Faut-il interdire ChatGPT au travail ? La réponse est non

Non. Interdire ChatGPT en entreprise ne supprime pas l'usage, il le rend invisible : les équipes basculent sur leur téléphone personnel, hors de tout périmètre maîtrisé. La position défendable est le cadrage — un périmètre autorisé, des outils fournis, des données interdites en saisie, une déclaration obligatoire. Voici le raisonnement complet, et ce qu'un employeur peut réellement imposer.

Trois positions possibles, trois conséquences

Un dirigeant qui découvre que ses équipes utilisent l'IA a trois options. Elles ne se valent pas.

L'interdiction sèche

Une note annonce que l'usage d'outils d'IA générative est interdit. Le sujet semble réglé, et le dossier se referme.

Ce qui se produit ensuite est assez constant. Les collaborateurs qui gagnaient deux heures par semaine ne renoncent pas à ces deux heures : ils déplacent l'usage sur un appareil personnel. L'entreprise perd la remontée d'information, garde le risque intact et se prive de tout levier de correction. Elle a aussi renoncé à un gain de productivité que ses concurrents encaissent.

Il reste un effet secondaire coûteux : le sujet devient tabou. Personne ne signalera plus qu'un document client a été produit avec un outil non validé.

Le laisser-faire

Rien n'est dit, rien n'est écrit. Chacun fait comme il l'entend, avec le compte qu'il veut.

C'est la situation par défaut de beaucoup de PME, et c'est la plus exposée. Vous cumulez les deux problèmes : des données qui sortent sans règle, et aucune trace démontrant que vous avez agi. Le jour où un client, un assureur ou un donneur d'ordre demande comment l'IA est encadrée chez vous, il n'y a rien à montrer.

Le cadrage

L'entreprise autorise explicitement certains usages, en interdit d'autres, fournit un outil administré et demande à chacun de déclarer ce qu'il utilise.

C'est plus exigeant à écrire, et beaucoup plus simple à tenir. Vous conservez le gain de productivité, vous réduisez le risque là où il est réel — les données saisies et les contenus publiés sans relecture — et vous produisez la trace écrite qui vous manquait.

Pourquoi interdire ChatGPT en entreprise fabrique du shadow AI

Le mécanisme est simple. Un outil s'installe dans une entreprise parce qu'il comble un besoin réel plus vite que l'organisation ne sait le faire.

Interdire l'outil sans traiter le besoin ne fait pas disparaître le besoin. La demande reste, l'offre est gratuite et accessible depuis n'importe quel navigateur, et la barrière d'entrée est nulle.

L'interdiction déplace donc simplement la frontière de la visibilité. Avant, l'usage était discutable en réunion. Après, il est dissimulé. Les sept signaux qui permettent de repérer ce basculement sont décrits dans l'article sur les signes de shadow AI en entreprise.

Une nuance importante : l'interdiction ciblée, elle, fonctionne très bien. Interdire la saisie de données personnelles de clients dans un outil grand public est une règle claire, comprise, et que personne n'a intérêt à contourner. C'est l'interdiction générale et sans alternative qui échoue.

Ce qu'un employeur peut légitimement interdire

L'employeur dispose d'un pouvoir de direction : il peut encadrer les outils de travail, les usages professionnels et le traitement des informations de l'entreprise. Cela couvre largement ce dont vous avez besoin.

Sont légitimement interdisables, sans difficulté particulière :

• la saisie de données confidentielles, de données personnelles de clients, de candidats ou de collaborateurs dans un outil non validé ;
• l'usage de comptes personnels pour des tâches professionnelles ;
• l'envoi à un client ou la publication d'un contenu produit par une IA sans relecture humaine ;
• la souscription d'un abonnement à un outil au nom de l'entreprise sans validation préalable ;
• l'usage d'un outil d'IA pour une décision individuelle concernant une personne, sans validation humaine et sans cadre défini.

En revanche, une règle qui prétendrait encadrer l'usage privé d'outils grand public par un collaborateur, sur son propre matériel et en dehors du travail, sort du périmètre de l'employeur. La règle doit viser l'activité professionnelle et les informations de l'entreprise, pas la personne.

Comment formaliser pour que ce soit opposable

Une règle non écrite ne se sanctionne pas et ne se démontre pas. C'est le point que les entreprises négligent le plus.

Écrivez-la. Une note de service ou une charte d'usage de l'IA, datée, avec le nom d'un responsable. Un document de deux pages lu et signé vaut mieux qu'un document de vingt pages archivé.

