Lundi matin, dans un cabinet de Venelles. Une assistante doit résumer un contrat de 12 pages pour son patron avant midi. Elle ouvre ChatGPT, colle tout le document, obtient un résumé propre en trente secondes. Mission accomplie. Sauf que le contrat contenait le nom du client, ses coordonnées bancaires et les conditions tarifaires négociées.

Personne n’a voulu mal faire. C’est justement le problème. Dans cet article, vous allez voir les six types d’informations qui ne devraient jamais finir dans un outil d’IA grand public, pourquoi, et comment mettre en place des règles simples sans interdire l’outil à votre équipe.

Pourquoi ce simple copier-coller pose question

ChatGPT, Gemini, Copilot ou Le Chat de Mistral sont des services en ligne. Quand un salarié y colle un texte, ce texte quitte l’entreprise et part sur les serveurs d’un prestataire, souvent situé hors de l’Union européenne.

Selon l’offre utilisée et les réglages du compte, les conversations peuvent être conservées et, pour les versions grand public, servir à améliorer les modèles. OpenAI permet de désactiver cette utilisation dans les paramètres (rubrique « Contrôles des données »). Mais combien de vos collaborateurs ont vérifié ce réglage sur leur compte personnel ?

Ce n’est pas un scénario théorique. En 2023, plusieurs médias ont rapporté que des ingénieurs de Samsung avaient collé du code source interne dans ChatGPT pour le corriger. L’entreprise a ensuite restreint l’usage de ces outils en interne.

Les 6 choses à ne jamais coller dans ChatGPT

Voici la liste à afficher (vraiment) près des postes de travail :

• Les données personnelles de vos clients : noms, adresses, téléphones, e-mails, numéros de dossier. Le RGPD s’applique aussi quand c’est « juste pour reformuler un mail ».
• Les données des salariés : fiches de paie, arrêts, évaluations annuelles, tableaux de salaires. Ce sont parmi les informations les plus sensibles de l’entreprise.
• Les mots de passe, clés et accès : identifiants WordPress, codes FTP, clés d’API, captures d’écran d’un tableau de bord. Une fois collés, vous ne maîtrisez plus où ils sont stockés.
• Les contrats et devis négociés : prix, remises, clauses particulières. C’est votre avantage commercial.
• Les informations financières non publiques : bilans en cours, prévisionnels, projets de rachat ou de levée de fonds.
• Le code et les fichiers internes : code source d’un logiciel maison, fichiers clients exportés en CSV, bases de données.

Le point commun ? Si cette information se retrouvait dans la nature, vous auriez un problème avec un client, un salarié, un partenaire ou la CNIL.

« Mais on enlève les noms, ça suffit ? »

Pas toujours. Imaginons une pharmacie d’Aix-en-Provence qui demande à l’IA de rédiger une réponse à « Mme D., 82 ans, cliente depuis 1998, qui habite au-dessus de la boulangerie de la place ». Le nom a disparu, mais la personne reste reconnaissable.

La bonne pratique : remplacer les éléments identifiants par des termes génériques (« le client », « la société X », « montant A ») et ne garder que ce qui est utile à la tâche. Pour reformuler un e-mail, l’IA n’a pas besoin du numéro de commande.

Ce que vous pouvez confier à l’IA sans crainte

Interdire ChatGPT à toute l’équipe est rarement la bonne réponse : les salariés l’utiliseront quand même, sur leur téléphone, sans aucun cadre. Mieux vaut montrer ce qui est permis. Par exemple :

• reformuler un texte déjà public (une page de votre site, une annonce) ;
• trouver des idées de titres pour un post ou une newsletter ;
• corriger l’orthographe d’un message anonymisé ;
• expliquer une notion technique ou une formule Excel ;
• préparer une trame de procédure ou de réunion, sans données réelles.

Une charte d’une page, pas un règlement de 30 pages

Dans une PME, une association ou un commerce, la règle doit tenir sur une feuille. Voici une base à adapter :

• Quels outils sont autorisés, et avec quel compte (personnel ou professionnel).
• Les 6 interdits listés plus haut.
• Le réflexe d’anonymisation avant tout copier-coller.
• La relecture humaine obligatoire avant d’envoyer un texte produit par l’IA à un client.
• Un référent à qui poser la question en cas de doute.

Si vous payez un abonnement, privilégiez les offres professionnelles des éditeurs : elles prévoient en général des engagements plus clairs sur la non-utilisation des données pour l’entraînement. Lisez tout de même les conditions avant de vous engager. La CNIL a aussi publié des recommandations sur le déploiement de l’IA générative en entreprise : c’est une bonne base de lecture pour le dirigeant.

Et côté site web ?

Le sujet dépasse ChatGPT. Les mêmes réflexes valent pour les accès à votre site : un identifiant administrateur partagé par e-mail, collé dans un outil en ligne ou jamais révoqué au départ d’un collaborateur, c’est une porte laissée ouverte. Nous détaillons ce point dans notre article sur la sécurisation des accès au départ d’un salarié.

Même logique pour les fichiers clients que vous utilisez en prospection : avant de les faire analyser par une IA, relisez ce que le RGPD autorise vraiment.

La checklist à faire cette semaine

• Demander à l’équipe quels outils d’IA elle utilise déjà (sans jugement).
• Vérifier les réglages de confidentialité des comptes utilisés.
• Rédiger la charte d’une page et l’expliquer en réunion.
• Changer les mots de passe qui auraient pu être collés dans un outil en ligne.
• Prévoir un point de rappel dans trois mois.

À vous la parole

Dans votre entreprise ou votre association, l’IA est-elle déjà utilisée au quotidien ? Et avez-vous fixé des règles, ou est-ce encore « chacun fait comme il peut » ?

Si vous souhaitez faire le point sur la sécurité de votre site WordPress et des accès de votre équipe, contactez L’agence Digisense : nous regardons votre situation avec vous, simplement.