La question que se posent tous les salariés
« Est-ce que j’ai le droit de mettre ce document dans ChatGPT ? » C’est probablement l’une des questions les plus fréquentes dans les entreprises qui découvrent l’IA générative. Elle mérite une réponse claire, car l’alternative est connue : certains salariés n’osent rien faire, d’autres collent n’importe quoi dans le premier outil venu, souvent sur un compte personnel. Une interdiction générale ne règle pas le problème : elle pousse les usages hors de la vue de l’entreprise. Une autorisation sans règles non plus. La bonne réponse dépend de deux variables : la nature de l’information et l’outil utilisé. Cet article propose une méthode simple pour croiser les deux : la distinction entre offres grand public et offres entreprise, une classification de l’information en quatre niveaux, les données qui ne se saisissent jamais, les techniques pour anonymiser ou rendre fictif, et des cas sectoriels. Il ne constitue pas un conseil juridique : les règles finales relèvent de votre entreprise, de votre DSI et de votre délégué à la protection des données.
Grand public ou offre entreprise : la vraie ligne de partage
ChatGPT, Claude, Copilot ou Gemini existent en plusieurs versions. Les versions grand public, gratuites ou individuelles, sont pensées pour un usage personnel : leurs conditions peuvent prévoir la conservation des conversations et, selon les paramètres, leur utilisation pour améliorer les modèles. Les offres destinées aux entreprises prévoient en général des engagements contractuels plus protecteurs : non-utilisation des données pour l’entraînement, durée de conservation maîtrisée, administration centralisée des comptes, sécurité, parfois choix de la région d’hébergement. Ces engagements varient selon l’éditeur, l’offre et la date, et doivent être lus dans les conditions en vigueur, avec la DSI. La conséquence pratique est importante : la question n’est pas « ChatGPT ou Claude ? », mais « quelle version, sous quel contrat, administrée par qui ? ». Un même outil peut être acceptable pour des documents internes dans sa version entreprise et inadapté à ces mêmes documents dans sa version grand public. La liste des outils autorisés doit donc préciser la version, pas seulement la marque.
Classer l’information en quatre niveaux
La plupart des entreprises disposent déjà, au moins implicitement, d’une classification de l’information. Pour l’IA générative, quatre niveaux suffisent en général. Le niveau public regroupe ce qui est déjà publié ou destiné à l’être : site internet, plaquettes, offres d’emploi, communiqués. Le niveau interne couvre les documents de travail courants sans enjeu particulier : procédures générales, notes d’organisation, supports de formation. Le niveau confidentiel concerne les informations dont la diffusion causerait un préjudice : données clients, contrats, chiffres non publiés, stratégie, données personnelles des salariés. Le niveau restreint, enfin, rassemble ce qui est soumis à un secret légal ou à une réglementation spécifique : secret médical, secret professionnel de l’avocat, informations privilégiées, données de santé, secrets d’affaires stratégiques. À chaque niveau sa règle : le public peut aller partout, l’interne dans les outils validés, le confidentiel dans les outils validés, seulement si c’est nécessaire et après minimisation, et le restreint selon des règles spécifiques, souvent jamais.
Ce qui ne se saisit jamais dans un outil non validé
Certaines informations ne doivent pas être saisies dans un outil que l’entreprise n’a pas validé, quelle que soit la tâche. Les données personnelles identifiantes de clients, de patients, de candidats ou de salariés : noms, coordonnées, numéros de dossier, situations individuelles. Les données sensibles au sens du RGPD : santé, opinions politiques, convictions religieuses, appartenance syndicale, origine, orientation sexuelle, données biométriques, ainsi que les informations relatives aux infractions. Les identifiants, mots de passe, clés d’accès et extraits de code contenant des secrets. Les documents contractuels et financiers non publiés : contrats, offres de prix, résultats avant publication, projets d’acquisition. Les informations couvertes par un secret professionnel ou par un engagement de confidentialité envers un client ou un partenaire. Cette liste, courte et concrète, gagne à figurer en tête de la charte d’usage de l’entreprise, illustrée d’exemples propres à chaque métier. Elle répond à la question la plus fréquente sans obliger chacun à interpréter des principes généraux.
