Pilotage & shadow AIGouvernance IA

    ChatGPT en entreprise : le guide de référence pour une PME

    Zaheda Taky

    Fondatrice de Klaveta

    10 min de lecture

    Risques, comptes, règles internes, budget : les neuf articles de Klaveta sur ChatGPT en entreprise, réunis en un parcours pour les dirigeants de PME.

    Des salariés qui utilisent ChatGPT sans cadre exposent l'entreprise à trois risques : des données confidentielles qui sortent, des réponses fausses reprises comme vraies, et l'absence de toute trace de ce qui est fait. Le cadre tient en trois décisions : quel compte, ce qui a le droit d'y entrer, et qui tranche en cas de doute. Cette page réunit les neuf articles de Klaveta sur le sujet, dans l'ordre où un dirigeant de PME en a besoin.

    Les principaux risques de ChatGPT sans cadre

    Six risques reviennent, toujours les mêmes. Ils ne supposent aucune mauvaise intention : ils viennent d'un outil gratuit, rapide, et que personne n'a encadré.

    • Confidentialité. Sur un compte personnel, ce qui est saisi peut servir à l'entraînement des modèles sauf refus ; sur une offre professionnelle, les règles diffèrent. Le détail offre par offre est dans ChatGPT et confidentialité.
    • Sécurité. Un compte personnel n'a ni administrateur ni journal d'accès côté entreprise : quand un salarié part, les conversations restent avec lui.
    • Erreurs. Un modèle produit une réponse plausible même quand elle est fausse. Sans relecture, elle passe dans un chiffrage ou une réponse client.
    • Conformité. Des données personnelles saisies sans cadre relèvent du RGPD, et l'entreprise ne peut pas décrire ses usages quand on le lui demande.
    • Propriété intellectuelle. Qui détient ce qui a été généré, et que peut-on reprendre ? La réponse nuancée est dans Le contenu généré par IA vous appartient-il vraiment ?.
    • Transparence. Ce qu'on dit au client, au candidat ou au public quand un texte a été produit avec une IA.

    Les données à ne jamais saisir

    Cinq catégories suffisent à faire une règle que tout le monde retient : les CV et dossiers de candidats, le code source, les contrats, les données clients, les comptes rendus internes. La liste complète, avec ce qu'on peut confier à un outil et ce qu'il faut garder, est dans IA et données : ce qu'une PME peut confier à un outil. Le mécanisme par lequel ces données arrivent dans l'outil est décrit dans Vos salariés mettent-ils vos données confidentielles dans ChatGPT ?.

    Ce qui peut arriver en pratique

    Trois cas, qui n'ont rien d'exceptionnel.

    • La fuite de données. Un collaborateur colle un contrat client dans son compte personnel pour en obtenir un résumé. Le contrat a quitté l'entreprise, qui ne sait ni où il est hébergé ni pour combien de temps.
    • La réponse fausse utilisée. Un chiffrage ou une note de cadrage générés sont envoyés sans relecture. L'erreur est découverte par le client, pas par l'équipe.
    • L'usage RH sensible. Un classement de candidatures confié à l'outil. L'IA ne produit plus un texte, elle aide à décider sur des personnes. L'annexe III du règlement range parmi les systèmes à haut risque ceux destinés à « analyser et filtrer les candidatures » (point 4, a) ; pour l'annexe III, les obligations du chapitre III s'appliquent à partir du 2 décembre 2027 (règlement (UE) 2026/1744) : voir Annexe III et décembre 2027.

    Shadow AI : de quoi parle-t-on ?

    Le shadow AI désigne l'usage d'outils d'IA par des salariés hors de tout cadre connu de l'entreprise : ni fournis, ni validés, ni écrits dans un inventaire. ChatGPT sur un compte personnel en est l'exemple le plus courant. La définition complète, huit exemples et la méthode pour en sortir sont dans l'article de référence Shadow AI : définition, exemples, risques et méthode.

    Les trois décisions à prendre avant de déployer

    1. Quel compte, et à quel nom. Un compte professionnel, ouvert au nom de l'entreprise, avec un administrateur identifié.
    2. Ce qui a le droit d'y entrer. Une liste courte de données interdites, que chacun peut citer de mémoire.
    3. Qui tranche quand c'est ambigu. Une personne nommée, pas un comité.

    Ces trois décisions, l'ordre dans lequel les prendre et le calendrier de quatre semaines qui suit sont développés dans ChatGPT en entreprise : ce qu'il faut cadrer avant de déployer. Une fois l'offre choisie, la vérification des réglages (entraînement, conservation, accès de l'administrateur) fera l'objet d'un article dédié.

