Vos salariés mettent-ils vos données confidentielles dans ChatGPT ?

Oui, dans la plupart des entreprises, des données confidentielles finissent dans ChatGPT ou un outil équivalent — rarement par malveillance, presque toujours pour gagner du temps. Un contrat collé pour être résumé, un fichier client collé pour être trié : le geste prend trois secondes et sort l'information de votre périmètre. Voici ce que ça déclenche, et comment reprendre la main.

Quelles données confidentielles finissent dans ChatGPT, et par quel geste

Les fuites de données par l'IA générative ne ressemblent pas à une intrusion. Elles ressemblent à du travail.

Voici les situations les plus fréquentes dans une PME, toutes parfaitement bien intentionnées.

• Un contrat collé pour être résumé. Le commercial veut les points clés d'un contrat-cadre de quarante pages avant un rendez-vous. Il colle l'intégralité du document, clauses de confidentialité comprises.
• Un fichier client collé pour être trié. Une extraction du CRM, noms et coordonnées inclus, transformée en liste de priorités d'appel.
• Un devis reformulé. Les prix, remises et conditions particulières accordées à un client passent dans la fenêtre de saisie pour obtenir « une version plus commerciale ».
• Un CV comparé à une fiche de poste. Des données de candidat, parfois sensibles, utilisées pour produire une grille d'évaluation.
• Un extrait de code ou une formule de calcul métier. C'est souvent le savoir-faire le plus différenciant de l'entreprise qui part en premier.

Le point commun de ces cinq gestes : personne ne les vit comme un transfert de données. Ils sont vécus comme un usage d'un outil, au même titre qu'un correcteur orthographique.

Ce que ça déclenche juridiquement

Deux régimes distincts sont concernés, et ils ne se recouvrent pas.

Les données personnelles. Dès qu'un nom, un e-mail, un numéro de téléphone, un CV ou une donnée de santé est saisi, le RGPD s'applique. Vous confiez alors un traitement à un tiers dont vous n'avez peut-être pas encadré le rôle, sans base légale identifiée pour cette opération, sans information des personnes concernées, et éventuellement avec un hébergement hors de l'Union européenne que vous n'avez pas documenté. Ce n'est pas un détail de forme : c'est la chaîne de responsabilité de votre entreprise.

Le secret des affaires. La protection d'une information confidentielle suppose que son détenteur ait pris des mesures raisonnables pour la garder secrète. Une entreprise qui n'a défini aucune règle sur la saisie de ses informations dans des outils en ligne affaiblit sa propre position si elle doit un jour défendre ce secret. À cela s'ajoutent vos engagements contractuels.

Beaucoup d'accords de confidentialité interdisent la transmission d'informations à un tiers non autorisé. Reste à savoir si l'éditeur de l'outil relève de cette qualification. Selon le contrat applicable, il peut être un tiers non autorisé, ou un sous-traitant admis. Cela se vérifie clause par clause et ne se présume pas.

L'AI Act, lui, se place ailleurs : il régit la mise sur le marché et l'usage des systèmes d'IA, pas la protection des données. Les deux textes s'appliquent en même temps, et aucun ne remplace l'autre.

Compte grand public et compte professionnel : la différence qui compte

C'est une distinction souvent ignorée, et c'est l'une des plus utiles.

Dans les versions grand public gratuites ou individuelles, le traitement des contenus saisis dépend des réglages du compte et des conditions d'utilisation de l'éditeur. Le paramétrage par défaut n'est pas toujours celui qui protège le mieux, et il est choisi par l'utilisateur, pas par l'entreprise. Autrement dit : vous n'avez aucune maîtrise de la configuration.

Dans les offres destinées aux entreprises, l'éditeur propose en général des engagements contractuels sur l'usage des contenus saisis, une administration centralisée des comptes et des paramètres, et une documentation exploitable sur l'hébergement. La différence de fond n'est pas la qualité des réponses : c'est l'existence d'un contrat et d'un administrateur.

Retenez la règle pratique : ce n'est pas l'outil qui est risqué, c'est le compte non encadré. Un même produit peut être acceptable dans un cadre professionnel et problématique via un compte personnel. Vérifiez les conditions et la documentation de l'éditeur avant de trancher, car les offres évoluent vite.

