En 2026, une catégorie discrète d’incidents professionnels, inexistante trois ans plus tôt, s’est installée : l’ingénieur qui colle du code source dans ChatGPT et déclenche un audit, le commercial qui transmet une liste de clients à un outil de synthèse de réunions, ou le responsable des ressources humaines qui utilise un compte d’IA personnel pour rédiger une lettre de licenciement sans pouvoir ensuite garantir où le texte a été conservé ni qui a pu le voir. Aucun de ces incidents ne constitue une fuite spectaculaire. Ils sont pourtant réels, courants et évitables.
Cet article est la version pratique de « comment utiliser l’IA au travail en toute sécurité ». Ce n’est pas un document de politique — ceux-ci existent et vous devriez les suivre — mais les règles opérationnelles qui évitent les erreurs quotidiennes.
Si une équipe n’a aucun outil d’IA approuvé, les personnes utiliseront généralement des comptes personnels en secret. Le contrôle réaliste n’est pas l’interdiction ; c’est l’utilisation d’outils approuvés, des règles claires sur les données et des flux de travail qui rendent le chemin sûr plus facile.
Le problème fondamental
Lorsque vous collez du contenu dans un outil d’IA grand public, trois choses se produisent généralement :
- Le contenu est envoyé à un fournisseur tiers.
- Le contenu est stocké sur leurs serveurs pendant une période de conservation.
- Le contenu peut être utilisé pour améliorer les modèles futurs, selon le niveau et les paramètres.
Pour la plupart des usages personnels, c’est acceptable. Pour le travail, cela dépend entièrement de ce que vous avez collé. Les données clients, les finances internes, le code source, les contrats sous NDA, les détails des employés, tout ce qui est couvert par le RGPD ou les réglementations sectorielles — ces éléments nécessitent un traitement différent.
La seule règle
La seule règle qui évite 95 % des erreurs liées à l’IA au travail :
Utilisez l’outil d’IA approuvé par votre entreprise, configuré pour le travail, pour tout contenu lié à votre travail.
C’est tout. Si votre entreprise utilise Microsoft 365 avec Copilot, ChatGPT Enterprise, Claude for Work, Google Workspace avec Gemini Enterprise, ou un accord similaire d’entreprise — utilisez-le pour tout ce qui concerne le travail. Point.
Ces offres destinées aux entreprises comportent des garanties contractuelles absentes des offres grand public :
- Vos conversations ne sont pas utilisées pour entraîner les modèles. Explicite, contractuel, pas juste une case à cocher.
- La résidence des données peut être configurée, souvent dans l’Union européenne pour les entreprises européennes.
- Des certifications SOC 2, ISO 27001 et similaires qui satisfont les équipes d’achats et de sécurité.
- Une utilisation traçable que votre équipe informatique peut surveiller à des fins de conformité.
- Des contrôles d’accès plus stricts — votre manager ne peut pas accidentellement lire vos conversations d’IA.
Si votre entreprise n’a approuvé aucun outil, deux options s’offrent à vous : ne pas utiliser l’IA pour les contenus professionnels ou demander en interne l’approbation d’une solution. Ne choisissez pas un compromis consistant à employer votre compte personnel « juste pour de petites choses ».
Pour les managers, cela signifie que la politique doit nommer l’outil, pas juste le principe. « Utiliser des outils approuvés » n’est pas suffisant si personne ne sait quel outil est approuvé.
Le contrôle de sensibilité de 30 secondes
Avant de coller quoi que ce soit dans un outil d’IA, exécutez ce contrôle :
-
Contient-il des données personnelles de quelqu’un ? Noms, e-mails, adresses, numéros d’identité, numéros de téléphone, informations de santé, détails financiers. Si oui → uniquement avec un outil d’entreprise, et envisagez d’abord de supprimer les données personnelles.
-
Contient-il des informations propriétaires de l’entreprise ? Code source, chiffres financiers, listes de clients, documents de stratégie, contrats sous NDA. Si oui → uniquement avec un outil d’entreprise.
-
Contient-il des éléments que vous ne voudriez pas voir capturés et partagés ? Discussions internes, commentaires francs ou tout contenu susceptible de vous embarrasser, vous ou votre entreprise, en cas de fuite. Si oui → outil d’entreprise, de préférence en mode « Chat temporaire » s’il est disponible.