Diffusez-la de façon traçable. Contre-signature, accusé de lecture, remise à l'embauche. Ce qui compte n'est pas le canal, c'est la capacité à prouver que la personne a été informée.

Vérifiez le circuit de validation applicable chez vous. Selon la nature du document, sa portée disciplinaire et la présence d'instances représentatives du personnel, des formalités d'information ou de consultation peuvent s'imposer avant l'entrée en vigueur. Une charte purement pédagogique et une charte adossée au règlement intérieur ne suivent pas le même chemin : faites confirmer le vôtre par votre conseil social.

Expliquez, ne décrétez pas. Une règle dont on comprend la raison est appliquée. Une règle sans motif est contournée. Dites pourquoi une donnée client ne doit pas être saisie ailleurs que dans l'outil fourni.

Prévoyez la révision. Les outils changent tous les trimestres. Une charte annuelle datée, révisée et re-signée est un signal de sérieux bien plus fort qu'un document parfait mais figé.

Ce qui ne tient pas

Quatre approches à écarter tout de suite.

L'interdiction annoncée oralement en réunion, sans écrit : ni opposable, ni démontrable.

L'interdiction générale assortie d'exceptions accordées au cas par cas et à l'oral : elle crée une inégalité de traitement difficile à défendre et devient illisible en quelques semaines.

La menace de sanction comme seul dispositif, sans outil fourni ni formation : c'est la recette exacte du basculement vers les comptes personnels.

La surveillance mise en place avant d'avoir écrit la règle : vous inspectez des comportements que vous n'avez jamais encadrés, avec un bénéfice juridique nul et un coût social réel.

La décision : cadrer, et l'assumer

La recommandation est nette. N'interdisez pas ChatGPT ni ses équivalents. Cadrez leur usage, et dites-le publiquement à vos équipes.

Quatre décisions suffisent pour commencer, et elles tiennent en une page.

1. Un périmètre autorisé. Nommez les tâches où l'IA est bienvenue : premier jet, reformulation, synthèse interne, traduction de travail, aide à la recherche. Nommez aussi celles qui exigent une validation : contenu client, document contractuel, communication publique, décision concernant une personne.
2. Des outils validés. Une liste courte d'outils fournis et administrés par l'entreprise. Tout le reste passe par une demande.
3. Des données interdites en saisie. Trois ou quatre catégories claires plutôt qu'un principe abstrait. C'est la clause la plus utile de toute la charte.
4. Une déclaration obligatoire des usages. Chaque personne déclare ce qu'elle utilise et pour quoi, sans sanction pour le passé. C'est ce qui rend votre pilotage réel plutôt que théorique.

Ces quatre décisions se traduisent directement dans un document unique, dont les clauses sont détaillées dans l'article sur la charte d'usage de l'IA. Elles recoupent aussi ce que le règlement (UE) 2024/1689, dit AI Act, attend d'une entreprise qui utilise l'IA sans en être le fournisseur : soutenir la littératie de ses équipes, informer quand c'est dû, savoir ce qui se passe chez elle. Le détail est dans l'article sur ce qui s'applique vraiment à une PME.

Questions fréquentes

Peut-on sanctionner un collaborateur qui a utilisé un outil non autorisé ?

Pas sur la base d'une règle qui n'existait pas au moment des faits. Si aucune consigne écrite n'avait été diffusée, l'épisode doit servir à écrire la règle, pas à ouvrir une procédure. Une fois la charte diffusée et signée, un manquement caractérisé — la saisie de données clients dans un outil interdit, par exemple — devient traitable comme tout manquement aux consignes de travail, en proportion.

Une charte suffit-elle à protéger l'entreprise ?

Elle est nécessaire et insuffisante à elle seule. Sans outil professionnel fourni, la charte pousse au contournement. Sans formation, elle est appliquée de travers. Sans registre des usages, elle ne prouve rien sur la réalité de vos pratiques. L'ensemble tient en quelques documents cohérents, pas en un seul.

Et si votre secteur impose une interdiction ?

Certaines activités travaillent sous des engagements contractuels ou sectoriels stricts, qui peuvent effectivement exclure tout outil externe pour certaines catégories d'informations. Dans ce cas, l'interdiction porte sur ces informations précises, pas sur l'outil en général — et elle s'accompagne d'une solution interne pour les autres usages. La logique reste la même : la règle suit la donnée, pas la technologie.

Où en est votre entreprise ?

L'audit de maturité IA d'Harmonia évalue vos usages, votre exposition et vos priorités. Gratuit en 5 min.

Lancer l'audit de maturité IA