ChatGPT en entreprise : règles AI Act, RGPD et sécurité à appliquer.
L’usage professionnel de ChatGPT ne se résume ni à une interdiction générale ni à une autorisation sans limite. Il faut distinguer le service, les fonctions activées et chaque cas d’usage. Une équipe qui reformule un texte public ne crée pas les mêmes risques qu’un service qui transmet des données personnelles ou utilise une sortie pour décider sur une candidature.
Pour utiliser ChatGPT en entreprise, définissez les usages autorisés, les données interdites, la validation humaine, le compte professionnel, la conservation et le signalement des incidents. Qualifiez l’organisation comme déployeur pour chaque usage et vérifiez séparément l’AI Act, le RGPD, la confidentialité, la propriété intellectuelle et la sécurité.
Cluster éditorial : Gouvernance et usages de l’IA générative · Intention : Encadrer l’utilisation de ChatGPT en entreprise selon l’AI Act et le RGPD
En bref
L’essentiel à retenir
01
Qualification par cas d’usage
02
Données et secrets protégés
03
Validation humaine adaptée à l’impact
04
Contrat, versions et incidents documentés
01
Décrire le cas d’usage avant de parler de conformité
Écrivez ce que la personne cherche à produire, les données saisies, la sortie obtenue, le destinataire et la décision finale. Séparez la recherche d’idées, la rédaction, le résumé, l’analyse de documents, la génération de code et l’assistance à une décision. Le même outil peut soutenir plusieurs systèmes ou usages dont les conséquences sont très différentes.
Identifiez aussi la version du service, le type de compte, les connecteurs, les fichiers accessibles, les réglages de conservation et les éventuels développements autour de l’API. Une interface grand public utilisée ponctuellement ne se gouverne pas comme une intégration dans un processus métier. Cette fiche factuelle permet au juridique, au DPO, à la sécurité et au métier de discuter du même objet.
Une organisation qui utilise un système d’IA sous sa propre autorité dans un cadre professionnel peut être déployeur. Cela ne signifie pas que toutes les obligations du chapitre haut risque s’appliquent automatiquement. La qualification du système, la finalité et le contexte déterminent la suite. Le fournisseur du modèle et celui du service conservent leurs propres responsabilités.
Si l’entreprise intègre le modèle dans un produit proposé sous son nom, modifie la destination ou réalise une modification substantielle, elle doit examiner un éventuel changement de rôle. Documentez la chaîne de valeur et les conditions contractuelles. Une réponse simple comme « nous sommes clients » ne suffit pas à expliquer les responsabilités sur les données, l’interface et les décisions.
Définir les données qui ne doivent jamais être saisies
Dressez une liste liée aux activités : secrets d’affaires, données de santé, informations RH, données clients non autorisées, pièces contractuelles confidentielles, identifiants, code sensible et informations relatives à des tiers. Précisez les exceptions lorsque l’environnement et le contrat ont été validés. Une règle vague comme « ne mettez rien de confidentiel » est difficile à appliquer sans exemples.
Le RGPD demande une analyse propre au traitement : finalité, base juridique, minimisation, information, droits, sous-traitance, transferts, sécurité et durée. L’anonymisation doit être réelle. Remplacer un nom par des initiales ne suffit pas toujours, surtout dans un petit collectif. Préférez des données fictives ou un environnement approuvé pour les travaux de test.
La personne qui valide doit pouvoir contrôler les faits, les sources, le raisonnement et le ton. Pour un brouillon interne à faible impact, une relecture classique peut suffire. Pour une réponse juridique, médicale, financière, RH ou destinée au public, définissez une compétence requise, des sources autorisées et une voie d’escalade. L’apparence convaincante d’une réponse ne constitue pas une preuve.
Testez la procédure avec une sortie plausible mais fausse, une citation inventée et une instruction ambiguë. Observez si l’utilisateur vérifie ou se contente d’approuver. Conservez les résultats et adaptez la formation. Le contrôle humain fonctionne lorsque la personne dispose du temps, de l’autorité et des informations nécessaires pour ignorer ou corriger la sortie.
Sécuriser le compte, le contrat et les intégrations
Privilégiez des comptes administrés, l’authentification forte, une gestion des départs et des droits limités. Examinez les conditions d’utilisation des données, la conservation, la localisation, les sous-traitants, les journaux, les notifications de changement et la suppression. Pour une API, gérez les clés dans un coffre et surveillez les appels, les coûts et les erreurs.
Les connecteurs vers une messagerie, un espace documentaire ou un CRM élargissent fortement le périmètre. Autorisez-les après une analyse spécifique et avec le principe du moindre privilège. Un assistant peut révéler une information sans qu’un utilisateur l’ait copiée directement. Testez les autorisations, les attaques par instructions malveillantes et les sorties contenant des informations non attendues.
Rassemblez la fiche d’usage, l’autorisation, la version, les règles de données, le contrat, les tests, la formation, les incidents et la prochaine revue. Mesurez les usages actifs, les dérogations, les erreurs signalées et les comptes non administrés. Évitez de collecter dans le suivi les contenus sensibles que la règle cherche justement à protéger.
Requalifiez après un nouveau connecteur, une fonction d’agent, un changement de modèle, une extension à un processus sensible ou un incident. La gouvernance doit permettre d’autoriser rapidement un usage utile tout en suspendant celui qui dépasse le cadre. Un canal clair de demande et de signalement réduit davantage les usages cachés qu’une interdiction impossible à contrôler.
