Vous venez de l'apprendre : un fichier de clients, un contrat ou un bulletin de paie a été collé dans ChatGPT pour « gagner du temps ». Ce n'est ni rare ni forcément grave, mais ce n'est pas à laisser filer. Voici un plan sur cinq jours pour évaluer, corriger, documenter et faire en sorte que cela ne se reproduise pas. Sans chasse aux coupables : le salarié qui vous l'a signalé vous rend service.
Lundi : faire le point, sans dramatiser
Avant d'agir, il faut savoir de quoi on parle. Posez quatre questions au salarié concerné, et notez les réponses avec la date :
- Quelles données ? Des noms et coordonnées, des montants, des données sensibles (santé, situation familiale, données bancaires complètes) ? Combien de personnes sont concernées ?
- Quel outil, quel compte ? Un compte personnel gratuit de ChatGPT n'offre pas les mêmes garanties qu'un espace ChatGPT Business de l'entreprise, dont les données ne servent pas à l'entraînement par défaut.
- Quels réglages ? Sur un compte personnel, le réglage « Améliorer le modèle pour tout le monde » était-il activé ? C'est le cas par défaut.
- Qu'est devenue la conversation ? Partagée par lien ? Mémorisée par la fonction mémoire ? Copiée ailleurs ?
Mardi : limiter les dégâts dans l'outil
- Supprimer la conversation. OpenAI indique qu'une conversation supprimée est effacée de ses systèmes sous 30 jours, sauf obligation légale ou de sécurité.
- Vider la mémoire. Supprimer une conversation ne supprime pas forcément ce que ChatGPT en a retenu : vérifiez Paramètres › Personnalisation › Mémoire.
- Supprimer les liens de partage éventuels : un lien partagé depuis un compte personnel est lisible par quiconque le possède.
- Désactiver l'entraînement pour la suite : Paramètres › Contrôles des données › « Améliorer le modèle pour tout le monde ».
Le même raisonnement vaut pour Gemini, Copilot, Claude ou Perplexity, avec des réglages différents : nos fiches par outil indiquent où les trouver.
Mercredi : qualifier l'incident au regard du RGPD
Le RGPD définit la violation de données comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, notamment la divulgation non autorisée de données personnelles ou l'accès non autorisé à celles-ci (article 4). La CNIL ne s'est pas prononcée spécifiquement sur la saisie de données dans un outil d'IA grand public, mais un fichier client versé dans un service extérieur, hors de tout contrat, peut entrer dans cette définition. Traitez-le comme tel :
- Documentez-le dans tous les cas. L'article 33, paragraphe 5, impose de documenter toute violation : les faits, leurs effets et les mesures prises. Votre note de lundi en est la base.
- Notifiez la CNIL si un risque existe pour les personnes concernées, dans les meilleurs délais et si possible dans les 72 heures après en avoir pris connaissance (article 33). La notification se fait en ligne sur le téléservice de la CNIL. Quelques noms et adresses professionnelles dans un compte réglé présentent un risque faible ; des données de santé ou bancaires dans un compte qui alimente l'entraînement, un risque bien plus élevé.
- Informez les personnes si le risque est élevé pour leurs droits et libertés (article 34).
Le délai de 72 heures court à partir du moment où vous avez connaissance de la violation : c'est pourquoi cette étape ne doit pas attendre la fin de la semaine si les données sont sensibles. En cas de doute sur le niveau de risque, la notification est la voie prudente.
Jeudi : vérifier vos engagements envers le client
Au-delà du RGPD, relisez le contrat du client concerné : clause de confidentialité, accord de non-divulgation, interdiction de sous-traiter sans accord. Certains imposent de prévenir le client de tout incident. Pour les professions tenues au secret (avocats, experts-comptables, santé), la question est plus sérieuse encore : lisez notre article sur l'IA et le secret professionnel.
Prévenir un client spontanément, avec les mesures déjà prises, préserve souvent mieux la relation que de le laisser l'apprendre autrement.
Vendredi : faire en sorte que ça ne recommence pas
L'incident a une cause simple : personne n'avait dit ce qui était permis. Corrigez-la en une heure.
- Choisissez l'outil autorisé et le type de compte. Si vos équipes ont besoin de l'IA sur des dossiers clients, une offre professionnelle, sans entraînement sur vos données et avec un accord de traitement, coûte moins cher qu'un incident.
- Écrivez trois règles : aucune donnée identifiante dans un outil non autorisé ; relecture humaine avant tout envoi ; on signale une erreur sans crainte de sanction. Aucune loi n'impose de charte, mais une page écrite et signée vaut mieux que toutes les consignes orales.
- Montrez comment anonymiser : « rédige une relance pour un client en retard de 60 jours » au lieu du nom, de l'adresse et du montant réels.
- Sensibilisez toute l'équipe et gardez la trace. La formation gratuite de Chartia couvre la confidentialité et le RGPD en six courts chapitres, avec un test et une attestation nominative. C'est aussi votre réponse à l'article 4 de l'AI Act.
Ce qu'il ne faut pas faire
- Sanctionner le salarié qui a signalé l'incident : le suivant ne vous dira rien.
- Interdire l'IA du jour au lendemain sans alternative : l'usage passera sur les téléphones personnels, hors de votre vue. Peut-on d'ailleurs interdire ChatGPT ?
- Ne rien écrire : sans trace de ce que vous avez constaté et fait, vous ne pourrez rien démontrer si la question revient.
Pour faire le point sur l'ensemble de vos usages, le diagnostic gratuit prend deux minutes, et les douze bonnes pratiques de l'IA en TPE vous donnent le cadre complet.