ChatGPT au bureau : ce que vos salariés ne devraient pas lui envoyer

Un commercial colle la liste de ses clients dans un assistant IA pour préparer une relance. Une assistante y dépose un contrat pour en faire le résumé. Un technicien lui soumet le fichier de configuration du pare-feu pour comprendre une erreur. Personne ne pense mal faire : l'outil est gratuit, rapide, et le résultat est bon.

La question que personne ne s'est posée : où est parti ce qui a été collé ?

Ce qui se passe quand on colle un texte

Avec un service grand public, le texte quitte l'entreprise et arrive sur les serveurs du fournisseur. Ce que celui-ci en fait dépend de ses conditions d'utilisation, que presque personne ne lit. La CNIL le rappelle dans ses questions-réponses sur l'IA générative : sur un service grand public, les données saisies peuvent être réutilisées par le fournisseur, y compris pour entraîner ses modèles.

Pour l'entreprise, cela signifie trois choses :

• Vous n'avez plus la maîtrise de ce qui a été envoyé.
• Vous restez responsable. Dès que des données personnelles sont traitées avec un outil d'IA, l'entreprise est responsable de ce traitement au sens du RGPD.
• Vos engagements de confidentialité envers vos clients s'appliquent aussi à ce que vos salariés collent dans un outil.

Ce qu'il ne faut jamais y mettre

La consigne de la CNIL pour les services grand public est nette : ne jamais y partager d'informations confidentielles telles que des données personnelles. Les fiches IA destinées aux TPE et PME, publiées par France Num, disent la même chose : pas de données confidentielles, personnelles ou stratégiques.

En pratique :

• Les données de personnes : fichier clients, coordonnées, CV, bulletins de paie, dossiers de salariés, données de santé.
• Les documents contractuels et financiers : contrats, devis détaillés, bilans, relevés bancaires, grilles de prix.
• Les secrets techniques : mots de passe, clés d'accès, configuration du réseau, code source.
• Ce qui appartient à vos clients : plans, cahiers des charges, tout document reçu sous engagement de confidentialité.

Le bon réflexe : si vous n'enverriez pas ce document par mail à un inconnu, ne le collez pas dans un outil grand public.

Ce qu'on peut lui demander sans risque

Beaucoup de choses, et c'est pour cela qu'interdire serait dommage : reformuler un mail dont on a retiré les noms, structurer une note, expliquer un texte de loi public, proposer un plan de présentation, corriger une formule de tableur. La règle est d'anonymiser, ou de ne rien mettre qui identifie une personne, un client ou un secret.

L'autre risque : croire ce qu'il répond

Un assistant IA produit des réponses plausibles, pas des réponses vérifiées. La CNIL le formule ainsi : ces modèles ne sont pas des bases de connaissance, et une confiance sans vérification peut conduire à des décisions erronées. Sa recommandation : ne jamais reproduire telles quelles les sorties de ces systèmes.

Un chiffre, une référence juridique, une clause, un calcul : tout ce qui engage l'entreprise doit être relu par quelqu'un qui sait.

Cinq règles pour une petite entreprise

1. Dire quels outils sont autorisés. Mieux vaut un outil choisi et connu que cinq outils utilisés en cachette.
2. Écrire ce qu'on n'y met jamais. Une page suffit, avec des exemples tirés de votre métier.
3. Vérifier les réglages. Regardez si l'outil réutilise les conversations pour son entraînement, et désactivez cette option quand c'est possible. Les offres professionnelles le prévoient généralement.
4. Garder la décision humaine. L'IA propose, quelqu'un relit et signe.
5. En parler avec l'équipe. Une demi-heure d'échange vaut mieux qu'une charte que personne n'a lue.

Et pour aller plus loin que le copier-coller

Quand l'IA doit travailler sur vos vraies données (mails, devis, comptabilité), la question n'est plus celle du salarié prudent mais celle de l'installation : où tournent les modèles, où sont stockées les données, qui y a accès. Pour des données personnelles ou sensibles, la CNIL juge généralement plus sûr de privilégier des solutions déployées sur site plutôt que des services grand public.

Ce que vous pouvez faire maintenant

• Demandez à votre équipe quels outils d'IA elle utilise déjà. La réponse vous surprendra.
• Écrivez la liste de ce qui ne doit jamais y être collé.
• Vérifiez les réglages de confidentialité des outils retenus.

Sources

• CNIL, « Les questions-réponses de la CNIL sur l'utilisation d'un système d'IA générative », 18 juillet 2024
• France Num, fiche IA n° 4 pour les TPE et PME, « Prendre les précautions indispensables à un usage responsable et sécurisé », novembre 2024