Pourquoi la détection technique est un mauvais premier réflexe

Face à ce constat, la tentation est de tout filtrer : blocage des domaines, inspection du trafic, alertes sur les contenus sortants.

Pour une PME, ce réflexe pose trois problèmes.

Le coût, d'abord. Ces dispositifs demandent un outillage, un paramétrage et quelqu'un pour traiter les alertes. C'est un budget de sécurité qui n'a de sens qu'appuyé sur une politique déjà écrite.

Le climat social, ensuite. Un dispositif d'inspection des contenus saisis par les collaborateurs suppose une justification, une information et un encadrement sérieux. Mis en place à la va-vite, il produit de la défiance pour un bénéfice faible.

L'efficacité, enfin. Le contournement prend dix secondes : le téléphone personnel n'est pas sur votre réseau. Vous bloquez le canal visible et vous perdez la visibilité sur le reste.

Un point de méthode important : Harmonia ne surveille pas vos collaborateurs et ne détecte techniquement aucun usage. L'approche est déclarative et ascendante — chaque personne décrit ce qu'elle utilise, et l'entreprise consigne ces déclarations par écrit. Les signaux qui permettent de repérer un usage non déclaré sans aucun outil de détection sont décrits dans l'article sur les signes de shadow AI en entreprise.

Où agir vraiment : sur le geste, puis sur le compte

Le risque ne tient pas à la technologie. Il tient à deux choses très concrètes : un geste et un compte.

Le geste, c'est le copier-coller. Trois secondes, aucune intention de nuire, et une information de l'entreprise se retrouve saisie dans un service que vous n'avez pas contractualisé. Tant qu'aucune règle écrite ne porte sur ce point précis, le geste se répète. Il fait gagner du temps, et rien n'indique à celui qui le fait qu'il pose un problème.

Le compte, lui, détermine ce qu'il advient de l'information une fois saisie. Un compte grand public dépend des réglages choisis par l'utilisateur et des conditions de l'éditeur, sans administrateur côté entreprise. Un compte professionnel s'appuie sur un contrat, une administration centralisée des paramètres et une documentation exploitable. Le même produit ne se comporte donc pas de la même façon selon la porte d'entrée.

C'est là que se joue l'essentiel, et pas dans le choix de l'outil. Trois décisions traitent le geste et le compte en même temps. Nommer les catégories de données interdites en saisie, fournir un accès professionnel administré, demander à chacun de déclarer ses usages. Aucune des trois ne suppose de surveiller qui que ce soit.

Reste à savoir jusqu'où aller dans la contrainte. Ce qu'un employeur peut réellement imposer, et pourquoi l'interdiction générale échoue, est traité dans l'article qui répond à la question faut-il interdire ChatGPT au travail. Pour situer l'obligation réglementaire qui pèse sur une entreprise qui utilise l'IA sans en être le fournisseur, lisez ce qui s'applique vraiment à une PME.

Questions fréquentes

Un abonnement payant suffit-il à régler le problème ?

Il règle une partie du problème, pas la totalité. Une offre professionnelle vous donne un contrat, une administration des comptes et des engagements sur le traitement des contenus. Elle ne dit pas à vos équipes quelles données ne doivent jamais être saisies, et elle ne trace pas les usages. Le contrat sans règle interne laisse le risque principal intact.

Que faire si des données clients ont déjà été saisies ?

Ne tranchez pas seul et ne dramatisez pas. Documentez ce qui a été saisi, dans quel outil, avec quel compte et à quelle date. Faites ensuite qualifier l'événement avec votre DPO ou votre conseil. Selon les cas, il peut s'agir d'une simple mise en conformité de vos règles internes ou d'un incident à traiter au titre du RGPD. Dans tous les cas, la trace écrite de votre réaction compte autant que l'événement.

Faut-il prévenir les clients ou les candidats concernés ?

Cela dépend de la qualification retenue à l'étape précédente, et cette décision relève de votre analyse RGPD, pas d'un principe général. Ce qui est certain, c'est qu'une entreprise capable de dire précisément ce qui s'est passé et ce qu'elle a changé se trouve dans une bien meilleure position qu'une entreprise qui découvre le sujet le jour de la question.

Où en est votre entreprise ?

L'audit de maturité IA d'Harmonia évalue vos usages, votre exposition et vos priorités. Gratuit en 5 min.

Lancer l'audit de maturité IA