FR
English
Deutsch
Español
Italiano
ΕλληνικάPoints clés
- Ne collez jamais dans ChatGPT de données personnelles de clients, d’identifiants, de contrats, de résultats financiers non publiés, de données de collègues ou de secrets d’affaires.
- Les outils d’IA grand public peuvent conserver les saisies et les utiliser pour l’entraînement, ce qui crée une exposition au GDPR et à la confidentialité.
- Alternatives sûres : anonymiser le texte, utiliser un compte professionnel approuvé, ou demander avant de coller quoi que ce soit de sensible.
- L’Article 4 de l’EU AI Act impose la maîtrise de l’IA au personnel ; les autorités nationales commencent à surveiller les règles le 2 août 2026.
Un copier-coller négligent peut livrer les informations confidentielles de votre entreprise à un système que vous ne contrôlez pas. Alors, que ne faut-il pas partager avec ChatGPT ? Gardez six choses hors de toute conversation avec une IA grand public : les données personnelles des clients, les identifiants et les clés, les contrats, les résultats financiers non publiés, les données des collègues et les secrets d’affaires. Depuis le 2 février 2025, l’Article 4 de l’EU AI Act oblige aussi les employeurs à s’assurer que leur personnel sait faire exactement ce type d’arbitrage.
Que ne faut-il jamais coller dans ChatGPT ?
Six catégories d’informations ne doivent jamais entrer dans ChatGPT ni dans aucun autre agent conversationnel d’IA grand public. Chacune comporte son propre risque :
- Les données personnelles des clients. Noms, adresses e-mail, numéros de téléphone, historiques de commandes, fils de réclamation, informations de paiement ou de santé. Tout ce qui identifie une personne réelle est une donnée personnelle au sens du GDPR.
- Les identifiants et les clés. Mots de passe, clés API, jetons d’accès, chaînes de connexion à des bases de données, URL internes. Une clé collée est une clé copiée.
- Les contrats et documents juridiques. NDA, contrats fournisseurs, termes de transaction et tout ce qu’un avocat a marqué confidentiel. Résumer un contrat dans un agent conversationnel peut en soi violer ce contrat.
- Les résultats financiers non publiés. Chiffre d’affaires, prévisions, marges, documents du conseil d’administration. Si le chiffre n’est pas encore public, il n’a pas sa place dans un outil public.
- Les données des collègues. Salaires, entretiens d’évaluation, notes médicales, plaintes RH. Vos collègues n’ont jamais consenti à ce traitement.
- Les secrets d’affaires. Code source, formules, modèles tarifaires, feuilles de route produit, listes de clients. Ce sont les actifs que vos concurrents paieraient pour obtenir.
Un test simple couvre les six catégories : si vous ne l’enverriez pas par e-mail à un inconnu, ne le collez pas dans un agent conversationnel.
Pourquoi est-il risqué de coller des données d’entreprise dans ChatGPT ?
Coller des données d’entreprise dans ChatGPT est risqué pour trois raisons : l’outil peut les conserver, le droit de la protection des données peut le sanctionner, et vos contrats peuvent l’interdire. Les versions grand public des agents conversationnels d’IA peuvent conserver les conversations et, selon les paramètres du compte, les utiliser pour améliorer les futurs modèles. Une fois le texte envoyé, vous ne pouvez ni le rappeler ni le supprimer de façon fiable. Alors, quand on demande s’il est sûr de coller des données dans ChatGPT, la réponse honnête est : seulement si ces données sont publiques ou entièrement anonymisées.
L’exposition juridique est concrète. Sous le GDPR, introduire des données personnelles de clients ou de collègues dans un outil tiers constitue un traitement qui exige une base légale et des garanties appropriées. Les clauses de confidentialité des NDA et des contrats de travail interdisent généralement de divulguer des informations protégées à un tiers, et un fournisseur d’IA est un tiers. Rien de tout cela ne suppose une mauvaise intention ; un employé serviable qui résume l’e-mail d’un client suffit.
Le risque augmente quand le personnel utilise des comptes privés que l’entreprise ne voit pas. Ce phénomène, connu sous le nom d’IA fantôme au travail, signifie que des données sensibles sortent de l’entreprise via des outils que personne n’a approuvés, journalisés ni configurés.
Quelles données figurent sur la liste rouge et lesquelles sur la liste verte ?
