IA et données : ce qu'une entreprise peut confier, ou pas, à ChatGPT

C'est la question que les dirigeants me posent le plus souvent en début de formation, et c'est le premier sujet que je traite : qu'est-ce que j'ai le droit de coller dans ChatGPT ? La réponse courte : tout ce que vous accepteriez de voir sortir de l'entreprise, et rien de plus.

Ce que vous pouvez confier sans crainte

• Vos propres textes à reformuler, corriger, raccourcir ou traduire, à condition qu'ils ne contiennent pas de données personnelles.
• Des documents publics : un article, une réglementation, la fiche d'un produit.
• Vos méthodes de travail : votre façon de rédiger un devis, vos réponses types, votre ton.
• Des modèles anonymisés : un e-mail client dont vous avez retiré le nom, l'adresse et tout ce qui permet d'identifier la personne.

Ce que vous ne confiez jamais

• Les données sensibles : santé, opinions, données biométriques. Un coach qui colle le bilan médical d'un client, une entreprise qui colle le dossier d'un salarié : ce sont les erreurs que je vois le plus.
• Les données bancaires et les identifiants de connexion.
• Les données personnelles de vos clients dans un outil dont vous ne connaissez pas les conditions : un fichier clients, une liste de prospects, un historique de commandes.
• Les informations confidentielles de l'entreprise ou de vos clients : contrats, chiffres non publiés, projets en cours.

Les questions à se poser avant d'utiliser un outil

1. Où les données sont-elles traitées ? Dans l'Union européenne ou ailleurs ?
2. Servent-elles à entraîner le modèle ? Beaucoup d'outils le font par défaut sur les comptes gratuits. Les offres destinées aux entreprises permettent en général de l'éviter : vérifiez les paramètres et les conditions.
3. Qui y a accès ? Un compte partagé entre plusieurs salariés, sans règle, est une source de fuite.
4. Que dit le contrat ? Pour un usage professionnel régulier, l'éditeur doit pouvoir vous expliquer comment il traite vos données.

Ce que dit la réglementation

Le RGPD s'applique dès que vous confiez des données personnelles à un outil : vous restez responsable de ce que vous en faites. Confier le minimum, informer les personnes concernées, choisir des outils qui offrent des garanties, c'est ce que la loi attend.

L'AI Act, le règlement européen sur l'intelligence artificielle, s'applique progressivement. Depuis le 2 août 2026, des obligations de transparence portent notamment sur les contenus générés ou manipulés par IA, comme les hypertrucages. Pour une petite entreprise, la règle de bon sens est simple : ne jamais présenter comme authentique un contenu généré par IA.

Poser des règles d'usage dans l'entreprise

Une entreprise qui utilise l'IA a besoin d'une page de règles, pas d'un long document :

• les outils autorisés, et ceux qui ne le sont pas ;
• les données qu'on peut leur confier, et celles qu'on ne leur confie jamais ;
• qui vérifie ce que l'IA produit avant que ça parte chez un client ;
• où sont stockés les documents produits.

Dans la formation IA que je donne en Corse, chaque entreprise repart avec ce guide d'usage, écrit pour son métier. C'est aussi l'une des six compétences évaluées par la certification RS6776. Les formats sont détaillés sur la page formation IA en Corse.