Filtre de trente secondes, douze règles, cas PME et contrôles : un guide opérationnel pour encadrer les usages de ChatGPT au travail.
ChatGPT et les autres IA génératives peuvent être utilisés en entreprise si la PME définit des tâches précises, protège les informations saisies, vérifie chaque résultat important et maintient une décision humaine. Une règle utile ne se limite donc pas à « autorisé » ou « interdit » : elle indique ce que le salarié peut faire seul, ce qui exige une validation et ce qui ne doit jamais être transmis.
Peut-on autoriser ChatGPT en entreprise ?
Oui, mais pas comme un outil sans règles. La bonne approche consiste à partir des tâches réelles : reformuler un email générique, préparer un plan, résumer un texte public, analyser un document interne ou assister une décision. Ces usages n’exposent ni les mêmes informations ni les mêmes personnes.
La CNIL recommande de partir d’un besoin concret, de définir des usages autorisés et interdits, de ne pas occulter les limites des systèmes et d’examiner la manière dont le fournisseur peut traiter les données transmises. L’ANSSI recommande également une posture de prudence lors du déploiement et de l’intégration d’une IA générative dans le système d’information.
Utilisez l’IA pour assister une tâche définie, avec le minimum d’informations nécessaire, puis faites vérifier le résultat par une personne compétente avant toute utilisation importante.
Les quatre décisions à prendre avant d’écrire les règles
1. Quels outils et quels comptes sont acceptés ?
Une entreprise ne devrait pas laisser chacun choisir librement un outil et un compte pour traiter des contenus professionnels. Désignez les solutions évaluées, les types de comptes acceptés et la personne qui peut autoriser un nouvel outil. Un abonnement payant, à lui seul, ne répond pas à toutes les questions : il faut lire les conditions actuelles, les réglages disponibles, les lieux de traitement, la durée de conservation et les possibilités de réutilisation des données.
2. Quelles tâches l’IA peut-elle assister ?
Décrivez les tâches, pas seulement le nom de l’outil. « Préparer trois variantes d’un titre à partir d’informations publiques » est beaucoup plus clair que « utiliser ChatGPT pour le marketing ». Cette précision permet de fixer les données acceptables et le contrôle attendu.
3. Quelles informations nécessitent un arrêt ou une validation ?
Donnez des exemples issus de l’entreprise : fichier clients, prix non publics, CV, données de santé, contrat, mot de passe, code source confidentiel, incident de sécurité ou document couvert par une obligation de secret. Les salariés doivent reconnaître ces situations sans avoir à improviser une analyse juridique.
4. Qui valide le résultat ?
« Vérifier la réponse » n’est pas une consigne suffisante. Précisez qui contrôle, sur quels critères et avant quelle diffusion. Un texte commercial peut nécessiter une validation métier ; un calcul, une source ou une clause contractuelle nécessite le regard d’une personne capable d’en apprécier la justesse.
Le filtre de trente secondes avant la saisie
Avant de copier une information professionnelle, demandez d’abord si elle est publique. Si elle ne l’est pas, cherchez si les noms, références, montants ou extraits réels peuvent être remplacés par un cas fictif. Enfin, vérifiez que l’outil et le compte ont été acceptés pour cette catégorie de contenu.
Ce filtre ne signifie pas que toute donnée publique peut être réutilisée sans limite. Il sert à déclencher une première décision interne. La finalité, les droits sur les contenus, les personnes concernées et les règles métier restent à examiner lorsque le contexte le demande.
Les 12 règles à transmettre aux salariés
- Partir d’une tâche précise.Définissez le résultat attendu avant d’ouvrir l’outil. Une demande vague encourage l’ajout d’informations inutiles et produit une réponse plus difficile à contrôler.
- Utiliser uniquement un outil et un compte validés.N’employez pas un compte personnel ou une extension inconnue pour un document professionnel. Si l’outil n’est pas dans la liste interne, demandez une validation.
- Ne jamais transmettre un secret d’accès.Mot de passe, clé d’API, code de récupération, jeton de session ou configuration donnant accès à un système ne doivent jamais être copiés dans une conversation avec une IA.