    Les règles internes : charte informatique, RGPD, DPO et CSE

    Une règle d'usage de l'IA ne s'écrit pas dans le vide. Elle s'articule avec ce qui existe déjà.

    • La charte informatique. La règle sur ChatGPT s'y rattache, ou la complète par une charte d'usage de l'IA. Le modèle de charte en huit clauses fournit le texte.
    • Le RGPD. Dès que des données personnelles sont saisies, les règles de protection des données s'appliquent : base légale, information des personnes, durée de conservation.
    • Le DPO. S'il y en a un, il est associé à l'écriture de la règle ; sinon, la personne qui suit les données personnelles dans l'entreprise.
    • Le CSE. Dans une entreprise d'au moins cinquante salariés dotée d'un CSE, le code du travail prévoit son information et sa consultation sur l'introduction de nouvelles technologies (article L. 2312-8) et sur les moyens ou techniques permettant un contrôle de l'activité des salariés (article L. 2312-38). Savoir si le déploiement d'un assistant d'IA entre dans ce cadre se vérifie avec votre conseil. Le déroulé d'une annonce aux équipes, CSE compris, est dans Annoncer ChatGPT à vos équipes.

    Interdire ou cadrer ?

    L'interdiction pure et simple fabrique du shadow AI : l'usage se déplace vers le téléphone personnel et devient invisible. La recommandation de Klaveta est de cadrer. Trois articles détaillent la question, côté entreprise et côté salarié.

    Charte, annonce, formation : installer la règle

    Le budget

    Le tarif affiché par utilisateur ne dit presque rien du coût réel : il y a le temps d'appropriation, le temps de pilotage et le coût d'un incident. La méthode pour n'équiper que ceux qui en ont besoin est dans Combien coûte vraiment ChatGPT dans une entreprise ?.

    ChatGPT n'est pas le seul assistant

    Beaucoup d'entreprises hésitent entre plusieurs outils, ou en ont déjà plusieurs sans le savoir. Trois articles comparent les environnements, les données et les offres.

    Les neuf articles de ce guide

    1. ChatGPT en entreprise : ce qu'il faut cadrer avant de déployer
    2. ChatGPT et confidentialité : offre par offre
    3. Vos salariés mettent-ils vos données confidentielles dans ChatGPT ?
    4. Combien coûte vraiment ChatGPT dans une entreprise ?
    5. Faut-il interdire ChatGPT au travail ?
    6. ChatGPT interdit dans l'entreprise : ce que risque un salarié
    7. Charte ChatGPT : les dix questions de vos salariés
    8. Annoncer ChatGPT à vos équipes
    9. Former ses équipes à ChatGPT

    Questions fréquentes

    Un salarié peut-il utiliser ChatGPT sans prévenir ?

    Tout dépend de ce qui est écrit. Sans règle connue des équipes, il est difficile de reprocher un usage ; avec une charte ou un règlement intérieur qui l'encadre, un usage hors cadre peut devenir un manquement, dans les limites décrites dans notre article sur l'interdiction de ChatGPT. Le plus efficace reste de rendre la déclaration simple et sans risque.

    Peut-on interdire totalement ChatGPT ?

    Un employeur peut fixer des règles d'usage, y compris restrictives. Dans les faits, une interdiction sèche déplace l'usage vers les téléphones personnels et supprime la visibilité. Un cadre clair, un outil fourni et une règle courte donnent de meilleurs résultats ; voir Faut-il interdire ChatGPT au travail ?.

    L'AI Act s'applique-t-il à l'usage de ChatGPT en entreprise ?

    Oui : une entreprise qui utilise ChatGPT dans un cadre professionnel déploie un système d'IA au sens du règlement (UE) 2024/1689. L'article 4 lui demande de favoriser la maîtrise de l'IA de son personnel, depuis le 2 février 2025. L'article 50 prévoit des obligations de transparence, applicables depuis le 2 août 2026, qui concernent notamment les hypertrucages et certains textes publiés pour informer le public. Pour situer ce qui concerne une PME, voir Règlement IA européen : ce qui s'applique vraiment à une PME en 2026.

    Quelle offre ChatGPT choisir pour une PME ?

    Le choix dépend de ce que vos équipes saisissent, de l'administration dont vous avez besoin et de votre budget. Les écarts sur les données et l'administration sont détaillés offre par offre dans ChatGPT et confidentialité, et le coût réel dans Combien coûte vraiment ChatGPT dans une entreprise ?.

    Où en est votre entreprise ?

    Le diagnostic gratuit de Klaveta situe votre entreprise face à l'AI Act : votre rôle, votre exposition et vos obligations. 11 questions, 3 minutes, sans compte.

    Lancer le diagnostic gratuit

    chatgptchatgpt-entreprisepiliershadow-aicharte-iapme