Ce qui peut se saisir dans un outil validé, avec précautions
Dans un outil validé par l’entreprise, sous une offre entreprise et avec des règles écrites, le champ s’élargit. Les documents internes courants peuvent être résumés, reformulés ou analysés. Les informations confidentielles peuvent l’être lorsque la tâche le justifie, à trois conditions. La minimisation d’abord : on ne fournit que ce qui est nécessaire. Pour améliorer la clarté d’un courrier, le nom du destinataire est inutile ; pour analyser une clause, le contrat entier ne l’est pas toujours. La finalité ensuite : l’usage doit correspondre à une tâche professionnelle identifiée, compatible avec la raison pour laquelle les données ont été collectées. La vérification enfin : ce que l’outil produit à partir de données confidentielles reste soumis à relecture, et la diffusion du résultat obéit aux mêmes règles que le document d’origine. Les informations du niveau restreint, elles, suivent des règles propres à chaque profession ou réglementation : même dans un outil validé, elles demandent souvent un avis préalable du délégué à la protection des données ou de la direction juridique.
Anonymiser, pseudonymiser, rendre fictif
Pour beaucoup de tâches, les données réelles ne sont pas nécessaires. Trois techniques permettent de s’en passer. L’anonymisation consiste à retirer toute information permettant d’identifier une personne, directement ou par recoupement. Elle est plus difficile qu’il n’y paraît : un poste, une ville et une date peuvent suffire à reconnaître quelqu’un dans une petite organisation. La pseudonymisation remplace les noms par des codes ou des noms fictifs ; les données restent personnelles au sens du RGPD, puisque la correspondance existe quelque part, mais le risque diminue. Rendre fictif, enfin, consiste à construire un cas proche de la réalité sans aucun élément réel : c’est la méthode la plus sûre pour les exercices, les modèles de documents et la plupart des usages de rédaction. En pratique, une règle simple fonctionne bien : avant de coller un texte, le relire en se demandant si un collègue extérieur au dossier pourrait reconnaître la personne ou l’entreprise concernée. Si oui, il faut encore retirer ou modifier des éléments.
Documents joints, connecteurs et assistants intégrés
La saisie dans une fenêtre de conversation n’est pas le seul point d’entrée. Les assistants acceptent des documents joints, des captures d’écran et des tableurs, qui contiennent souvent plus d’informations que ce que l’utilisateur a en tête : onglets masqués, commentaires, métadonnées, historique de modifications. Les connecteurs, proposés selon les offres, relient l’assistant à une messagerie, à un espace de stockage ou à d’autres applications : l’outil peut alors consulter des contenus sans qu’on les colle. Les assistants intégrés à une suite bureautique, comme Microsoft 365 Copilot ou Gemini dans Google Workspace, travaillent sur les fichiers, courriels et réunions auxquels l’utilisateur a accès. Dans tous ces cas, la question des données se pose autrement : il ne s’agit plus seulement de ce que l’utilisateur saisit, mais de ce à quoi l’outil peut accéder. D’où l’importance de vérifier les permissions avant le déploiement, de n’activer les connecteurs qu’après validation, et d’expliquer aux utilisateurs ce que l’outil voit réellement.
