ChatGPT personnel au travail : reprendre la maîtrise des données

Un collaborateur veut reformuler un e-mail client, résumer un contrat ou comprendre une erreur. Il ouvre son compte ChatGPT personnel et colle le texte. Le gain de temps est immédiat ; la décision de transmettre les données, elle, n’a parfois jamais été discutée avec l’entreprise.

Le premier sujet est donc la maîtrise des usages et des données : quelles informations peuvent sortir, vers quel service et sous quelles conditions ? Interdire un outil sans proposer de solution à la tâche laisse ce besoin entier.

Le type de compte change les conditions d’utilisation

OpenAI indique que les contenus des services individuels peuvent servir à améliorer ses modèles, avec un réglage permettant de désactiver cet usage. Pour ses offres professionnelles et son API, cet entraînement est désactivé par défaut. Ces différences sont décrites dans sa documentation sur l’utilisation des données.

Le choix d’un abonnement ne suffit pourtant pas à établir la politique de l’entreprise. Il faut aussi examiner le contrat, les accès, les fonctionnalités activées et le traitement des documents. Une option désactivée par un employé ne remplace pas des règles communes.

Partir des tâches, puis classer les informations

Recensez quelques usages réels : rédaction, traduction, assistance au développement, analyse de tableaux. Pour chacun, identifiez les informations nécessaires et retirez ce qui ne l’est pas. Une demande de reformulation peut souvent être testée avec un exemple fictif.

• Les contenus publics ou des exemples inventés peuvent servir à apprendre à utiliser l’outil.
• Les informations internes demandent un service et des conditions approuvés.
• Les identifiants, les secrets techniques et les dossiers sensibles nécessitent une règle explicite et un circuit adapté.

Cette grille est une proposition d’organisation, à adapter à votre activité. Les données personnelles restent soumises aux obligations applicables : le PFPDT rappelle que la législation sur la protection des données s’applique aussi à l’IA.

Donner une règle utilisable au quotidien

Une page claire vaut mieux qu’une interdiction que personne ne sait appliquer. Elle doit nommer l’outil autorisé, montrer ce qui peut être saisi, désigner un interlocuteur et expliquer comment signaler une erreur sans perdre de temps.

La campagne de l’OFCS sur l’IA au travail recommande notamment les outils professionnels mis à disposition par l’employeur et la vérification des informations transmises. La formation peut s’appuyer sur un e-mail fictif et un document volontairement dépourvu de données réelles.

Ajouter les contrôles là où ils ont un effet

Définissez qui gère les comptes, comment les accès sont retirés au départ d’une personne et comment les nouvelles fonctionnalités sont examinées. Un contrôle technique éventuel doit répondre à un risque identifié et être évalué avec les responsables concernés.

Si une information sensible a déjà été envoyée, conservez les éléments utiles à l’analyse, prévenez le responsable compétent et renouvelez immédiatement les accès exposés. Les obligations de notification dépendent de la situation ; elles demandent une évaluation spécifique.

La prochaine étape : choisir un usage précis, un jeu de données de test et une personne responsable. Vous pourrez alors comparer les outils sur un besoin réel, avec des conditions d’utilisation explicites.