Dossier de référence · IA et systèmes d’information de gestion
Les données de l’entreprise face aux assistants d’IA
Des salariés utilisent déjà ChatGPT, Gemini ou Claude avec des documents de l’entreprise, souvent sur des comptes personnels. Ce dossier aide à reprendre la main sans tout interdire : classer les données, valider un outil avec une fiche prête à archiver, organiser l’usage en six étapes, régler les comptes, et respecter le RGPD, le Code du travail et le règlement européen sur l’IA.
L’essentiel en 6 points
- L’usage caché existe déjà : on parle de « shadow AI ». L’interdire sans proposer d’outil le rend seulement invisible.
- Le risque tient au compte, pas à la marque : le même assistant peut être utilisable en offre entreprise, avec contrat et sans entraînement sur vos données, et inacceptable en compte personnel gratuit.
- Classer les données suffit à décider vite : public, interne, confidentiel, secret. Chaque niveau dit quel outil est permis.
- Un outil se valide par écrit : contrat de sous-traitance, absence d’entraînement, hébergement, traçabilité. La fiche de validation sert de preuve.
- Le droit s’applique déjà : RGPD (registre, sous-traitance, analyse d’impact), Code du travail (information des salariés, consultation du CSE), règlement européen sur l’IA (formation des utilisateurs depuis février 2025).
- Former vaut mieux qu’interdire : une règle comprise est appliquée ; une règle subie est contournée.
Ce que disent les données
Usage, formation et inquiétudes en chiffres
Chaque chiffre est accompagné de son niveau de preuve. Les enquêtes déclaratives mesurent ce que les gens disent faire, pas ce qu’ils font.
des utilisateurs d’IA générative s’en servent dans un cadre professionnel ; 52 % des personnes interrogées disent que leur entreprise les encourage à adopter ces outils.Déclaratif
Baromètre Ifop pour Talan, 3e édition, mars 2025, 1 100 personnes.
des salariés disent avoir reçu une formation spécifique ; 73 % des Français ne se sentent pas assez formés pour utiliser ces outils efficacement.Déclaratif
Même baromètre.
des entreprises qui utilisent l’IA citent la protection des données et de la vie privée comme frein, et 42 % l’incertitude juridique ; chez celles qui ne l’utilisent pas, ces deux freins sont cités par 38 %.Descriptif
Insee Première n° 2120, juillet 2026, entreprises de 10 salariés ou plus.
des entreprises de 10 salariés ou plus utilisent au moins une technologie d’IA en 2025, contre 10 % en 2024 ; elles emploient 59 % des salariés du champ.Descriptif
Insee, même publication. Moyenne européenne : 20 %.
de demandes d’assistance pour violation de données en 2025.Descriptif
Cybermalveillance.gouv.fr, rapport d’activité 2025. Toutes causes confondues : ce chiffre ne mesure pas les fuites liées à l’IA.
fiches dans le guide de la sécurité des données personnelles de la CNIL, dont une nouvelle fiche consacrée à l’intelligence artificielle.Référence
CNIL, édition 2024, mars 2024.
La règle de décision
Quatre niveaux de données, quatre réponses
Affichez ce tableau près des postes. Quand une personne hésite, elle cherche le niveau de son document, et la colonne de droite lui dit quoi faire.
| Niveau | Exemples | Où l’utiliser |
|---|---|---|
| Public | Site web, plaquette, texte de loi, offre d’emploi publiée. | Tout assistant, y compris gratuit. |
| Interne | Procédures, modèles de documents, comptes rendus sans nom, formules et requêtes sans données. | Outil validé par l’organisation, compte professionnel. |
| Confidentiel | Données de clients et de salariés, contrats, chiffres non publiés, pièces comptables, paie. | Uniquement l’outil validé pour ce niveau, avec contrat de sous-traitance et sans entraînement ; données réduites au nécessaire. |
| Secret | Projets stratégiques, dossiers disciplinaires, données de santé, secret professionnel, codes d’accès. | Aucun assistant d’IA externe, sauf décision expresse de la direction, après analyse d’impact. |
Le réflexe : avant de déposer un document, retirez ce qui n’est pas nécessaire à la tâche. Le pas à pas : mettre un document dans une IA.
Votre outil
Valider un outil d’IA pour l’équipe
Indiquez l’outil, l’usage prévu, les données concernées, l’offre souscrite et les garanties obtenues. Vous obtenez une décision argumentée (refusé, autorisé sous conditions, autorisé), les obligations qui s’appliquent et une fiche de validation datée, à copier dans votre registre.
Rien n'est enregistré. Règles vérifiées au 6 novembre 2026.
