Confidentialité de ChatGPT en entreprise : les données à ne jamais partager

Les données à exclure, les différences entre espaces et une méthode simple pour encadrer l’usage de ChatGPT dans l’entreprise.

La règle la plus sûre est simple : ne saisissez jamais dans un espace ChatGPT non approuvé par votre entreprise des données personnelles, confidentielles, stratégiques ou permettant d’accéder à vos systèmes. Cela inclut les fichiers clients, informations RH, contrats non publics, mots de passe, données financières détaillées, secrets commerciaux et documents couverts par une obligation de confidentialité.

Un espace professionnel correctement choisi et configuré peut réduire certains risques. Il n’autorise pas pour autant les collaborateurs à y déposer toutes les informations de l’entreprise. La confidentialité dépend à la fois de l’offre utilisée, de ses paramètres, des contrats applicables, des outils éventuellement connectés et des règles internes de l’organisation.

Cet article fournit une méthode opérationnelle pour une PME. Il ne constitue pas un avis juridique ni une garantie de conformité au RGPD. En présence de données personnelles sensibles, d’un traitement à grande échelle ou d’une activité réglementée, associez votre DPO, votre responsable de la sécurité ou votre conseil juridique.

Pourquoi un prompt doit être traité comme un partage de données

Un prompt n’est pas une simple question posée à un moteur de recherche. Il peut contenir du texte, des tableaux, des extraits de contrats, du code, des fichiers ou des informations sur des personnes. Ces éléments sont transmis au service utilisé afin qu’il génère une réponse.

La première erreur consiste donc à croire qu’une information reste sans conséquence parce qu’elle n’apparaît que dans une conversation. La deuxième consiste à confondre « non utilisé pour entraîner les modèles » avec « jamais traité, conservé ou accessible dans aucun contexte ». Ce sont des notions différentes.

Définissez les conditions d’usage des outils d’IA générative, formez les collaborateurs et identifiez les données sensibles. Lorsqu’un usage est justifié, anonymisez les informations ou remplacez-les par des données fictives avant toute saisie.

Les 7 catégories de données à ne jamais copier par réflexe

1. Les identifiants et dossiers individuels

Ne copiez pas une fiche contenant le nom, l’adresse, le numéro de téléphone, l’adresse personnelle, la date de naissance ou le numéro de sécurité sociale d’un salarié, client ou candidat.

Un responsable RH qui souhaite améliorer un courrier peut remplacer ces éléments par des variables : [SALARIÉ], [POSTE], [DATE] ou [MONTANT]. ChatGPT n’a généralement pas besoin de connaître l’identité réelle de la personne pour aider à structurer le document.

2. Les données sensibles ou très intimes

Les informations de santé, données biométriques, opinions politiques, convictions religieuses, orientation sexuelle, origine supposée, appartenance syndicale ou informations relatives à des infractions nécessitent une prudence renforcée.

Une PME ne devrait pas demander à un collaborateur de résumer des dossiers médicaux nominatifs ou d’analyser la situation psychologique d’un salarié dans un outil non spécifiquement approuvé. Même lorsqu’une offre professionnelle est utilisée, la nécessité, la base juridique, la minimisation et les mesures de sécurité doivent être évaluées.

3. Les listes de clients, prospects et salariés

Un export CRM, un fichier de paie ou une liste de participants à une formation peut réunir des centaines de données personnelles : identité, entreprise, fonction, coordonnées, historique d’achat, notes commerciales ou absences.

Ne téléversez pas le fichier complet pour « gagner du temps ». Commencez par définir le résultat attendu. Pour créer une méthode de segmentation, un échantillon fictif de dix lignes suffit souvent. Pour analyser des tendances, agrégez les données : secteur, taille d’entreprise, ancienneté ou tranche de chiffre d’affaires, sans identifiants directs.

4. Les informations financières, commerciales ou contractuelles non publiques

Sont concernés les marges, prix négociés, prévisions de trésorerie, coordonnées bancaires, budgets détaillés, clauses particulières, conditions fournisseurs, propositions commerciales et résultats non publiés.