-
Les données sont-elles soumises à une réglementation particulière ? RGPD, HIPAA, réglementation financière, contrôle des exportations. Si oui → consultez votre délégué à la protection des données ou votre équipe de conformité avant de les traiter avec l’IA.
-
Peut-on les remplacer par des données anonymisées ? Souvent, l’IA n’a besoin ni du véritable nom du client ni de son numéro de compte ; des valeurs de remplacement fonctionnent tout aussi bien. Si oui → anonymisez d’abord, puis collez.
Ce contrôle prend 30 secondes et détecte presque tous les problèmes avant qu’ils ne surviennent.
Les trois choses que vous ne devez jamais coller dans un compte d’IA personnel
Une courte liste de choses qui, indépendamment de la commodité de votre ChatGPT personnel, n’appartiennent pas là :
1. Des données clients réelles. Même le nom d’un seul client avec une seule information. Le risque combiné — violation du RGPD, violation du contrat client, violation de votre contrat de travail — est bien plus grand que la commodité.
2. Du code source des dépôts de votre employeur. La plupart des contrats de travail ont une clause sur la propriété intellectuelle qui rend cela problématique. Utilisez GitHub Copilot de votre employeur, Cursor avec la configuration de l’entreprise, ou ce que votre équipe a standardisé.
3. Des documents internes marqués confidentiels. Présentations de stratégie, finances, discussions M&A, communications juridiques. Parfois, il n’y a même pas d’option d’IA d’entreprise pour ces cas — dans ce cas, n’utilisez pas l’IA dessus.
Une classification pratique des données
Utilisez quatre catégories :
| Catégorie | Exemples | Règle d’IA |
|---|---|---|
| Public | Texte de site web publié, documents publics, annonces d’emploi publiques | Tout outil grand public est généralement acceptable |
| Interne | Notes de processus internes, exemples anonymisés, modèles généraux | Préférer l’outil approuvé pour le travail |
| Confidentiel | Données clients, code source, contrats, finances, stratégie | Uniquement avec l’outil d’entreprise approuvé et en cas de nécessité |
| Restreint | Données de santé, enquêtes RH, communications couvertes par le secret professionnel, données réglementées | Consultez la sécurité ou le service juridique avant d’utiliser l’IA |
La liste de vérification jointe à cet article est la version opérationnelle de ce tableau.
Quelques outils et modèles pratiques
Utilisez les chats temporaires ou privés pour les questions sensibles ponctuelles. ChatGPT propose le mode Chat temporaire ; Claude offre des fonctions comparables. Ces conversations ne sont pas enregistrées dans l’historique, ne sont pas ajoutées à la mémoire et ne servent pas à l’entraînement. C’est le mode adapté à une question sensible posée une seule fois et qu’il ne faut pas conserver.
Désactivez « améliorer le modèle avec mes conversations ». Même si vous n’êtes pas sur un niveau d’entreprise, ce seul paramètre (Paramètres → Contrôles des données dans ChatGPT, similaire ailleurs) élimine la plus grande préoccupation de confidentialité. Il n’affecte pas ce qui est stocké ou qui peut y accéder, mais empêche votre contenu de nourrir l’entraînement.
Anonymisez avant de coller. Remplacez les noms par des valeurs génériques, les chiffres précis par des approximations et les noms d’entreprises par « [Entreprise A] ». L’IA fonctionne souvent tout aussi bien avec des données anonymisées : la structure et la question comptent davantage que les identités.
Utilisez une IA locale pour les données très sensibles. Si vous avez quelque chose véritablement confidentiel — un contrat que vous négociez, une question médicale personnelle, une affaire juridique — et que vous souhaitez l’aide de l’IA, un modèle local (Ollama, LM Studio avec un modèle téléchargé) garde tout sur votre machine. C’est un surcoût pour la plupart des cas d’utilisation et la bonne réponse pour certains.
Soyez prudent avec les fichiers importés. Une feuille Excel contenant des données clients, une présentation avec des chiffres financiers ou un rapport interne au format PDF présente davantage de risques qu’un message de chat, car le fichier contient souvent plus d’informations que vous ne le pensez. Ouvrez-le, examinez son contenu, puis décidez.
Une note spécifique sur le codage
Le cas du codage est particulier car les enjeux sont réels et la tentation est forte. Vous tombez sur un bug, vous souhaitez coller le code pertinent dans ChatGPT et demander ce qui ne va pas. Le code est la propriété intellectuelle de votre employeur.
