Oui, vos salariés utilisent ChatGPT au travail. Probablement plus que vous ne le pensez, et probablement sur des tâches plus sensibles que vous ne l'imaginez. La question n'est plus vraiment « est-ce qu'ils le font ? » mais « est-ce que ça pose un problème, et lequel ? »
La bonne nouvelle : l'usage professionnel de ChatGPT n'est pas interdit. Ni par la loi, ni par la réglementation européenne. La mauvaise nouvelle : il peut rapidement devenir risqué si trois conditions ne sont pas remplies. Voici lesquelles — et comment les vérifier en moins d'une heure.
Ce que dit la loi (en clair)
L'AI Act ne cite pas ChatGPT spécifiquement. Il catégorise les systèmes IA selon leur niveau de risque. ChatGPT, dans son usage bureautique courant (rédaction, résumé, reformulation, traduction), est un système de risque limité — pas interdit, pas soumis aux contraintes des systèmes à haut risque. L'obligation qui vous concerne en tant qu'employeur, c'est l'article 4 : s'assurer que vos collaborateurs comprennent ce qu'est l'outil et comment l'utiliser sans créer de risques.
Le RGPD, lui, s'applique dès qu'une donnée personnelle entre dans un prompt. Et une donnée personnelle, c'est tout ce qui permet d'identifier une personne — un nom, une adresse email, un numéro de client, un relevé médical, un CV.
Donc la réponse à « est-ce légal ? » est : oui, sous trois conditions.
Condition 1 — Pas de données personnelles ou confidentielles dans les prompts
C'est la règle la plus importante et la plus souvent violée.
Un exemple concret : une assistante de direction rédige un compte-rendu de réunion avec ChatGPT en collant directement le contenu de ses notes. Ces notes contiennent les noms des participants, des décisions commerciales confidentielles, parfois des informations sur des tiers. En envoyant ce texte à ChatGPT (version gratuite, sans accord d'entreprise), elle transfère des données personnelles vers des serveurs OpenAI aux États-Unis — sans base légale RGPD, sans information des personnes concernées.
Ce n'est pas une faute grave de l'assistante. C'est une faute de cadrage de l'entreprise, qui n'a pas défini ce qui entre ou n'entre pas dans un prompt.
La règle pratique : ne jamais coller dans un outil IA grand public (version gratuite ou sans accord de traitement des données) : - des noms de clients, prospects ou salariés ; - des données de santé, financières ou RH ; - des informations contractuelles confidentielles ; - des documents marqués « confidentiel » ou couverts par le secret des affaires.
Si vous avez souscrit à ChatGPT Entreprise ou à une offre équivalente avec un DPA (Data Processing Agreement) conforme au RGPD, les données traitées restent sous votre contrôle — les règles changent. Vérifiez les conditions de service avant de conclure.
Condition 2 — Les outputs sont vérifiés par un humain
ChatGPT hallucine. Pas tout le temps, pas de façon aléatoire — mais régulièrement, et souvent de façon convaincante. Il cite des sources qui n'existent pas. Il donne des dates incorrectes. Il reformule une information en changeant subtilement son sens.
Un chargé de communication qui publie un article généré par IA sans relecture peut diffuser une information fausse au nom de votre entreprise. Un commercial qui envoie une proposition chiffrée basée sur des calculs générés par IA sans vérification peut s'engager sur des montants erronés. Un responsable RH qui s'appuie sur une synthèse IA d'un entretien peut passer à côté d'un élément important.
L'article 4 de l'AI Act et le bon sens professionnel convergent sur ce point : toute sortie d'un outil IA doit être vérifiée par un humain avant d'être utilisée ou diffusée.
Ce n'est pas une posture de méfiance excessive. C'est simplement reconnaître que l'IA est un assistant, pas un décideur.
Condition 3 — Il existe une règle du jeu connue de tous
La troisième condition, c'est que vos collaborateurs sachent ce qui est autorisé et ce qui ne l'est pas. Pas parce que la réglementation l'exige (même si c'est le cas), mais parce que sans règle claire, chacun improvise — et les risques s'accumulent de façon invisible.
Voici ce qui se passe dans beaucoup de TPE en ce moment : quelques salariés utilisent ChatGPT pour leur propre compte, en version gratuite, sans qu'on leur ait dit quoi que ce soit. D'autres évitent l'outil par peur ou par méconnaissance. Personne ne sait vraiment ce qui est acceptable. Le dirigeant découvre la situation au détour d'une conversation — ou, dans le pire des cas, lors d'un incident.
Ce qu'on appelle le shadow AI, ce ne sont pas des usages malveillants. Ce sont des usages non cadrés, qui créent des risques que l'entreprise n'a pas évalués.
Une charte IA d'une ou deux pages qui dit : - quels outils sont autorisés (et dans quelle version) ; - ce qui ne doit jamais entrer dans un prompt ; - que les outputs doivent être vérifiés avant usage ; - comment signaler un problème ou une question,
... suffit à transformer un risque diffus en pratique maîtrisée. Et elle vous protège aussi en cas de litige : vous pouvez montrer que vous avez défini des règles, que vos salariés les connaissaient, et que vous avez pris vos responsabilités d'employeur.
Le cas qui revient le plus souvent
Dans les TPE, l'usage le plus courant de ChatGPT au travail, c'est la rédaction : emails, comptes-rendus, propositions commerciales, articles, fiches produits. C'est aussi le plus facile à encadrer.
Exemple réaliste : une agence de recrutement de 7 personnes. Tout le monde utilise ChatGPT pour rédiger des annonces et des emails aux candidats. Le problème n'est pas la rédaction — c'est que les consultants collent parfois des extraits de CV ou des notes d'entretien pour demander à l'IA de les reformuler. Résultat : des données personnelles de candidats partent sur des serveurs américains sans base légale.
La solution n'est pas d'interdire ChatGPT. C'est de dire : « Pour les annonces et les emails génériques, utilisez librement. Pour tout ce qui contient des infos sur un candidat identifié, utilisez notre version Entreprise ou ne passez pas par l'IA. » Une règle, communiquée clairement, appliquée en pratique.
Résumé : 3 règles, 1 document
Pour que l'usage de ChatGPT au travail soit légal et maîtrisé :
- Aucune donnée personnelle ou confidentielle dans les prompts (sauf outil Entreprise avec DPA).
- Tout output vérifié par un humain avant publication ou envoi.
- Une règle du jeu connue de tous — même d'une page.
Ces trois règles tiennent dans une charte IA courte. Elles couvrent aussi l'essentiel des obligations de l'article 4 de l'AI Act.
Si vous voulez savoir où en est votre situation — si vous avez déjà une charte, si elle couvre bien ces points, si vos équipes sont sensibilisées — le diagnostic gratuit de Chartia vous donne un état des lieux en cinq minutes. Vous repartez avec les documents adaptés à votre secteur et à vos outils.