Vous pouvez demander une trame de budget ou une grille de négociation sans fournir les chiffres réels. Remplacez les montants par des ordres de grandeur fictifs et supprimez les noms des parties. Si l’analyse exige les données exactes, utilisez uniquement l’environnement validé par l’entreprise et appliquez ses règles d’accès.

5. Les secrets d’affaires et la propriété intellectuelle non publiée

Une formule, un procédé, une stratégie de lancement, un plan d’acquisition, une base de connaissance interne, le code source d’un produit ou le dossier d’une innovation peuvent constituer un avantage concurrentiel.

Avant de partager un extrait, demandez-vous : « Quel serait l’impact si un tiers non autorisé en prenait connaissance ? » Si la réponse évoque une perte financière, un risque contractuel ou un avantage donné à un concurrent, ne le transmettez pas sans validation.

6. Les secrets techniques et moyens d’accès

Un mot de passe, une clé API, un jeton d’accès, une clé privée, un cookie de session ou une configuration contenant des identifiants ne doit jamais être inclus dans un prompt.

Il faut également nettoyer les journaux techniques avant de les partager. Une erreur copiée depuis un terminal peut contenir un nom de domaine interne, une adresse IP, un chemin de fichier, une adresse email ou un secret. Utilisez des valeurs factices telles que API_KEY_REMOVED et révoquez immédiatement tout secret transmis accidentellement.

7. Les dossiers juridiques, incidents et enquêtes en cours

Évitez de copier un échange avec un avocat, une stratégie contentieuse, un signalement interne, les détails d’une cyberattaque ou un dossier disciplinaire.

Demander une liste générique des étapes à envisager est différent de transmettre l’intégralité d’un dossier. Pour un cas réel, utilisez les outils et canaux autorisés par vos conseils, votre DPO ou votre équipe de sécurité.

Compte personnel, espace professionnel et API : quelles différences ?

Compte personnel et espace géré par l’entreprise

Un compte personnel ne fournit pas à l’entreprise la même gouvernance qu’un espace administré : attribution des accès, politiques communes, supervision des fonctionnalités et gestion du départ d’un collaborateur. Pour les usages professionnels, l’entreprise doit donc préciser quel espace est autorisé et interdire le recours à un compte personnel parallèle pour traiter ses informations internes.

ChatGPT Business, Enterprise et Edu

Dans les espaces ChatGPT Business, Enterprise et Edu, les données sont chiffrées en transit et au repos, et les entrées et sorties professionnelles ne servent pas par défaut à entraîner les modèles d’OpenAI.

Cela ne signifie pas que toutes les données peuvent être partagées sans analyse. Les règles de conservation, de suppression et d’audit varient selon la catégorie de données, la fonctionnalité, l’offre et la configuration. Vérifiez le contrat et les paramètres réellement disponibles dans votre espace.

API OpenAI

Les données envoyées à l’API ne sont pas utilisées pour entraîner les modèles par défaut. Par défaut, des journaux de surveillance des abus pouvant contenir des prompts et des réponses sont conservés jusqu’à 30 jours, sauf obligation légale ou nécessité de sécurité imposant une conservation plus longue. La conservation de l’état applicatif varie selon le service : certains objets restent conservés jusqu’à leur suppression. Les dispositifs de conservation réduite sont soumis à éligibilité, approbation et limitations selon les fonctionnalités. Avant toute intégration, vérifiez les conditions, les paramètres de conservation et les contrôles applicables à votre configuration.

L’entreprise qui construit l’intégration reste responsable de ce qu’elle collecte, transmet, journalise et rend accessible à ses utilisateurs.

GPT, applications, actions et services connectés

Lorsqu’une fonctionnalité transmet des données à un service tiers, ce service devient un élément supplémentaire du flux. Vérifiez sa finalité, ses permissions, ses conditions, sa conservation et les personnes pouvant y accéder. Les contenus conservés dans une application connectée et leurs copies enregistrées dans ChatGPT peuvent suivre des règles différentes.

