Protéger vos données sur ChatGPT : 3 réflexes au bureau

Un commercial colle un contrat client dans ChatGPT pour le résumer. Un RH y dépose une fiche de paie pour reformuler un mail. Un dirigeant y teste un business plan confidentiel. Multipliez par tous vos salariés, chaque jour : c'est aujourd'hui la réalité dans la plupart des entreprises. Protéger ses données ChatGPT n'est plus une question de geek paranoïaque, c'est devenu un sujet de direction. Meredith Whittaker, la présidente de Signal, vient de le rappeler sèchement : « les chatbots ne sont pas vos amis ». Concrètement, qu'est-ce qui sort de votre entreprise quand un salarié discute avec une IA ? Quels réflexes imposer sans bloquer l'usage ? Décodage en cinq minutes.

Ce qui sort vraiment de votre entreprise (et où ça va)

Quand un salarié colle un document dans ChatGPT, Claude ou Gemini, ce texte quitte votre réseau. Il part sur les serveurs du fournisseur, est analysé par le modèle, et (selon les conditions d'utilisation choisies) peut être conservé, relu par des humains pour la modération, voire utilisé pour entraîner les futures versions du modèle.

Traduction pour votre entreprise :

• Un contrat client collé dans le prompt = une partie de ce contrat se retrouve hors de votre périmètre légal.
• Un fichier de données personnelles (RH, clients) = potentiellement une violation RGPD, avec amende à la clé.
• Un secret industriel (code, formule, stratégie) = vous venez de l'envoyer à un acteur américain ou chinois, sans contrat de confidentialité.

Le rappel de Signal : un chatbot n'est pas un confident

Meredith Whittaker, à la tête de la messagerie chiffrée Signal, a remis les pendules à l'heure dans une intervention récente : un chatbot est un produit commercial conçu pour collecter et exploiter de l'information. Le ton conversationnel, le « tu », le côté empathique sont des choix de design, pas un cadre de confidentialité.

Le Journal du Net, de son côté, liste trois catégories de choses à ne jamais confier à une IA grand public :

1. Les données personnelles identifiantes (numéros de sécu, RIB, pièces d'identité, données de santé).
2. Les informations confidentielles de l'entreprise (contrats, salaires, stratégie, code source propriétaire).
3. Les secrets de tiers dont vous êtes responsable (données de vos clients, de vos fournisseurs, de vos salariés).

Ce que ça change pour vous : tant que vos équipes considèrent ChatGPT comme un collègue de confiance, vous êtes exposé. Le travail n'est pas technique, il est culturel.

3 réflexes simples à imposer dès lundi

Pas besoin d'un plan à 50 000 € pour démarrer. Trois règles, claires, communiquées à toute l'entreprise :

• Anonymiser avant de coller. Remplacer les noms de clients, montants, identifiants par des termes génériques (« Client A », « 1 000 € »). C'est moche, ça marche.
• Choisir un outil officiel et un seul. Plutôt que de laisser chacun utiliser son compte perso, fournissez un accès à une version « business » (ChatGPT Team, Copilot, Mistral, etc.) avec l'option « ne pas entraîner sur nos données » activée. Vous gardez de la visibilité.
• Lister ce qui est interdit, par écrit. Un document d'une page qui dit « pas de données clients, pas de données RH, pas de code propriétaire dans les IA externes ». Faites-le signer. Cela vous protège juridiquement et clarifie pour les équipes.

Bonus : nommer un référent IA en interne, à qui les salariés peuvent poser leurs questions avant de coller un document douteux.

Les outils qui filtrent avant l'envoi : l'exemple Naosuu

Une nouvelle catégorie d'outils émerge : les filtres locaux, qui détectent et masquent les données sensibles avant qu'elles ne partent dans le prompt. La startup Naosuu, repérée sur BetaList, propose par exemple de rédiger localement (sur votre machine) les noms, emails, numéros et autres informations identifiables, puis de les ré-injecter dans la réponse pour que vous gardiez un texte lisible.

L'idée : vous tapez « envoyer un devis à Jean Dupont pour 12 500 € », l'outil envoie à ChatGPT « envoyer un devis à [CLIENT_1] pour [MONTANT_1] », et reconstitue les vraies données dans la réponse affichée. ChatGPT ne voit jamais Jean Dupont ni le montant.

Ce qu'on en retient pour votre projet :

• C'est une bonne couche de sécurité complémentaire, pas une solution miracle.
• Ça ne dispense pas d'un cadre clair sur ce que les salariés peuvent demander à l'IA.
• Le marché est jeune : prudence sur la maturité des outils, demandez des références et testez sur un périmètre limité avant de déployer.

Le piège mortel : croire que « ça ne nous concerne pas »

Le vrai danger n'est pas technique. C'est de penser que vos salariés n'utilisent pas ChatGPT, ou qu'ils savent ce qu'ils font. Les études sectorielles le montrent depuis 2024 : entre 50 % et 70 % des employés de bureau utilisent une IA générative au travail, et une bonne partie le fait sans en parler à leur manager, par peur d'être jugés ou interdits.

Conséquence : si vous ne posez pas de cadre, le cadre s'écrit tout seul, et il s'écrit mal. Le pire scénario n'est pas un salarié qui demande la permission, c'est celui qui colle un fichier Excel client dans son ChatGPT perso un dimanche soir pour finir un dossier. Vous ne le saurez jamais, jusqu'au jour où ça fuite.

En résumé

Protéger ses données ChatGPT en entreprise tient en trois mouvements : comprendre ce qui sort réellement quand on utilise un chatbot, poser un cadre simple et écrit (outil officiel, anonymisation, liste d'interdits), et outiller progressivement avec des solutions comme Naosuu pour les usages les plus sensibles. Le sujet n'est pas de bloquer l'IA (elle fait gagner trop de temps pour ça), mais de l'encadrer comme on encadre n'importe quel outil qui manipule de la donnée. Le pire choix reste de ne rien faire.

// sources
JDN : 3 choses à ne jamais confier à l'IA · TechCrunch : Meredith Whittaker sur les chatbots · BetaList : Naosuu