Faut-il interdire ChatGPT à mes équipes ?

« Est-ce que je dois interdire ChatGPT à mes équipes ? » est l'une des premières questions que me posent les dirigeants que je rencontre, souvent avant même qu'on parle de leur métier. Elle est légitime, et elle cache une inquiétude réelle : celle de voir des informations sensibles quitter l'entreprise sans qu'on s'en aperçoive.

Ma réponse tient en une phrase, puis mérite une page. Non, je ne conseille presque jamais d'interdire, parce qu'une interdiction que personne ne respecte protège moins qu'une règle claire que tout le monde applique. La vraie question n'est pas d'autoriser ou de bannir : c'est d'encadrer.

Interdire un outil qui fait gagner du temps ne supprime pas son usage : il le déplace hors de votre vue. Le salarié qui gagnait vingt minutes sur un compte rendu ne va pas y renoncer ; il ouvrira l'outil sur son téléphone personnel, hors du réseau de l'entreprise, et vous ne le saurez pas.

Un sondage Odoxa mesure que 12 % des salariés utilisent déjà l'IA au travail, et que près d'un sur deux n'y a jamais été formé. Dans la plupart des PME, l'IA générative est entrée par les équipes, pas par une décision de direction : une interdiction arrive donc après coup, contre un usage déjà installé.

Le problème n'a jamais été l'usage lui-même, souvent utile. Le problème, c'est son cadre : des comptes personnels, gratuits ou payants, hors de tout contrat d'entreprise, et sans la moindre trace de ce qui a été partagé.

Avant de décider quoi que ce soit, je regarde ce qui quitte réellement l'entreprise à chaque requête. Ce qui part est presque toujours plus large que la question posée : le mail collé pour « reformuler », le tableau collé pour « résumer ces chiffres », le contrat collé pour « vérifier cette clause ». Le document part avec la question, vers des serveurs que l'entreprise ne contrôle pas.

Sur un compte personnel, ce transfert échappe à tout contrat d'entreprise : conditions grand public, réglages par défaut, historique conservé, et selon les offres et les paramétrages, des contenus qui peuvent servir à améliorer les modèles de l'éditeur. L'entreprise, elle, ne sait ni ce qui est parti, ni quand, ni sur quel compte : il n'y a rien à auditer, parce que rien n'a été tracé.

Quand une donnée client fuit, quand un document sous accord de confidentialité se retrouve sur un serveur tiers, c'est l'entreprise qui répond, pas le salarié qui a collé le texte. Les données personnelles relèvent du RGPD, les documents confidentiels engagent l'entreprise, et un secret d'affaires ne se protège que si l'on démontre des mesures de protection. Dans les trois cas, la responsabilité remonte au dirigeant.

S'y ajoute le règlement européen sur l'IA : depuis février 2025, il attend de toute entreprise dont les équipes utilisent ces outils des mesures de littératie IA, et il faut pouvoir les démontrer. Une consigne orale ne se prouve pas ; face à un client, à un assureur ou à un contrôle, seul l'écrit compte. C'est précisément ce qu'une interdiction lancée de vive voix ne fournit jamais.

Plutôt qu'un « oui » ou un « non », je propose à chaque fois trois décisions concrètes, qui reprennent la main sans priver les équipes d'un outil utile. La première : des comptes entreprise paramétrés, les mêmes outils en offre professionnelle, avec les réglages qui protègent vos contenus, et une liste d'outils autorisés tenue par un référent. On ne retire jamais un outil qui fait gagner du temps sans en fournir l'équivalent.

La deuxième : une charte d'usage d'une page, signée, présentée de vive voix par la direction. Elle dit ce qui est autorisé, ce qui ne doit jamais sortir, et ce qu'on vérifie avant d'agir. Le modèle complet est publié en clair sur ce site : il n'y a rien à inventer, seulement à adapter à votre maison.

La troisième vaut pour ce qui ne doit jamais quitter l'entreprise, contrats, données clients, pièces de gestion : une IA privée, un modèle auto-hébergé sur vos serveurs ou sur un cloud souverain français, qui répond depuis vos documents sans que rien ne transite au-dehors. Complétées d'une formation documentée, ces trois décisions couvrent l'essentiel de la littératie exigée depuis février 2025.

Chez PropulAI, ces trois décisions forment l'étape Cadrage et conformité de nos missions. Nous commençons par un audit qui cartographie les usages réels, ceux que personne n'a décidés, puis nous rédigeons la charte avec vous, paramétrons les comptes, formons les équipes sur leurs propres cas, et déployons une IA privée quand un usage l'exige.

Notre position est simple, et elle est écrite au contrat : nous sommes rémunérés au projet, jamais à la revente de licences, donc nous n'avons aucun intérêt à vous vendre un outil de plus. La machine lit, rapproche et alerte ; la décision, elle, reste humaine. Interdire ou pas, c'est vous qui tranchez : notre travail est de rendre cette décision sûre.