Mes salariés utilisent l'IA en douce : que faire ?

Un salarié qui utilise un assistant d'IA grand public (ChatGPT, Claude, Gemini, Copilot, Le Chat, Perplexity…) avec son compte personnel :

• accepte des conditions d'utilisation pensées pour le grand public, pas pour une entreprise ;
• peut, selon les réglages de l'outil, laisser ses conversations servir à entraîner les modèles du fournisseur ;
• crée un historique de conversations que l'entreprise ne voit pas et ne peut pas supprimer s'il quitte la société.

Tant qu'il s'agit de reformuler un e-mail sans nom ni chiffre, le risque est faible. Il devient sérieux dès qu'il colle un fichier clients, un contrat ou des données sur des collègues.

Dans ce cas, c'est l'entreprise qui répond de ces données au titre du RGPD, pas l'outil ni le salarié seul. Notre article sur les données clients dans ChatGPT ou Claude détaille ce point.

La tentation est de tout bloquer. C'est rarement efficace :

• l'usage continue sur les téléphones personnels, hors de tout contrôle ;
• les salariés cessent d'en parler, et vous perdez toute visibilité ;
• vous privez l'entreprise d'un vrai gain de temps, que vos concurrents, eux, exploitent.

Une interdiction totale peut se justifier dans des cas précis, par exemple pour des données très sensibles. Pour la plupart des TPE et PME, encadrer est plus efficace qu'interdire.

• Interdire certains outils ou certains usages : c'est votre pouvoir de direction. Vous pouvez imposer l'usage exclusif d'outils validés, avec un compte professionnel.
• Bloquer techniquement certains sites sur le réseau et les ordinateurs de l'entreprise, à condition d'en informer les salariés.
• Contrôler l'usage des outils professionnels, par exemple les journaux d'utilisation, à condition d'en informer les salariés au préalable (article L. 1222-4 du Code du travail) et, à partir de 50 salariés, de consulter le CSE. Notre article Peut-on contrôler l'usage de l'IA par ses salariés ? détaille ce point.
• Sanctionner un manquement, si la règle était écrite, connue et adoptée dans les formes.

Ce que vous ne pouvez pas faire : surveiller les comptes personnels de vos salariés, ou fouiller leurs conversations sans les avoir prévenus.

C'est le piège le plus fréquent. Une règle orale ou un simple e-mail ne suffit pas toujours :

• À partir de 50 salariés : une charte qui impose des obligations générales et permanentes est traitée comme un ajout au règlement intérieur. Il faut l'avis du CSE, la transmission à l'inspection du travail et l'affichage. Sans ces formalités, la Cour de cassation a jugé qu'une sanction fondée sur la charte n'était pas valable (Cass. soc., 5 mai 2021, n° 19-25.699).
• En dessous de 50 salariés : il n'y a pas de règlement intérieur obligatoire. La charte peut être diffusée comme une note de service, et la signature de chaque salarié prouve qu'il en a pris connaissance.

Dans tous les cas, une sanction reste proportionnée : un premier écart appelle d'abord un rappel des règles.

1. Faire l'inventaire, sans chercher de coupable

• demandez simplement à chaque équipe quels outils elle utilise et pour quoi faire ;
• annoncez à l'avance qu'il n'y aura pas de sanction pour les usages passés : c'est la seule façon d'obtenir des réponses honnêtes.

2. Fournir un outil professionnel

• regardez d'abord ce que vous payez déjà : avec Microsoft 365, Copilot Chat est accessible avec le compte professionnel ; avec Google Workspace, Gemini peut l'être selon votre abonnement ;
• sinon, choisissez l'offre entreprise d'un assistant d'IA, avec un contrat de traitement des données conforme au RGPD et sans réutilisation de vos données pour l'entraînement ;
• attention aux versions grand public de ces mêmes outils : Copilot ou Gemini utilisés avec un compte personnel n'offrent pas les mêmes garanties ;
• comptez quelques dizaines d'euros par utilisateur et par mois pour une offre dédiée : c'est souvent moins cher qu'une seule fuite de données.
• pour comparer les offres, consultez notre grille des assistants d'IA pour les TPE et PME ;

3. Écrire les règles du jeu

• une charte courte : outils autorisés, données interdites, référent à prévenir en cas de doute ;
• la règle des trois couleurs est la plus simple à retenir : vert partout, orange dans les outils validés, rouge jamais.

4. Former et suivre

• une heure de formation pour tous, à partir de la charte ;
• un point régulier pour ajouter les nouveaux outils demandés par les équipes.