ChatGPT en entreprise : interdire, encadrer ou outiller ?

Utiliser ChatGPT en entreprise pose d'abord une question de données : ce qu'un salarié saisit dans un service grand public sort du système d'information. L'ANSSI demande de ne jamais y envoyer de données sensibles, et la CNIL recommande d'encadrer l'usage par une charte qui liste les usages autorisés et interdits.

Que risque une entreprise quand ses salariés utilisent ChatGPT ?

Le premier risque est la fuite. Dans ses recommandations de sécurité pour un système d'IA générative (avril 2024), l'ANSSI écrit qu'envoyer des informations à un service d'IA générative grand public « revient à déposer ces mêmes informations sur un espace de stockage leur appartenant », dont la confidentialité repose uniquement sur la confiance envers le prestataire. Sa recommandation R34 proscrit l'usage de ces outils pour un usage professionnel impliquant des données sensibles, et cite ChatGPT, Gemini, Copilot, DeepL et Perplexity. Les données visées :

données personnelles (vie privée, coordonnées) ;
données contractuelles, juridiques ou financières de l'entreprise ;
secrets informatiques, comme les mots de passe ou les clés d'API ;
informations de niveau Diffusion Restreinte ou classifiées, et travaux relevant de la protection du potentiel scientifique et technique.

En avril 2023, des salariés de la division Device Solutions de Samsung ont transmis des données internes sensibles à ChatGPT. Le groupe a restreint temporairement, à partir du 1er mai 2023, l'usage des outils d'IA générative sur ses appareils et sur son réseau interne, en invoquant la difficulté à « récupérer et supprimer » des données stockées sur des serveurs externes, selon TechCrunch, qui reprend une information de Bloomberg.

Le second risque tient aux réponses. La CNIL rappelle que les modèles génératifs « ne sont pas des bases de connaissance » et peuvent produire des résultats inexacts qui paraissent plausibles. Elle précise que, dans le cas général, c'est l'organisme utilisateur qui engage sa responsabilité en cas de mauvaise utilisation de l'IA par son personnel.

Quelle différence entre ChatGPT grand public et une offre entreprise ?

Elle porte sur la réutilisation des données. Selon la page d'aide d'OpenAI sur les contrôles de données (consultée le 22 septembre 2026), un réglage « Improve the model for everyone » décide, dans les offres individuelles, si les conversations servent à entraîner les modèles ; une fois désactivé, les nouvelles conversations ne sont plus utilisées. Pour les espaces ChatGPT Business, Enterprise et Edu, OpenAI indique ne pas utiliser leur contenu pour l'entraînement par défaut, avec des réglages de conservation au niveau de l'organisation. Les conversations temporaires peuvent être conservées jusqu'à 30 jours pour des raisons de sécurité.

L'absence d'entraînement ne signifie pas que les données restent chez soi : elles sont traitées par le fournisseur, sur son infrastructure et sous son droit, ce que détaillent les articles Ce que veut dire héberger en France et Cloud Act et RGPD. La CNIL admet, pour des usages non confidentiels, un service grand public ouvert avec des adresses professionnelles dédiées, jamais personnelles, en désactivant si possible la réutilisation des données. Pour des données personnelles ou une documentation sensible, elle juge généralement plus sûr un déploiement sur site, ou à défaut un hébergement distant encadré par un contrat de sous-traitance.

Pourquoi interdire ChatGPT en entreprise ne suffit pas ?

Parce que la plupart des entreprises n'ont rien décidé et que l'usage individuel échappe à la mesure. Selon l'étude de Bpifrance Le Lab de juin 2025, 53 % des 1 209 dirigeants de PME et ETI interrogés fin 2024 n'avaient pas pris position sur l'utilisation des IA libres d'accès par leurs employés, et 54 % des entreprises ayant adopté l'IA utilisaient des solutions gratuites. L'enquête TIC de l'Insee interroge les entreprises sur leur usage organisé de l'IA : leurs réponses n'incluent en principe pas les utilisations ponctuelles et individuelles des salariés.

Un blocage par filtrage web ne couvre que les postes et le réseau de l'entreprise, comme la restriction de Samsung, limitée à ses appareils et à son réseau interne. L'usage se reporte alors sur des téléphones et des comptes personnels, que la DSI ne voit pas : c'est le shadow IT appliqué à l'IA, que l'étude de Bpifrance appelle « shadow AI » et qu'elle propose de réduire en ouvrant le dialogue avec les salariés. Une interdiction tient quand elle s'accompagne d'un outil autorisé qui couvre les mêmes besoins.

Que mettre dans une charte d'usage de l'IA générative ?

Les questions-réponses de la CNIL de juillet 2024 et la recommandation R34 de l'ANSSI donnent la matière d'une charte courte :

Les outils autorisés, utilisés avec des comptes professionnels, et la désactivation de la réutilisation des données quand l'offre le permet.
Les données interdites en saisie, reprenant la liste de l'ANSSI et la classification interne de l'entreprise.
Les usages autorisés et les usages interdits, par exemple ne pas confier de prise de décision à l'outil, comme le suggère la CNIL.
La vérification des sorties : exactitude, plagiat, biais ; ne jamais reproduire une réponse telle quelle.
Une formation préalable obligatoire et des modèles de requêtes pour les tâches courantes.
Un référent, par exemple le DPO avec le RSSI, un point de contact pour signaler un problème, et des contrôles réguliers.

La charte suppose un outil autorisé vers lequel orienter les usages : une offre entreprise sous contrat, ou un système déployé en interne. Quand le besoin est d'interroger les documents de l'entreprise, le sujet devient celui du RAG documentaire, et les obligations liées aux données personnelles sont traitées dans l'article RGPD et IA générative.

Qui doit porter le sujet dans l'entreprise ?

La direction, qui arbitre entre interdiction, tolérance et outillage. La synthèse de la CNIL demande d'impliquer dès le début le DPO, le responsable des systèmes d'information, le RSSI et les responsables métiers, et de partir d'un besoin concret plutôt que de déployer un outil sans but précis. Bpifrance Le Lab constate que le dirigeant porte la transformation liée à l'IA dans 73 % des cas.

Questions fréquentes

ChatGPT est-il interdit en entreprise ?

Ni l'ANSSI ni la CNIL n'interdisent l'outil en tant que tel. L'ANSSI proscrit l'envoi de données sensibles aux services grand public, la CNIL demande de fixer par écrit les usages autorisés et interdits.

Comment bloquer ChatGPT en entreprise ?

Par le filtrage web et la gestion des postes, qui ne couvrent que les appareils et le réseau de l'entreprise. Sans outil autorisé en parallèle, l'usage passe sur des équipements personnels.

Qu'est-ce que le shadow IT appliqué à l'IA ?

L'usage d'outils d'IA par des salariés sans validation de l'employeur, souvent avec des comptes personnels. Il échappe aux statistiques de l'Insee, qui mesurent l'usage organisé par l'entreprise.

Une offre entreprise règle-t-elle le problème ?

Elle règle l'entraînement sur les données, désactivé par défaut chez OpenAI pour les offres Business, Enterprise et Edu. Elle laisse ouvertes la question de l'hébergeur et du droit applicable, et celle de la vérification des réponses.

Sources

Tous les articles

ChatGPT en entreprise : pourquoi l'interdiction seule ne suffit pas