ChatGPT en entreprise : le guide lucide

Oui, vous pouvez utiliser ChatGPT en entreprise. Vos équipes le font d'ailleurs probablement déjà, avec ou sans votre accord : selon IDC (2025), 86 % des entreprises françaises envoient des données sensibles vers des outils d'IA non souverains. La question utile n'est donc pas "faut-il l'autoriser" mais "dans quel cadre", et c'est une question qui se traite en connaissance de cause : ce que l'outil fait bien, où partent les données selon l'offre choisie, et ce qui reste sous votre responsabilité quoi qu'il arrive.

Ce guide fait le tour, sans procès et sans publicité.

Ce que ChatGPT fait bien au travail

Commençons par la partie que les mises en garde oublient : l'outil est réellement utile. Rédiger et reformuler, résumer des documents longs, préparer une trame de présentation, débroussailler un sujet inconnu, écrire du code courant, traduire proprement. Sur ces tâches, le gain de temps est immédiat et vos équipes l'ont compris avant vous ; c'est précisément pour cela que l'usage spontané explose.

Le bon cadre de lecture est l'augmentation : l'outil prépare, l'humain vérifie et décide. Une réponse d'assistant est un premier jet, pas une source.

Les offres, et où vont les données

C'est le point que presque personne ne lit, et c'est le plus important.

Les offres grand public (le compte gratuit et les abonnements individuels) peuvent par défaut utiliser les conversations pour améliorer les modèles. Un réglage permet de le refuser, mais il repose sur la discipline de chaque salarié, sur son compte personnel, hors de votre contrôle. Des données clients dans un compte personnel gratuit : voilà le scénario que votre gouvernance doit rendre impossible.

Les offres professionnelles (équipe et entreprise) excluent par défaut l'entraînement sur vos données, ajoutent l'administration centralisée et des engagements contractuels, et proposent une résidence des données en Europe.

Il faut cependant distinguer deux questions que le marketing confond volontiers. L'entraînement : vos données servent-elles à améliorer les modèles ? Les offres professionnelles règlent ce point. La juridiction : qui peut exiger l'accès à vos données ? Ce point-là ne se règle pas par un abonnement, car l'opérateur reste américain, donc soumis au Cloud Act, où que les données résident. Monter en gamme traite la première question, jamais la seconde.

Ce que dit le droit

Le RGPD ne mentionne pas ChatGPT, mais il vous désigne : dès que vos équipes y traitent des données personnelles, vous êtes responsable du traitement, avec ce que cela implique de base légale, d'information et d'analyse de risque. La CNIL publie des recommandations générales sur l'IA, mais pas encore de référentiel dédié à l'IA générative en entreprise : l'analyse reste à votre charge. L'AI Act ajoute ses obligations par vagues, dont une échéance au 2 août 2026.

Pour les professions réglementées, le secret professionnel s'ajoute au RGPD et ne se négocie pas par contrat. Nous y consacrons un guide dédié aux cabinets d'avocats.

Le vrai risque : l'usage que vous ne voyez pas

Le risque principal n'est pas l'outil, c'est le "shadow AI" : l'usage spontané, sur comptes personnels, sans règle et sans trace. Interdire sans alternative ne le supprime pas, il le rend invisible : les équipes continuent, depuis leur téléphone, et vous perdez à la fois le contrôle et la visibilité.

La réponse qui fonctionne tient en deux mouvements : encadrer l'usage, et offrir un outil sanctionné par l'entreprise qui soit au moins aussi pratique que le contournement.

La charte minimale

Six décisions suffisent pour passer de l'usage subi à l'usage gouverné :

1. Inventorier l'existant : qui utilise quoi, sur quel compte, pour quelles tâches. Sans jugement ; l'objectif est de voir.
2. Bannir les comptes personnels pour tout usage professionnel : si l'entreprise autorise l'outil, elle fournit le compte.
3. Lister les données interdites : données clients identifiables, données de santé, secrets d'affaires, tout ce qui est couvert par un secret professionnel. Une liste courte, affichable, sans ambiguïté.
4. Verrouiller les réglages : exclusion de l'entraînement, administration centralisée, résidence européenne quand elle est proposée.
5. Exiger la vérification humaine : toute sortie destinée à un client, un juge, une administration ou une décision passe par une relecture qui engage son auteur.
6. Revoir tous les six mois : les offres, les modèles et vos usages bougent trop vite pour une charte gravée dans le marbre.

Quand ChatGPT n'est plus la bonne réponse

Un abonnement, même bien réglé, atteint sa limite dans trois situations : quand les données en jeu ne doivent pas dépendre d'une juridiction étrangère, quand votre gouvernance exige de savoir qui a fait quoi sur quelle donnée, et quand vous attendez de l'IA qu'elle exécute du travail dans vos outils plutôt que de répondre dans une fenêtre de chat.

Ces trois besoins définissent une autre catégorie d'outil : les alternatives souveraines, jusqu'à l'instance que vous possédez, avec des agents qui travaillent sur vos données et vos outils, en France.

Questions fréquentes

ChatGPT est-il dangereux pour une entreprise ?

L'outil n'est pas dangereux en soi ; l'usage non gouverné l'est. Les risques réels sont identifiés : données sensibles envoyées depuis des comptes personnels, sorties non vérifiées réutilisées telles quelles, et dépendance à un opérateur sous juridiction étrangère. Chacun se traite par une règle, pas par une interdiction de principe.

Un salarié peut-il utiliser ChatGPT sans autorisation ?

Aucune loi ne l'interdit ; c'est à l'employeur de fixer la règle, comme pour n'importe quel outil. Tant que la règle n'existe pas, l'usage existe quand même, sans cadre : c'est le pire des deux mondes. Une charte courte et un compte professionnel changent la situation en une semaine.

La CNIL a-t-elle interdit ou encadré ChatGPT ?

Ni l'un ni l'autre à ce jour. La CNIL publie des recommandations générales sur l'IA et instruit des plaintes, mais n'a pas émis de référentiel spécifique à l'IA générative en entreprise. L'absence de doctrine ne vous protège pas : le RGPD s'applique déjà, et c'est vous qu'il désigne.

Quelle offre ChatGPT choisir pour une PME ?

Si vous restez sur ChatGPT, le minimum est une offre professionnelle : exclusion de l'entraînement par défaut, comptes administrés, engagements contractuels. Le détail des offres évolue vite et se lit sur le site de l'éditeur. Gardez le critère en tête : l'abonnement règle l'entraînement, pas la juridiction.

Peut-on interdire ChatGPT dans son entreprise ?

Oui, l'employeur fixe les règles d'usage de ses outils. Mais l'interdiction seule échoue presque toujours : l'usage passe sur les téléphones personnels et devient invisible. Si vos contraintes justifient d'écarter ChatGPT, la conclusion logique est d'offrir mieux, pas d'offrir rien : parlons-en.