- Identifier le niveau de sensibilité avant la saisie.Demandez-vous si le contenu est public, interne, confidentiel ou particulièrement sensible. En cas de doute, arrêtez la saisie et demandez conseil.
- Réduire et transformer les données.Supprimez les noms, coordonnées, références client et détails inutiles. Utilisez un exemple fictif ou un extrait expurgé lorsque cela suffit pour obtenir le résultat attendu.
- Ne pas déléguer une décision importante.L’IA peut préparer, comparer ou suggérer. Elle ne doit pas décider seule d’un recrutement, d’une sanction, d’un accès à un service, d’un engagement contractuel ou d’une action ayant un effet important sur une personne.
- Vérifier les faits, les chiffres et les dates.Une réponse fluide peut être fausse ou dépassée. Revenez aux documents de référence, refaites les calculs et contrôlez les éléments déterminants.
- Ouvrir réellement les sources citées.Une URL, une jurisprudence, une étude ou une citation peut être inexistante ou déformée. Ne reprenez jamais une source sans la consulter.
- Relire les biais et les formulations problématiques.Vérifiez les stéréotypes, les exclusions, les généralisations et les différences de traitement, particulièrement pour les contenus concernant des personnes.
- Signaler l’assistance de l’IA lorsque le contexte le demande.La transparence attendue dépend de l’usage, du destinataire et des règles applicables. Prévoyez des cas simples dans la politique interne plutôt que de laisser chacun décider seul.
- Réagir vite en cas d’erreur de saisie.Notez l’outil, le compte, l’heure et la nature des informations transmises, puis prévenez le contact interne désigné. Ne tentez pas de masquer l’incident.
- Revoir les règles régulièrement.Les fonctions, modèles, réglages et conditions des fournisseurs évoluent. Une revue trimestrielle courte est préférable à une charte longue oubliée après sa publication.
Tableau : autorisé, à valider ou à éviter
Ce tableau est un exemple pédagogique à adapter aux outils, aux contrats et aux activités de l’entreprise.
| Situation | Orientation initiale | Précaution attendue |
|---|---|---|
| Créer le plan d’un article à partir de sources publiques | Autorisé | Vérifier les faits et réécrire avec la voix de l’entreprise. |
| Reformuler un email sans nom, montant ni information confidentielle | Autorisé | Relire le ton, le destinataire et les engagements formulés. |
| Résumer un compte rendu interne contenant des noms | À valider | Réduire les données et utiliser uniquement un environnement expressément approuvé. |
| Analyser des CV ou classer des candidats | À valider | Escalade obligatoire : finalité, données, critères, information, biais et contrôle humain doivent être examinés. |
| Copier un contrat client non public dans un outil grand public | À éviter | Employer un cas fictif ou un environnement contractuellement et techniquement validé. |
| Demander à l’IA de choisir seule une sanction ou un licenciement | À éviter | Ne pas déléguer cette décision ; demander l’appui des personnes compétentes. |
| Partager un mot de passe, une clé API ou un jeton | Interdit | Aucune exception dans une conversation avec une IA. |
Cinq exemples concrets pour une PME
Une règle devient compréhensible lorsqu’elle montre le passage d’une demande risquée à une demande mieux maîtrisée. Les formulations ci-dessous sont des modèles pédagogiques : elles ne rendent pas automatiquement un traitement acceptable et doivent rester dans le périmètre des outils approuvés.
