.
Faut-il interdire ChatGPT en entreprise ?
Non, l'interdiction déplace l'usage vers les appareils personnels, hors de tout contrôle — le pire scénario. La bonne approche : fournir des comptes professionnels sécurisés, poser une charte courte et former les équipes aux bons réflexes.
Utiliser ChatGPT est-il compatible avec le RGPD ?
Oui, à condition d'un cadre : offre professionnelle avec accord de traitement des données (DPA), pas de données personnelles envoyées sans base légale et minimisation, information des personnes concernées et mention dans le registre des traitements. Un usage anonymisé et encadré ne pose pas de difficulté particulière.
Quelle alternative à ChatGPT pour des données très sensibles ?
Pour les données les plus sensibles, on peut déployer des modèles en environnement maîtrisé : API avec hébergement européen, solutions souveraines comme Mistral, ou modèles open source auto-hébergés. Le bon choix dépend du niveau de sensibilité réel et du budget — c'est un arbitrage à faire cas d'usage par cas d'usage.