ChatGPT, Copilot et Gemini : comment encadrer leur usage en entreprise ?

Version grand public ou version entreprise

C'est la décision structurante, et elle précède toutes les autres. Les offres grand public sont conçues pour un usage individuel : les conditions générales prévoient souvent la réutilisation des échanges, l'administration des comptes est inexistante côté employeur, et aucun engagement contractuel ne protège les données de l'entreprise.

Les offres professionnelles changent la nature du service. Elles apportent un engagement de non-réutilisation des contenus pour l'entraînement, une administration centralisée des utilisateurs, des journaux d'activité, la possibilité de restreindre certaines fonctions et, selon les fournisseurs, un choix de localisation des traitements dans l'Union européenne.

Le surcoût, généralement de l'ordre de vingt à trente euros par utilisateur et par mois, doit être comparé au coût d'un incident de fuite de données ou d'une non-conformité constatée. Dans la quasi-totalité des cas examinés, l'arbitrage penche nettement en faveur de la version professionnelle, ne serait-ce que parce qu'elle rend l'usage documentable.

Le cadre minimal à mettre en place

Le premier élément est une classification simple des données. Trois niveaux suffisent : ce qui peut être soumis librement, ce qui peut l'être sous conditions, et ce qui ne doit jamais l'être. Cette dernière catégorie couvre typiquement les données de santé, les données d'identité complètes, les informations financières non publiées, les secrets industriels et les éléments couverts par une clause de confidentialité client.

Le deuxième élément est une charte d'usage courte et opérationnelle. Elle rappelle la règle de vérification systématique de toute production avant diffusion externe, l'interdiction de fonder une décision individuelle défavorable, en matière de recrutement ou de gestion RH par exemple, sur la seule sortie d'un assistant, et la nécessité de signaler tout incident.

Le troisième élément est la gestion des comptes : rattachement aux annuaires de l'entreprise, authentification multifacteur, désactivation à la sortie du collaborateur. C'est une évidence côté sécurité, régulièrement oubliée pour ces outils souscrits en dehors des processus habituels.

Le quatrième élément est le point d'entrée pour les nouveaux besoins. Sans lui, chaque équipe qui découvre un nouvel outil recommencera à souscrire de son côté et le shadow AI se reconstituera en quelques mois.

Les points de vigilance juridiques

Sur le plan du RGPD, chaque usage impliquant des données personnelles doit figurer au registre des traitements, avec une base légale identifiée et une information des personnes concernées. Lorsque l'usage présente un risque élevé, un traitement à grande échelle ou une évaluation de personnes, une analyse d'impact devient nécessaire.

Sur le plan du droit du travail, la mise à disposition d'un outil susceptible de produire des données d'activité relève de l'information et de la consultation des représentants du personnel. Anticiper cette étape évite des blocages tardifs et améliore l'acceptation du dispositif.

Sur le plan de la propriété intellectuelle, le statut des contenus produits reste incertain selon les juridictions et les fournisseurs. La prudence consiste à traiter les productions comme des brouillons, retravaillés et validés humainement avant toute diffusion ou dépôt.

L'AI Act européen ajoute enfin des obligations de transparence : informer les personnes lorsqu'elles interagissent avec un système d'intelligence artificielle, et signaler les contenus générés dans certains contextes. Ces exigences se déploient progressivement mais méritent d'être intégrées dès maintenant dans les pratiques.

La formation fait la différence

Un cadre écrit sans accompagnement produit peu d'effets. L'expérience montre qu'une session de deux heures, construite autour des tâches réelles des participants, change davantage les pratiques que n'importe quelle note de service.

Le contenu utile est concret : comment formuler une demande efficace, comment reconnaître une réponse fausse mais crédible, comment anonymiser un extrait avant de le soumettre, quels réflexes adopter avant d'envoyer un contenu produit à un client ou à un usager.

Il faut aussi accepter une progression par étapes. Autoriser d'abord un périmètre restreint, observer les usages réels pendant quelques mois, puis élargir en fonction des retours donne un dispositif bien plus solide qu'une ouverture générale immédiate assortie d'une charte que personne n'aura lue.