| Métier et besoin | Demande à éviter | Alternative de travail | Contrôle final |
|---|---|---|---|
| Commerce : relancer un prospect | Copier tout l’historique nominatif du CRM. | Décrire un secteur, un besoin générique et le ton attendu sans nom, email ni montant réel. | Le commercial vérifie les faits, le destinataire, le ton et toute promesse. |
| RH : préparer une offre d’emploi | Transmettre le CV d’un candidat comme exemple. | Utiliser une fiche de poste et des compétences génériques, sans données de candidat. | La personne RH relit les critères, les biais possibles et les mentions à publier. |
| Support : résumer un problème récurrent | Coller un ticket contenant identité, coordonnées et identifiant de compte. | Créer un scénario fictif qui conserve uniquement le type d’erreur et les étapes techniques utiles. | Le support reproduit la solution dans l’environnement prévu avant de répondre. |
| Direction : comparer deux scénarios | Fournir les marges, prix négociés et noms des partenaires. | Remplacer les acteurs et montants par des catégories et des valeurs arrondies lorsque cela suffit. | La direction refait les calculs et confronte les hypothèses aux données internes. |
| Communication : résumer une étude | Demander une synthèse sans ouvrir l’étude ni vérifier sa date. | Donner la source officielle consultée et demander une structure de synthèse. | Le rédacteur revient au document, contrôle chaque chiffre et reformule avec la voix de l’entreprise. |
La précision de la consigne améliore parfois le résultat, mais elle ne justifie pas la transmission d’un fichier réel. Commencez par réduire les données ; améliorez ensuite la demande.
Déployer ces règles en sept jours
- Jour 1 — Recenser. Interroger chaque équipe sur les tâches réellement assistées par une IA.
- Jour 2 — Prioriser. Isoler les usages impliquant des personnes, des données confidentielles ou une décision importante.
- Jour 3 — Choisir. Établir la liste des outils et comptes acceptés, ainsi qu’un canal de demande pour les nouveaux outils.
- Jour 4 — Rédiger. Adapter les douze règles avec des exemples issus des métiers de l’entreprise.
- Jour 5 — Tester. Faire relire les règles par deux ou trois utilisateurs et vérifier qu’ils savent classer des situations concrètes.
- Jour 6 — Expliquer. Organiser une sensibilisation courte avec démonstration, exercice et temps de questions.
- Jour 7 — Documenter. Nommer un responsable, conserver les traces utiles et planifier la première revue.
Cette semaine de lancement n’achève pas la démarche. Elle permet d’obtenir une première version utilisable, qui sera enrichie lorsque de nouveaux usages ou fournisseurs apparaîtront.
Pour transformer ce plan en parcours court, relié aux rôles et aux outils réellement utilisés, consultez la page sensibilisation IA des salariés pour PME.
Contrôler un résultat avant de l’utiliser
Le contrôle doit être lié à l’usage. Un salarié qui relit seulement l’orthographe ne vérifie ni les faits, ni les calculs, ni la présence d’un biais. Pour chaque tâche autorisée, indiquez le document de référence, la personne compétente et les motifs qui imposent d’arrêter.
| Type de résultat | Vérification minimale | Qui peut valider ? | Signal d’arrêt |
|---|---|---|---|
| Email ou contenu commercial | Destinataire, faits, prix, ton, engagements et liens. | La personne responsable de la relation ou de l’offre. | Promesse non prévue, chiffre sans source ou formulation trompeuse. |
| Synthèse documentaire | Comparaison ligne à ligne avec les documents réellement consultés. | Une personne connaissant le dossier et ses limites. | Source absente, citation inventée ou omission qui change le sens. |
| Calcul, tableau ou extraction | Reproduction sur un échantillon et contrôle des unités, formules et totaux. | Le métier propriétaire des données. | Écart inexpliqué, format instable ou données manquantes. |
| Contenu relatif à une personne | Nécessité, pertinence, biais, exactitude et possibilité de correction. | Le responsable métier, avec escalade selon le contexte. | Classement automatique, critère opaque ou effet important non revu. |
| Code ou procédure technique | Revue, test isolé, dépendances, secrets et effets sur le système. | Une personne compétente sur l’environnement concerné. | Commande destructive, dépendance inconnue ou secret exposé. |
La validation humaine n’est utile que si la personne dispose du temps, des références et de la compétence nécessaires pour contester la proposition. Lorsque le coût de vérification dépasse le gain attendu, l’usage doit être simplifié, davantage limité ou abandonné.
Quelles traces conserver ?
Conserver une trace ne signifie pas enregistrer toutes les conversations des salariés. Une documentation proportionnée peut comprendre :
- la version et la date de la politique interne diffusée ;
- la liste des outils et usages examinés ;
- le support de sensibilisation et les exemples utilisés ;
- la date, le public et la durée de l’action pédagogique ;
- les questions soulevées et les changements décidés ;
- la date de la prochaine revue.