Une méthode simple pour autoriser les bons usages

Étape 1 : classer les informations

Adoptez quatre niveaux compréhensibles par tous :

• Public : information déjà publiée et réutilisable.
• Interne : information de travail à faible impact.
• Confidentiel : donnée commerciale, contractuelle ou personnelle nécessitant une autorisation.
• Restreint : secret, identifiant d’accès, donnée sensible ou dossier à fort impact.

Le niveau public peut généralement être utilisé. Le niveau interne nécessite un outil approuvé. Les niveaux confidentiel et restreint exigent une analyse spécifique ; le niveau restreint doit être interdit par défaut.

Étape 2 : réduire les données avant de rédiger le prompt

Supprimez les informations inutiles, remplacez les identités par des rôles et arrondissez les valeurs.

Au lieu de transmettre :

Paul Martin, directeur commercial chez Client X, a réalisé 612 438 euros de chiffre d’affaires et fait l’objet d’un arrêt médical…

Utilisez :

Un responsable commercial d’une PME a dépassé son objectif annuel. Propose une trame d’entretien de reconnaissance, sans traiter de données médicales.

Le besoin métier reste compréhensible, mais l’exposition est fortement réduite.

Étape 3 : choisir l’espace adapté

L’entreprise doit définir les comptes autorisés, les fonctionnalités activées, les données permises et les usages interdits. Un compte professionnel géré, l’authentification multifacteur et des droits limités sont préférables à une multiplication de comptes personnels.

Étape 4 : fournir des modèles de prompts

Une charte de vingt pages sera rarement mémorisée. Ajoutez des prompts validés pour les usages fréquents : reformulation d’un email, synthèse d’un document public, création d’un plan ou préparation d’un atelier. Indiquez, pour chaque modèle, les informations à supprimer.

Étape 5 : maintenir une validation humaine

Un modèle peut produire une information erronée, inventée ou biaisée. Toute décision sensible doit donc rester soumise à une validation humaine.

Aucune réponse ne doit déclencher seule une décision RH, juridique, financière ou commerciale importante.

Étape 6 : préparer la réaction à une erreur

Si un collaborateur transmet une donnée interdite :

1. il arrête le partage ;
2. il supprime la conversation lorsque cela est possible ;
3. il prévient immédiatement le référent interne ;
4. les secrets techniques exposés sont révoqués ;
5. le DPO ou le responsable sécurité évalue les personnes, systèmes et obligations concernés ;
6. l’incident sert à améliorer les règles et la formation.

La suppression d’un chat le retire immédiatement de l’affichage et programme sa suppression définitive sous 30 jours, sous réserve des exceptions applicables. Elle ne supprime pas automatiquement les fichiers enregistrés dans la bibliothèque ni les mémoires, qui suivent des contrôles distincts.

Le contrôle à faire avant d’appuyer sur Entrée

Posez-vous cinq questions :

• Cette donnée est-elle indispensable à la réponse ?
• Permet-elle d’identifier une personne ?
• Serait-elle dommageable si elle était connue d’un tiers ?
• Suis-je dans le compte et l’espace approuvés ?
• Puis-je la remplacer par une variable ou un exemple fictif ?

Au moindre doute, ne transmettez pas la donnée et demandez une validation interne.

Formez votre équipe à utiliser ChatGPT sans exposer l’entreprise

Pour transformer ces règles en pratiques quotidiennes, associez-les à une méthode de prompting professionnel et à des cas d’usage faciles à contrôler. Une prise en charge de la formation peut être possible selon les critères et l’accord préalable de votre financeur ; consultez la page financement OPCO.

Une politique ne fonctionne que si les collaborateurs savent reconnaître une donnée sensible, nettoyer un document et choisir le bon outil.

Seven Gold School peut construire une formation ChatGPT adaptée aux métiers et aux risques de votre PME : cas d’usage réels, prompts autorisés, confidentialité, vérification des réponses et charte interne.

• Construire une formation ChatGPT pour mon équipe