Vos salariés utilisent ChatGPT. Et maintenant ?

Dans toutes les sensibilisations que nous animons depuis deux ans, c’est la question qui revient en premier, avant les cookies et avant les durées de conservation : « est-ce que j’ai le droit d’utiliser ChatGPT pour ça ? ». La question est saine. Ce qui l’est moins, c’est que dans la plupart des organisations, personne n’y a répondu.

Ce qui part vraiment dans ces outils

Le scénario type n’a rien d’exotique. Un commercial colle un contrat entier dans un chatbot pour en faire un résumé. Une assistante RH y dépose trois CV pour préparer une synthèse. Un développeur y envoie un export de base de données pour déboguer une requête. À chaque fois, des données personnelles, parfois sensibles, quittent l’entreprise vers un service tiers, le plus souvent hors Union européenne, dans des conditions que personne n’a vérifiées.

Sur une version grand public gratuite, ces contenus peuvent servir à entraîner les modèles, et l’entreprise n’a signé aucun contrat de sous-traitance. Au sens du RGPD, il s’agit d’une communication de données à un tiers sans base juridique, sans information des personnes et sans encadrement de l’article 28. Et personne ne l’a décidé : c’est ça, le vrai problème.

Le sujet dépasse d’ailleurs vos propres équipes. En relisant les conventions de partenaires de nos clients, il arrive maintenant de trouver un fournisseur d’IA américain dans la liste des sous-traitants, ajouté au détour d’une mise à jour, sans que personne côté client ne l’ait relevé. La question « qui utilise de l’IA sur nos données ? » se pose aussi à vos prestataires.

Pourquoi l’interdiction pure échoue

La tentation du blocage est compréhensible, et elle produit l’inverse de l’effet recherché. L’usage ne s’arrête pas, il se déplace : sur le téléphone personnel, sur le poste de la maison, sur un compte privé. Vous perdez alors la seule chose qui compte, la visibilité. Le terme consacré est « shadow AI », et il décrit la réalité de la plupart des interdictions décrétées sans alternative.

À l’inverse, laisser faire sans règle revient à accepter que le niveau de protection de vos données soit décidé, au cas par cas, par la personne la plus pressée de l’entreprise.

Les trois pièces d’un encadrement qui tient

L’inventaire. Avant d’écrire une règle, savoir ce qui se passe. Quels outils sont utilisés, par qui, pour quoi. Un questionnaire anonyme donne des réponses plus honnêtes qu’un audit frontal, précisément parce que les usages actuels sont officieux.

Les règles d’usage, écrites dans la charte informatique. Pas une politique de trente pages : une page claire. Ce qui peut être soumis à un outil d’IA, du contenu public, des textes anonymisés, ce qui ne le peut jamais, données clients, données RH, données de santé, secrets d’affaires, sur quels outils validés par l’entreprise, et vers qui lever la main en cas de doute. Si l’entreprise choisit une offre professionnelle, avec contrat de sous-traitance et sans réutilisation des données pour l’entraînement, la règle devient simple à énoncer : cet outil-là, dans ces conditions-là.

La sensibilisation par les cas concrets. Une présentation générique sur les dangers de l’IA ne change aucun comportement. Le résumé de contrat, la synthèse de CV, l’export de base : trois cas vécus, montrés en dix minutes, marquent plus qu’une heure de théorie. C’est la même logique que pour l’hameçonnage.

Et le règlement IA dans tout ça

Le règlement européen sur l’IA, dont l’essentiel s’applique depuis le 2 août 2026, ajoute des obligations de transparence et vise surtout les usages qui évaluent des personnes. Utiliser un assistant pour rédiger n’en fait pas partie ; trier des candidatures, oui. Les deux sujets se rejoignent dans le même document : la charte qui dit qui peut utiliser quoi, sur quelles données. Nous y consacrons un article dédié sur le volet recrutement.

C’est le genre de chantier que nous menons dans le cadre d’une mise en conformité ou d’un accompagnement DPO : inventaire, règles, formation, puis mise à jour de la documentation.