La procédure
De l’usage caché à l’usage encadré, en six étapes
- Faire l’inventaire sans sanctionnerUn questionnaire anonyme : quels outils, pour quelles tâches, avec quelles données. Annoncez qu’il sert à équiper, pas à punir.
- Classer les donnéesAdoptez les quatre niveaux ci-dessus et rattachez-y vos principaux documents : paie, fichier clients, contrats, procédures.
- Choisir et valider les outilsUn ou deux outils, en offre professionnelle, validés avec la fiche de validation. Interdire sans alternative ne fonctionne pas.
- ContractualiserContrat de sous-traitance (RGPD, article 28), absence d’entraînement sur vos données, lieu d’hébergement, durée de conservation, journalisation.
- Documenter et consulterInscription au registre des traitements (article 30), analyse d’impact si le traitement présente un risque élevé (article 35), information des salariés et consultation du CSE quand l’outil change les conditions de travail.
- Former et réviserUne charte courte, une formation adaptée aux usages (règlement sur l’IA, article 4), une revue annuelle des outils et des incidents.
Pour écrire la charte : le générateur de charte IA produit un texte adapté à votre organisation. Pour les PME : l’obligation de maîtrise de l’IA, article 4.
Tutoriels
Quatre gestes concrets
Tutoriel 1 · 5 minutes
Régler un compte d’assistant pour limiter l’usage de vos échanges
Dans les offres grand public, vos conversations peuvent servir à améliorer les modèles. Ces réglages le limitent ; ils ne rendent pas un compte personnel adapté aux données confidentielles.
- ChatGPT : Paramètres, Contrôle des données, désactivez « Améliorer le modèle pour tout le monde ».
- Claude : Paramètres, Confidentialité, désactivez « Aider à améliorer Claude ».
- Gemini : dans Activité, désactivez l’activité des applications Gemini (l’intitulé varie selon les versions).
- Supprimez les conversations qui contenaient des données à ne pas conserver.
Tutoriel 2 · 2 minutes
Vérifier que Microsoft 365 Copilot Chat protège vos données
- Connectez-vous avec votre compte professionnel (celui de votre organisation), pas un compte Microsoft personnel.
- Vérifiez la présence de l’icône de bouclier, qui signale la protection des données d’entreprise : les échanges ne servent pas à entraîner les modèles et restent couverts par le contrat de votre organisation.
- Sans bouclier, vous êtes sur un service grand public : n’y mettez que des données publiques.
Tutoriel 3 · 10 minutes
Anonymiser un tableau avant de demander une analyse
- Dupliquez le fichier ; ne travaillez jamais sur l’original.
- Supprimez les colonnes inutiles à la question : nom, adresse, numéro de sécurité sociale, IBAN.
- Remplacez les identifiants par un code (Client 001, Salarié 014) et gardez la table de correspondance dans l’entreprise.
- Regroupez les petites catégories : un service de deux personnes reste identifiable même sans nom.
- Mieux encore : ne transmettez que la structure (noms de colonnes, quelques lignes inventées) et demandez la formule ou le script, que vous exécutez ensuite sur vos données dans Excel.
Tutoriel 4 · 15 minutes
Inscrire l’usage d’un assistant au registre des traitements
Une fiche type, à adapter. Le registre est obligatoire dans la plupart des organisations (RGPD, article 30).
Traitement : assistance à la rédaction et à l'analyse par IA générative
Responsable : [organisation] · Contact : [DPO ou référent]
Finalités : rédaction de documents, synthèse, analyse de données internes
Personnes concernées : salariés utilisateurs ; clients et salariés cités dans les documents
Données : identification, données professionnelles ; exclues : santé, données sensibles, NIR, données bancaires
Destinataires et sous-traitant : [éditeur], contrat de sous-traitance signé le [date]
Transferts hors UE : [non / oui, garanties : …]
Durée de conservation : [x jours] dans l'outil ; documents produits selon leur propre durée
Mesures de sécurité : authentification multifacteur, comptes nominatifs, journalisation, absence d'entraînement
Analyse d'impact : [non requise, motif / réalisée le …]Astuces
Ce qui fait la différence au quotidien
- Demandez la méthode, pas le traitement« Écris la formule qui… » plutôt que « voici mon fichier clients ». Le résultat est le même, sans transmettre de données.
- Un outil validé, bien visiblePlacez le lien de l’outil autorisé dans l’intranet et dans la charte : on va vers ce qui est simple.
- Les extensions de navigateurCertaines extensions d’IA lisent toutes les pages ouvertes, y compris le logiciel de paie. Elles relèvent de la même validation.
