ChatGPT au travail : les règles à fixer pour utiliser l’IA générative en entreprise

Rédiger un courriel délicat, résumer un compte rendu, traduire une offre commerciale : dans beaucoup de petites entreprises, les salariés utilisent déjà ChatGPT, Copilot ou Le Chat, parfois sans que le dirigeant le sache. Interdire en bloc ne marche guère ; laisser faire expose à deux risques concrets, la fuite d’informations confidentielles et la diffusion d’erreurs présentées avec aplomb. Voici les règles à poser, en s’appuyant sur les recommandations de la CNIL, sur le règlement européen sur l’IA et sur la documentation d’un éditeur.

Ce que recommande la CNIL

En juillet 2024, la CNIL a publié ses premières précisions pour déployer un système d’IA générative dans une organisation. Elles tiennent en six points :

1. Partir d’un besoin concret et d’usages identifiés, plutôt que de déployer un outil sans but précis.
2. Encadrer les usages par une liste d’utilisations autorisées et interdites. La CNIL cite deux exemples d’interdits : fournir des données personnelles au système et lui confier une prise de décision.
3. Ne pas occulter les limites de ces outils, notamment leur capacité à produire des résultats inexacts mais plausibles, et les risques pour les droits des personnes.
4. Choisir un système robuste et un déploiement sécurisé : privilégier des systèmes locaux, sécurisés et spécialisés ou, à défaut, vérifier dans quelle mesure le prestataire peut réutiliser les données qui lui sont confiées, et adapter les usages en conséquence.
5. Former et sensibiliser les utilisateurs aux usages interdits et aux risques des usages permis.
6. Mettre en place une gouvernance qui associe dès le départ le délégué à la protection des données s’il existe, la personne chargée de l’informatique et de la sécurité, et les responsables métiers.

Une obligation européenne déjà en vigueur : former ses équipes

Le règlement européen sur l’intelligence artificielle, dit AI Act, contient un article 4 sur la « maîtrise de l’IA ». D’après la foire aux questions de la Commission européenne, mise à jour le 20 octobre 2026, il s’applique depuis le 2 février 2025. Il vise les fournisseurs de systèmes d’IA comme leurs déployeurs, ce qui inclut une entreprise dont les salariés utilisent un outil d’IA dans leur travail, et leur demande de prendre des mesures pour développer les connaissances en IA de leur personnel et des personnes qui utilisent ces systèmes en leur nom.

La Commission donne un exemple qui parle à toutes les TPE : des salariés qui se servent de ChatGPT pour rédiger des textes publicitaires ou traduire doivent être informés des risques spécifiques, comme les « hallucinations », ces réponses fausses mais crédibles. Les exigences restent souples : aucun certificat n’est nécessaire, aucun format de formation n’est imposé et aucun niveau précis n’est exigé. Pour garder la trace des formations ou actions de sensibilisation, l’entreprise peut les consigner dans un registre interne. La Commission estime toutefois que se contenter des instructions d’utilisation des systèmes d’IA pourrait se révéler inefficace.

Depuis le 2 août 2026, la surveillance relève des autorités nationales de surveillance du marché. Le règlement ne crée pas d’infraction pénale, mais la Commission souligne qu’un manque de formation des employés pourrait rendre une sanction plus probable en cas d’incident.

Comptes personnels ou offre professionnelle : la question des données

La recommandation de la CNIL de vérifier la réutilisation des données par le prestataire prend tout son sens ici. Les conditions varient d’un outil et d’une offre à l’autre, et c’est au prestataire de les préciser. Exemple chez Microsoft : la documentation de Copilot pour Microsoft 365 indique que ni les requêtes, ni les réponses, ni les données auxquelles Copilot accède par Microsoft Graph ne servent à former les grands modèles de langage de base, et que Copilot n’affiche que les données auxquelles l’utilisateur a déjà le droit d’accéder.

Ce dernier point a une conséquence pratique souvent ignorée : un assistant branché sur la messagerie et les dossiers partagés retrouvera tout ce qu’un salarié peut techniquement ouvrir. Avant de l’activer, mieux vaut vérifier les droits d’accès aux dossiers sensibles, comme les fichiers de paie ou les contrats. Microsoft rappelle aussi que ses réponses ne sont pas garanties à 100 % et qu’il faut les relire avant de les transmettre.

Les règles à écrire noir sur blanc

En combinant ces recommandations, une petite entreprise peut formaliser une courte charte interne :

1. Lister les outils autorisés, de préférence sous un compte de l’entreprise dont les conditions de réutilisation des données ont été vérifiées.
2. Interdire la saisie de données personnelles (clients, salariés, candidats) et d’informations confidentielles dans les outils non validés.
3. Exiger une relecture humaine de tout contenu produit avant envoi ou publication, en vérifiant les chiffres, les noms et les références.
4. Exclure les décisions concernant des personnes, comme le tri de candidatures ou l’évaluation d’un salarié, conformément à l’exemple d’interdit donné par la CNIL.
5. Organiser une sensibilisation sur les hallucinations et la confidentialité, et la consigner dans un registre interne.
6. Désigner un référent qui tient la liste à jour et répond aux questions.

Questions fréquentes

Mes salariés peuvent-ils utiliser ChatGPT avec leur compte personnel ?

C’est à l’entreprise d’en décider dans ses règles internes. Avec un compte personnel, elle ne maîtrise pas les conditions appliquées aux données saisies ; la CNIL recommande de définir les usages autorisés et de vérifier ce que le prestataire fait des données.

Faut-il une formation certifiante pour respecter l’AI Act ?

Non. La Commission européenne indique qu’aucun certificat n’est nécessaire ; l’entreprise peut garder la trace de ses actions de formation ou de sensibilisation dans un registre interne.

Peut-on confier à l’IA le tri des CV ?

La CNIL cite la prise de décision parmi les exemples d’usages à interdire. Pour un projet qui touche au recrutement, renseignez-vous auprès de la CNIL avant de vous lancer.

Les données saisies dans Copilot servent-elles à entraîner l’IA ?

Pour Copilot dans Microsoft 365, Microsoft indique que non. Chaque outil a ses propres conditions : lisez-les avant de l’autoriser dans l’entreprise.

Sources

• Comment déployer une IA générative ? La CNIL apporte de premières précisions — CNIL, 2024-07-18
• Alphabétisation à l'IA – Questions & Réponses — Commission européenne, 2026-10-20
• Données, confidentialité et sécurité pour Microsoft Copilot — Microsoft Learn, 2026-11-05