Le bon chemin en 2026 :
- Utilisez l’outil de codage approuvé par votre employeur — GitHub Copilot Business / Enterprise, Cursor avec le niveau entreprise, Claude Code via le compte de l’entreprise. Ces outils sont configurés pour la protection de la propriété intellectuelle et ne nourrissent pas l’entraînement.
- Pour le développement local, même avec un outil d’IA approuvé par l’entreprise, préférez si possible une exécution locale — Ollama ou LM Studio — pour le code le plus sensible.
- Si vous devez absolument utiliser un compte personnel d’IA avec du code professionnel, ne collez que le plus petit fragment démontrant le problème et supprimez tous les éléments identifiants : noms de fonctions modifiés, commentaires retirés, logique métier abstraite. Cette solution reste sous-optimale, mais limite les risques.
Une note spécifique sur l’IA destinée aux clients
Si vous utilisez l’IA dans des activités destinées aux clients — rédaction d’e-mails, assistance ou génération de propositions — d’autres considérations s’appliquent :
- Déclaration. Beaucoup de juridictions se dirigent vers des exigences de déclaration lorsqu’un client interagit avec du contenu généré par l’IA. Sachez quelle est la politique de votre entreprise et ce que votre juridiction exige.
- Données clients dans votre brouillon. Numéro de compte, situation personnelle ou historique de la relation : ne les collez que dans un outil d’entreprise, jamais dans un compte personnel.
- Les effets en aval. Un e-mail client rédigé par l’IA et signé par vous engage vous dans ce qu’il dit. Lisez chaque mot avant d’envoyer.
En 2026, la plupart des équipes adoptent un outil d’IA d’entreprise auquel le contexte client est transmis par MCP, des connecteurs ou des intégrations. L’IA peut ainsi produire des réponses adaptées sans que vous colliez manuellement les données du client à chaque fois. C’est le type de configuration que votre équipe CRM devrait mettre en place.
Le contenu généré par l’IA et destiné aux clients reste sous votre responsabilité. Un e-mail, une proposition ou une réponse d’assistance peut créer des engagements, communiquer des informations erronées ou nuire à la confiance. Relisez toujours avant l’envoi, sauf si le flux de travail a été explicitement approuvé pour l’automatisation.
Lorsque vous avez des doutes, demandez
Si un cas d’usage semble limite — vous ignorez s’il est assez sensible pour exiger l’outil d’entreprise, si un régulateur s’y opposerait ou si votre responsable l’approuverait — posez la question. Le coût d’une demande est faible ; celui de devenir l’exemple cité dans une formation « ne faites pas cela » est élevé.
Spécifiquement, les personnes dans votre entreprise qui peuvent répondre :
- Votre délégué à la protection des données (DPO) pour le RGPD et les données des clients ou des employés.
- Votre équipe IT ou de sécurité pour les questions d’approbation des outils.
- Votre équipe juridique pour les questions de contrats, NDA et propriété intellectuelle.
- Votre manager pour les jugements sur « est-ce que c’est OK d’utiliser l’IA pour cela ? ».
Un message court sur Slack à la bonne personne est bien moins coûteux qu’un incident.
Ce que ce n’est pas
Cet article ne vous conseille pas de renoncer à l’IA au travail. Ce serait une mauvaise recommandation : l’IA offre en 2026 certains des gains de productivité les plus importants, et l’éviter prive votre entreprise d’une valeur réelle.
Ce n’est pas non plus « utiliser l’IA pour tout sans réfléchir ». Cela met les gens en difficulté.
La bonne approche se situe entre les deux : utiliser largement et sérieusement l’IA, tout en adoptant de petites habitudes — contrôle de sensibilité en 30 secondes, outil adapté aux données concernées, anonymisation — qui en font une pratique durable plutôt qu’une succession de quasi-incidents.
Le point clé
Une seule règle (outil approuvé pour les données professionnelles), une seule habitude (le contrôle de sensibilité de 30 secondes), trois choses que vous ne devez jamais coller dans un compte personnel (données clients, code source, documents confidentiels). Si vous les maîtrisez, vous pouvez utiliser l’IA sur presque tout ailleurs au travail sans inquiétude.
L’effort d’hygiène est faible ; les bénéfices sont importants. Les personnes licenciées ou poursuivies pour un mauvais usage de l’IA au travail ne sont pas celles qui ont réfléchi pendant 30 secondes avant de coller un contenu, mais celles qui ne l’ont pas fait.