- Les transcriptions de réunionUn enregistrement de réunion contient des données personnelles et parfois des propos sensibles : prévenez les participants, et choisissez un outil validé.
- Un référent par serviceUne personne qui sait répondre à « est-ce que je peux ? » évite bien des usages cachés.
- Raconter les incidentsUne fuite évitée, présentée sans nom en réunion, apprend plus qu’un rappel de règlement.
Vidéos et formations
Se former gratuitement, auprès des organismes publics
Ressources vérifiées au 6 novembre 2026. Aucune inscription commerciale.
Le cadre
Les règles qui s’appliquent déjà
RGPD
- Article 28 : un contrat de sous-traitance avec l’éditeur de l’outil.
- Article 30 : l’usage inscrit au registre des traitements.
- Article 35 : une analyse d’impact quand le traitement présente un risque élevé.
- Article 22 : pas de décision produisant des effets juridiques fondée exclusivement sur un traitement automatisé.
- Article 33 : une violation de données se notifie à la CNIL dans les 72 heures.
Code du travail
- L. 1222-4 : aucune information sur un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance.
- L. 2312-8 : le CSE est consulté sur l’introduction de nouvelles technologies qui modifient les conditions de travail.
Règlement européen sur l’IA
- Article 4, depuis le 2 février 2025 : les organisations qui utilisent l’IA prennent des mesures pour que leur personnel ait un niveau suffisant de maîtrise de l’IA.
- Les systèmes d’IA utilisés pour recruter, évaluer ou gérer des salariés sont classés à haut risque, avec des obligations renforcées pour leurs utilisateurs.
Ce dossier présente des règles générales, vérifiées au 6 novembre 2026. Pour une situation précise, rapprochez-vous de votre délégué à la protection des données ou d’un avocat. Pour les usages RH : IA et ressources humaines et IA, recrutement et droit.
Questions fréquentes
Vos questions sur les données et les assistants d’IA
Peut-on interdire ChatGPT dans l’entreprise ?
Oui, l’employeur peut encadrer l’usage des outils, par le règlement intérieur, une charte ou une note de service. Mais une interdiction sans outil de remplacement pousse à l’usage caché. La solution la plus efficace : un outil validé et une règle claire sur les données.
Une offre payante individuelle suffit-elle ?
Pas toujours. Une offre individuelle payante peut rester une offre grand public, sans contrat de sous-traitance avec l’organisation. Vérifiez les garanties, pas le prix : contrat, absence d’entraînement, hébergement, gestion des comptes par l’organisation.
Un salarié a mis un fichier clients dans un compte personnel : que faire ?
Demandez la suppression de la conversation, documentez l’incident et évaluez le risque avec le DPO. Si l’incident constitue une violation de données présentant un risque pour les personnes, il se notifie à la CNIL dans les 72 heures. Puis traitez la cause : l’absence d’outil autorisé ou de règle connue.
Faut-il consulter le CSE avant de déployer Copilot ou un autre assistant ?
Quand l’outil modifie les conditions de travail, la consultation du CSE est prévue par le Code du travail. En pratique, informer et consulter en amont évite aussi les contentieux et facilite l’adoption.
Les petites entreprises sont-elles concernées ?
Oui : le RGPD et l’obligation de maîtrise de l’IA s’appliquent quelle que soit la taille. Les moyens peuvent être simples : un outil, une page de règles, une heure de formation, une fiche au registre.
Sources
- Insee Première n° 2120, « Les technologies de l’information et de la communication dans les entreprises en 2025 », juillet 2026
- Baromètre Ifop pour Talan 2025, présenté par Le Blog du Modérateur, avril 2025
- Cybermalveillance.gouv.fr, rapport d’activité 2025, communiqué du 26 mars 2026
- CNIL, guide de la sécurité des données personnelles, édition 2024 · le MOOC de la CNIL · module « Travail et données personnelles »
- Règlement (UE) 2016/679 (RGPD), articles 22, 28, 30, 33 et 35 · Code du travail, articles L. 1222-4 et L. 2312-8 · Règlement (UE) 2024/1689 sur l’IA, article 4 et annexe III
Citer ce dossier : Decryptia, « Les données de l’entreprise face aux assistants d’IA », mis à jour le 6 novembre 2026, https://decryptia.fr/donnees-entreprise-assistants-ia/
La série « IA et systèmes d’information de gestion » : fraudes dopées à l’IA, IA, bases de données et BI, enseigner les SI de gestion à l’ère de l’IA. Voir aussi utiliser l’IA au travail et tous les dossiers sur les fonctions de gestion.