Depuis l’entrée en vigueur à la mi-juillet 2026 des modifications apportées par l’Omnibus numérique sur l’IA, l’article 4 demande aux fournisseurs et déployeurs de prendre des mesures pour soutenir le développement de la maîtrise de l’IA, en tenant compte des connaissances, de l’expérience, de la formation et du contexte d’utilisation. Une attestation de suivi peut documenter une action pédagogique ; elle ne démontre pas, à elle seule, la qualité de toutes les pratiques de l’entreprise.
Ajoutez une revue après tout changement significatif : nouveau compte, connecteur vers la messagerie, fonction de recherche web, traitement de fichiers, automatisation, nouvelle catégorie de données ou évolution des documents contractuels. Le nom « ChatGPT » ne décrit pas un environnement stable : les offres, fonctions, réglages et engagements applicables doivent être vérifiés dans leur version actuelle.
Pour structurer ces règles : approfondissez les gestes anti-fuite de données, formalisez une politique IA interne et organisez une découverte transparente des usages IA encore invisibles.
Donnez un filtre simple à vos équipes
Le guide « 12 gestes anti-fuite » complète cet article avec une classification des données, des cas pratiques et une première réponse à incident.
Questions fréquentes sur ChatGPT en entreprise
Faut-il interdire ChatGPT au travail ?
Pas systématiquement. Une interdiction générale peut déplacer les usages hors du radar de l’entreprise. Une liste d’usages autorisés, à valider et interdits, accompagnée d’outils approuvés et d’exemples concrets, est souvent plus applicable.
Peut-on mettre des données confidentielles dans une IA générative ?
Pas dans un outil ou un compte qui n’a pas été expressément validé pour cet usage. Il faut examiner le besoin, réduire les données, vérifier les conditions et réglages actuels, puis déterminer si l’environnement offre les garanties adaptées. En cas de doute, utilisez un exemple fictif ou demandez une validation.
Un abonnement payant protège-t-il automatiquement les données ?
Non. Le prix ne remplace pas l’examen du contrat, des réglages, de la conservation, des sous-traitants, des usages des données et des mesures de sécurité. Ces éléments peuvent aussi évoluer : vérifiez les documents actuels du fournisseur.
Une charte IA est-elle obligatoire ?
Le besoin documentaire dépend du contexte. Une politique interne courte est néanmoins un moyen pratique de rendre les règles accessibles, de désigner les responsabilités et de relier la sensibilisation aux usages réels. Elle reste un projet à adapter et valider par l’entreprise.
L’AI Act impose-t-il une formation identique à tous les salariés ?
Non. L’article 4 prévoit des mesures soutenant le développement de la maîtrise de l’IA en tenant compte des connaissances, de l’expérience, de la formation et du contexte d’utilisation. Le format et les exemples doivent donc être proportionnés aux rôles et aux usages.
Comment prouver qu’une sensibilisation a été réalisée ?
Conservez des éléments factuels : version du support, date, durée, public, exercices, questions et prochaine revue. Une attestation peut constater un suivi, mais elle ne certifie pas à elle seule la qualité de toutes les mesures prises.
Sources officielles consultées
- CNIL — Utiliser l’IA générative dans les TPE et PME.
- CNIL — Comment déployer une IA générative ?.
- CNIL — Questions-réponses sur l’utilisation d’un système d’IA générative.
- ANSSI — Recommandations de sécurité pour un système d’IA générative.
- Commission européenne — Questions-réponses sur la maîtrise de l’IA et l’article 4.
- OpenAI — Engagements actuels de confidentialité pour les offres professionnelles.
Sources relues le 31 août 2026. La source du fournisseur décrit ses propres offres : confrontez-la au contrat, aux réglages et aux documents applicables à votre compte. Les conditions et fonctionnalités évoluent ; vérifiez leur version actuelle avant de valider un usage.
Ce document constitue une aide documentaire et pédagogique. Il ne remplace pas un conseil juridique personnalisé.