Peut-on interdire ChatGPT dans son entreprise ?

Oui, un employeur peut interdire ChatGPT, ou n'importe quel outil d'IA, pour le travail. Le Code du travail l'autorise tant que la règle est justifiée et proportionnée, et qu'elle est posée dans les formes quand l'entreprise a un règlement intérieur. Mais la question utile est ailleurs : une interdiction sèche protège-t-elle vraiment vos données ? Dans la plupart des TPE, la réponse est non. Voici ce que dit le droit, puis ce qui marche.

Ce que permet le droit du travail

L'employeur choisit les outils de travail et fixe les règles de leur usage. La limite est posée par l'article L1121-1 du Code du travail : on ne peut apporter aux droits et libertés des salariés que des restrictions « justifiées par la nature de la tâche à accomplir » et « proportionnées au but recherché ».

Interdire de verser des données clients dans un outil grand public passe ce test sans difficulté : la protection des données et du secret des affaires est un but légitime, et la mesure est ciblée. Interdire à un salarié de consulter ChatGPT sur son téléphone personnel pendant sa pause, en revanche, n'a guère de justification. La bonne formulation vise donc l'usage professionnel et les données de l'entreprise, pas l'outil en soi.

La forme compte : règlement intérieur, note de service, charte

À partir de 50 salariés, le règlement intérieur est obligatoire (article L1311-2), et il fixe notamment les règles générales et permanentes relatives à la discipline (article L1321-1). Une note de service ou une charte qui crée des obligations générales et permanentes dans ces matières est alors considérée comme une adjonction au règlement intérieur (article L1321-5) : elle suit la même procédure, avec l'avis du comité social et économique, la communication à l'inspection du travail et une entrée en vigueur un mois après les formalités de publicité (article L1321-4).

Sous 50 salariés, aucun règlement intérieur n'est imposé. Une note de service ou une charte diffusée à chacun, idéalement signée, suffit à rendre la règle connue. Si vous envisagez de sanctionner un manquement, la règle doit avoir été portée à la connaissance du salarié, et la procédure disciplinaire respectée : en cas de doute, faites-vous conseiller.

Dans tous les cas, gardez en tête qu'aucune loi n'impose de charte IA. C'est un support pratique, pas une obligation.

Pourquoi l'interdiction sèche protège mal

Parce que l'usage ne disparaît pas : il se déplace. Le salarié qui gagnait une heure par jour en rédigeant ses courriers avec ChatGPT ne va pas y renoncer. Il continuera sur son téléphone, avec son compte personnel, là où vous ne voyez plus rien : ni les réglages, ni l'historique, ni ce qui a été collé.

C'est précisément le scénario le plus risqué. Sur un compte personnel de ChatGPT, les conversations servent par défaut à entraîner les modèles tant que le réglage n'est pas désactivé, et l'entreprise n'a aucun contrat avec l'éditeur. Sur l'offre Business, à l'inverse, les données ne servent pas à l'entraînement par défaut et un accord de traitement des données peut être signé. Le détail est sur notre fiche ChatGPT.

La CNIL va dans le même sens : dans ses questions-réponses sur l'IA générative de juillet 2024, elle recommande d'encadrer l'usage par des politiques ou des chartes internes qui définissent clairement les usages autorisés et interdits, et rappelle que c'est en général l'organisme utilisateur qui engage sa responsabilité en cas de mauvaise utilisation par son personnel.

Les cas où une interdiction se justifie

Un outil sans garantie : une application dont l'éditeur stocke les données hors d'Europe sans offre professionnelle ni contrat, comme DeepSeek, mérite d'être exclue des usages professionnels.
Un métier tenu au secret : avocats, experts-comptables, professionnels de santé peuvent interdire tout outil grand public pour les dossiers clients, et réserver l'IA à des outils encadrés par contrat.
Une décision sur une personne : interdire de laisser une IA trier des candidatures ou évaluer un salarié est non seulement légitime, mais prudent.
Une période de transition : « pas d'IA sur les dossiers clients tant que les comptes professionnels ne sont pas ouverts » est une règle temporaire claire.

La méthode qui marche : autoriser, encadrer, prouver

Recenser sans blâme : demandez à chacun ce qu'il utilise. Vous découvrirez des usages utiles, et d'autres à corriger.
Choisir un outil autorisé, avec le bon type de compte : une offre professionnelle pour tout ce qui touche des clients.
Écrire trois interdits clairs : aucune donnée identifiante ou confidentielle hors de l'outil autorisé, aucune décision sur une personne prise par l'IA, aucune production envoyée sans relecture.
Sensibiliser une heure, puis garder une attestation par personne. C'est aussi votre réponse à l'article 4 de l'AI Act, qui demande depuis février 2025 de favoriser la maîtrise de l'IA des personnes qui l'utilisent.
Bloquer ce qui doit l'être : sur les postes et le réseau de l'entreprise, vous pouvez bloquer techniquement les outils non autorisés. Ce blocage ne vaut que sur vos équipements, d'où l'importance des trois étapes précédentes.

Exemple de règle courte, à reprendre : « ChatGPT est autorisé via le compte Business de l'entreprise. Les comptes personnels ne sont pas utilisés pour le travail. Aucun nom de client, aucun contrat, aucun document confidentiel n'est saisi dans un autre outil d'IA. »

En résumé

Vous pouvez interdire ChatGPT. Mais si votre objectif est de protéger vos données, un outil autorisé, trois règles écrites et une heure de sensibilisation font mieux qu'une interdiction que personne ne respecte. Les douze bonnes pratiques de l'IA en TPE détaillent ce cadre, et la formation gratuite s'occupe de la sensibilisation.

Sources

Cet article a une visée informative et ne constitue pas un conseil juridique individualisé.

Peut-on interdire ChatGPT dans son entreprise ? Ce que dit le droit du travail