En bref : oui pour des textes sans enjeu, non pour les données clients, les prix, les plans ou tout ce qui relève du secret des affaires, sauf avec un outil prévu pour ça. La plupart des salariés qui utilisent ChatGPT au travail le font avec leur compte personnel, sans que l’employeur le sache.
Ce qui se passe quand un salarié colle un devis dans ChatGPT
- Avec un compte personnel gratuit ou payant : selon les conditions de l’éditeur, les conversations peuvent servir à améliorer ses modèles, sauf si l’utilisateur a désactivé l’option. Vous ne contrôlez ni le réglage, ni l’historique, ni ce qui reste quand le salarié part.
- Avec une offre professionnelle (comptes d’équipe ou entreprise) : les données ne servent pas à l’entraînement par défaut et l’administrateur garde la main. Les données sont en revanche traitées hors de l’Union européenne dans la plupart des cas.
- Avec un outil interne hébergé en Europe : les données restent dans l’Union, aucun modèle ne les conserve, et vous décidez qui accède à quoi.
Ce que dit le droit
- RGPD : coller des données personnelles de clients ou de salariés dans un service externe est un traitement de données. Il faut une base légale, informer les personnes, et encadrer les transferts hors de l’Union.
- Secret des affaires : un secret n’est protégé que si l’entreprise a pris des mesures raisonnables pour le garder. Laisser les prix et les plans circuler dans des outils non maîtrisés affaiblit cette protection.
- Contrats clients : beaucoup de donneurs d’ordre industriels interdisent contractuellement la diffusion de leurs plans. Vérifiez vos clauses de confidentialité.
Comment encadrer ChatGPT en entreprise (plutôt que l’interdire)
Interdire sans proposer d’alternative pousse l’usage dans l’ombre. Les salariés qui gagnent du temps avec ces outils continueront, simplement sans le dire. Mieux vaut encadrer, en trois temps : demander aux équipes ce qu’elles utilisent déjà, fixer par écrit ce qui est permis et ce qui ne l’est pas (la charte ci-dessous), puis leur donner un outil prévu pour les données sensibles.
Une charte d’usage en cinq lignes
- Jamais de nom de client, de prix, de plan ou de donnée personnelle dans un outil grand public.
- Pour ces données, on utilise l’outil interne de l’entreprise.
- Tout texte produit par l’outil est relu avant d’être envoyé.
- On ne demande pas à l’outil de trancher une question juridique, médicale ou de sécurité.
- En cas de doute, on demande à [nom du référent].
Ce que nous proposons
Une formation de vos équipes sur leurs propres tâches (durée et prix sur devis), la charte adaptée à votre activité, un outil interne hébergé en Europe et une extension de navigateur qui bloque les données sensibles avant qu’elles partent. Voir Encadrer ChatGPT dans votre entreprise.