Cas sectoriels : santé, juridique, RH, finance, industrie
Les règles générales se précisent selon les métiers. Dans la santé, les données des patients relèvent du secret médical et de règles spécifiques d’hébergement : elles n’ont pas leur place dans un assistant généraliste, sauf solution expressément conçue et validée pour cet usage. Dans les cabinets d’avocats et les professions du chiffre, le secret professionnel conduit à travailler sur des documents rendus fictifs ou dans des environnements validés par la structure. En ressources humaines, les candidatures, évaluations et dossiers individuels sont des données personnelles, parfois sensibles, et les décisions qui concernent les personnes doivent rester humaines. En finance, les informations non publiées, et a fortiori les informations privilégiées d’une société cotée, sont soumises à des règles strictes de confidentialité. Dans l’industrie, les plans, formules, procédés et documents techniques peuvent relever du secret des affaires ou de clauses contractuelles avec les clients. Chaque secteur a donc intérêt à décliner la règle commune en exemples propres à son activité.
Écrire la règle : une page, des exemples, un contact
Une règle sur les données n’est utile que si elle est lue et comprise. Le format le plus efficace tient sur une page. Il liste les outils autorisés, en précisant la version et le type de compte. Il reprend les niveaux de classification, avec pour chacun ce qui est permis, ce qui est soumis à conditions et ce qui est interdit. Il donne des exemples concrets par métier : « vous pouvez demander à l’assistant de reformuler une procédure interne », « vous ne collez jamais un relevé d’identité bancaire », « pour un cas client, remplacez le nom par un nom fictif ». Il indique la conduite à tenir en cas d’erreur, par exemple une donnée saisie par mégarde : prévenir rapidement la personne désignée, sans crainte de sanction automatique, pour que l’incident soit évalué. Et il nomme un contact pour les questions. Cette page s’intègre à la charte d’usage de l’IA, et se met à jour lorsque les outils ou les offres changent, ce qui arrive souvent.
Former à la règle plutôt que la diffuser
Une règle diffusée par courriel est rarement appliquée. Les salariés ne savent pas reconnaître, dans leur travail réel, ce qui relève de chaque niveau, ni comment rendre un document fictif sans perdre son intérêt. La formation est le bon moment pour s’exercer : classer des exemples, anonymiser un texte, reformuler une demande sans données personnelles, repérer ce qu’un document joint contient vraiment. La formation d’acculturation d’AI2 consacre un module entier aux données et à la confidentialité, avec les règles de l’entreprise présentées en séance. Les formations ChatGPT et Claude intègrent ces règles aux exercices, sur des documents fictifs, et chaque participant repart avec une fiche sécurité et confidentialité. Sur la grille publique, une journée coûte 790 € HT par participant en inter-entreprises, à distance avec un formateur en direct, ou 3 490 € HT par groupe de 10 participants maximum en intra, en ligne ou dans vos locaux, frais de déplacement en sus en présentiel. En intra, la règle de votre entreprise sert de fil conducteur.
Pour aller plus loin
Devenez un professionnel de l'IA avec AI2 — Paris
Bachelor (RNCP 6) et Mastère (RNCP 7) en Intelligence Artificielle & Data Science. Alternance, CPF et financement entreprise possibles. Candidatures ouvertes pour la rentrée de janvier 2027.
Être rappelé gratuitement sous 24h
Laissez votre numéro — notre équipe vous rappelle pour tout vous expliquer (programmes, financement, rentrée de janvier 2027). Sans engagement.
Articles similaires
Intégrer l’IA au plan de développement des compétences 2027 : la méthode
Calendrier budgétaire, priorités par métier, intra ou inter, financement OPCO selon ses critères et documentation au titre de l’AI Act : intégrer l’IA au plan de formation 2027.
Former les managers à l’IA : accompagner l’équipe, fixer les règles, repérer les risques
Rôle du manager, règles d’équipe, usages à risque, conduite du changement et contenu d’une formation dédiée : comment préparer les managers à accompagner leurs équipes dans l’usage de l’IA.
ChatGPT pour les commerciaux : 12 prompts concrets, du ciblage au compte rendu
Ciblage, recherche de compte, premier message, rendez-vous, objections, proposition, relance, compte rendu : douze prompts à adapter pour chaque étape du cycle de vente, et les règles RGPD.