La liste rouge couvre les données qui ne doivent jamais entrer dans une conversation avec une IA grand public ; la liste verte couvre ce qu’il est généralement sûr de saisir. Partagez ce tableau avec votre équipe ou transformez-le en page de politique interne.
| Liste rouge : ne jamais coller | Liste verte : généralement sûr |
|---|---|
| Le nom, l’e-mail ou le fil de réclamation d’un client | Un scénario anonymisé, par exemple un client qui conteste une livraison en retard |
| Mots de passe, clés API et jetons d’accès | Le texte d’un message d’erreur dont les identifiants ont été retirés |
| Contrats signés, NDA, termes de transaction | Une question juridique générique, par exemple ce que couvre habituellement une clause d’indemnisation |
| Chiffre d’affaires non publié, prévisions, documents du conseil | Des chiffres déjà publiés dans votre rapport annuel |
| Le salaire ou l’évaluation d’un collègue | Une question RH générale sans aucun nom |
| Code source, modèles tarifaires, feuilles de route produit | Des motifs de code documentés publiquement et des informations produit publiées |
La liste verte suppose un outil grand public. Un compte professionnel approuvé, doté de contrôles sur les données, peut en traiter davantage en toute sécurité, mais c’est une décision de politique d’entreprise, pas celle de la personne au clavier.
Quelles sont les alternatives sûres quand une tâche implique des données sensibles ?
Vous pouvez obtenir l’aide de l’IA sur presque toutes les tâches sans exposer de données sensibles en adoptant trois habitudes : anonymiser, utiliser les comptes approuvés et demander d’abord.
Anonymisez avant de coller. Remplacez les noms par des marqueurs comme Client A, retirez les e-mails et les numéros de compte, arrondissez ou supprimez les chiffres financiers, et généralisez la situation. « Un client en Allemagne conteste une facture » vous donne la même qualité de réponse que le fil réel.
Utilisez le compte approuvé par votre entreprise. Les offres professionnelles des outils d’IA proposent généralement des contrôles de données plus solides que les comptes gratuits grand public. Si votre employeur en fournit un, utilisez-le, et n’utilisez que ce compte pour les tâches professionnelles.
Demandez avant de coller. En cas de doute, trente secondes avec votre responsable ou votre référent protection des données valent mieux que des mois de réparation. Les entreprises peuvent supprimer les hésitations en publiant des règles claires pour tous ; un point de départ pratique est ce modèle de politique d’utilisation de l’IA.
L’EU AI Act exige-t-il que les employés sachent cela ?
En pratique, oui. L’Article 4 de l’EU AI Act (règlement (UE) 2024/1689) s’applique depuis le 2 février 2025 : les fournisseurs et les déployeurs de systèmes d’IA, y compris les entreprises ordinaires dont le personnel utilise des outils comme ChatGPT au travail, doivent prendre des mesures pour garantir un niveau suffisant de maîtrise de l’IA parmi leurs employés. Il n’existe aucune exemption pour les petites entreprises, et les autorités nationales commencent à surveiller et à faire appliquer les règles le 2 août 2026.
Deux nuances comptent. D’abord, le Digital Omnibus de 2026 a assoupli l’Article 4 en obligation de moyens : les entreprises doivent prendre des mesures appropriées pour soutenir le développement de la maîtrise de l’IA plutôt que garantir un résultat ; l’obligation elle-même reste en vigueur. Ensuite, la Q&R de la Commission européenne sur la maîtrise de l’IA précise que la notice d’utilisation seule ne suffit pas ; la formation est la mesure pratique attendue, et les registres de formation internes suffisent comme preuve (un certificat est commode, jamais une obligation légale). Les sanctions sont fixées par chaque État membre et doivent être proportionnées, et il n’existe ni programme imposé ni nombre d’heures ; les mesures doivent correspondre au rôle, au contexte et au risque. Savoir ce qu’il ne faut pas partager avec ChatGPT est au cœur de la sécurité des données face à l’IA, exactement le type de compétence que les régulateurs attendent du personnel.
Comment former toute une équipe à ces arbitrages ?
Le moyen le plus rapide de rendre chaque employé à l’aise avec la confidentialité des données ChatGPT au travail est une formation IA pour les employés courte, adaptée au rôle et assortie d’un relevé d’achèvement. Learnery est une plateforme de formation à l’IA accessible depuis le navigateur qui certifie les employés en huit heures environ pour 39 euros par siège, en paiement unique. Le séminaire se déroule en douze étapes : les étapes 1 à 3 couvrent les fondamentaux de l’IA, l’usage sûr au travail (la matière de cet article) et le prompting quotidien, tandis que les étapes 4 et 5 s’adaptent à votre secteur et à votre rôle exact. Les apprenants s’exercent sur une IA en direct dans un laboratoire de prompts, et l’achèvement donne un certificat avec un code vérifiable que chacun peut contrôler en ligne, ce qui vaut aussi comme relevé de formation au titre de l’Article 4.
Learnery couvre 35 secteurs en six langues, et les remises de volume commencent au-delà de 10 sièges. Si vous voulez savoir ce que vaut huit heures de formation face au coût d’un seul mauvais copier-coller, faites le calcul dans le calculateur de ROI gratuit ou créez un compte et invitez votre équipe depuis le tableau de bord.