ChatGPT, Claude ou Copilot arrivent souvent dans l’entreprise par la bande : un collaborateur les adopte seul, sans validation ni règle claire. Le sujet n’est plus de savoir s’il faut y aller, mais comment cadrer l’usage sans bloquer les équipes ni exposer l’entreprise. Ce cadrage repose sur trois piliers : cartographie des usages, conformité RGPD et gouvernance interne.
En bref
Un cadre pour l’IA générative entreprise repose sur trois piliers : cartographier les usages et les données concernées, vérifier la conformité RGPD des outils choisis, et fixer des règles internes écrites (charte, formation, validation humaine sur les décisions sensibles). Sans ces trois piliers, le risque principal n’est pas l’outil lui-même mais l’usage non contrôlé qui en est fait par les équipes.
La CNIL rappelle que le déploiement de systèmes génératifs reste soumis au RGPD classique : information des personnes, base légale du traitement, et vérification que le prestataire n’exploite pas les données pour entraîner ses modèles.
Pourquoi un cadre est nécessaire avant de généraliser l’usage
La majorité des incidents liés à l’IA générative entreprise ne viennent pas d’un modèle défaillant, mais d’un usage non encadré : un commercial colle un contrat client dans un outil grand public, un consultant fait rédiger une réponse à un appel d’offres sans relecture, un manager s’appuie sur un résumé généré pour trancher une décision RH. Aucune de ces situations n’implique une faille technique. Chacune implique une absence de règle.
Deux catégories d’outils coexistent et se confondent trop souvent dans les usages réels : les versions grand public (ChatGPT, Claude, Gemini en accès direct) et les offres entreprise ou API, dont les conditions contractuelles diffèrent nettement sur la conservation et l’exploitation des données. Cette confusion est la première source de risque, et elle se corrige par une règle simple avant tout déploiement large : documenter qui a accès à quel outil, avec quelles données.
Cartographier les usages et les données exposées
Un audit d’usage recense trois éléments avant d’écrire la moindre charte : les outils déjà utilisés dans les équipes, validés ou non ; le type de données saisies (publiques, internes, clients, RH) ; et le niveau de dépendance à la sortie générée, entre simple brouillon relu et action directe sans validation.
Ce diagnostic révèle presque toujours un écart entre l’usage perçu par la direction et l’usage réel des équipes. La cartographie sert ensuite à prioriser : les cas d’usage sur données sensibles passent sous cadre formel en premier, les usages bas risque comme le brainstorming interne restent plus souples.
Ce que la CNIL attend des entreprises sur le RGPD
Le RGPD s’applique à l’IA générative entreprise comme à tout traitement de données personnelles, sans régime dérogatoire. La CNIL a publié en 2025 des recommandations qui précisent trois obligations concrètes pour les entreprises qui déploient ces outils : informer les personnes concernées lorsque leurs données alimentent un traitement, permettre l’exercice des droits d’accès et de rectification, et documenter la base légale retenue pour chaque usage.
Sur le plan contractuel, la vigilance porte sur trois points avant de signer avec un fournisseur : l’existence d’un accord de traitement des données (DPA), l’engagement écrit que les échanges ne servent pas à entraîner le modèle par défaut, et la localisation des serveurs si des transferts hors Union européenne sont en jeu. Un abonnement individuel payé par carte bancaire ne couvre généralement aucun de ces trois points.
| Critère | Offre API / entreprise OpenAI | Offre Enterprise Anthropic (Claude) |
|---|---|---|
| Entraînement sur les données envoyées | Exclu par défaut depuis mars 2023 | Exclu par défaut |
| Journaux de sécurité | Conservés 30 jours, réduction possible sur demande | Contrôles de rétention configurables |
| Conformité déclarée | RGPD, HIPAA sur les offres éligibles | SOC 2, ISO 27001, RGPD, CCPA |
| Contrôle d’accès | Selon le plan souscrit | SSO, SCIM, rôles (RBAC), audit logs |
Choisir des outils dont les garanties contractuelles tiennent
Le choix d’un fournisseur pour l’IA générative entreprise se fait sur le contrat, pas sur la démo. Le tableau ci-dessus, construit à partir de la documentation publique OpenAI et Anthropic, montre un point commun aux deux offres professionnelles : les données transmises via l’API ou un abonnement entreprise ne servent pas à l’entraînement par défaut, contrairement à certaines offres grand public où le paramétrage est moins net.
Deux autres critères pèsent ensuite : la capacité à administrer les accès de façon centralisée (SSO, rôles, journaux d’audit), et la clarté du contrat sur la conservation des journaux. Un fournisseur qui ne répond pas précisément à ces deux questions ne doit pas recevoir de données confidentielles.
Note terrain Lead4you
Sur les cadrages menés récemment, le point qui bloque le plus rarement le déploiement est technique. C’est presque toujours l’absence de réponse claire à une question simple posée aux équipes : « qui valide la sortie générée avant qu’elle parte au client ou influence une décision ? ». Quand aucune personne n’est nommée, l’usage finit par glisser vers une validation implicite, où le texte généré part tel quel parce que personne ne s’est senti responsable de le relire. La correction ne coûte rien : un nom, une étape de validation dans le processus existant, pas un nouvel outil.
Poser une gouvernance interne qui tient dans la durée
Une charte d’usage courte, lue en cinq minutes, fonctionne mieux qu’un document juridique de vingt pages que personne n’ouvre. Elle doit répondre à quatre questions : quels outils sont autorisés, quelles données ne doivent jamais y être saisies, qui valide une sortie avant diffusion externe, et vers qui remonter un doute ou un incident.
La formation complète la charte. Elle ne porte pas sur la manière d’écrire un bon prompt, mais sur la reconnaissance des situations à risque : une réponse inventée présentée avec assurance, une donnée client copiée sans y penser, une décision RH ou financière prise sur la seule base d’un résumé généré. Ce sont ces réflexes, pas la maîtrise technique de l’outil, qui réduisent l’exposition réelle de l’entreprise.
Piloter l’adoption après le lancement
Le cadre initial ne se fige pas au premier document publié. Les usages évoluent : un service qui n’utilisait qu’un assistant de rédaction bascule en quelques mois sur des agents connectés au CRM ou à la messagerie. Chaque nouvel usage repasse alors par la même grille : quelles données, quelle validation, quel fournisseur.
Un point de contrôle trimestriel suffit dans la plupart des PME pour ajuster la charte d’IA générative entreprise, retirer un outil qui pose problème ou en valider un nouveau. Ce rythme évite deux écueils opposés : un cadre figé que les équipes contournent, ou une absence de suivi qui laisse les usages dériver.
Checklist rapide
- Recenser les outils d’IA générative entreprise déjà utilisés dans les équipes, validés ou non.
- Distinguer offres grand public et offres entreprise/API sur la conservation des données.
- Vérifier l’existence d’un accord de traitement des données (DPA) avec chaque fournisseur retenu.
- Nommer un responsable de la validation humaine pour les sorties à impact externe.
- Rédiger une charte courte et former les équipes aux situations à risque, pas seulement à l’outil.
- Revoir le cadre chaque trimestre à mesure que les usages évoluent.
Parler à un expert IA pour cadrer votre déploiement
À lire ensuite
Sources et repères utiles
FAQ
Faut-il interdire l’IA générative en attendant d’avoir un cadre complet ?
Non, une interdiction totale pousse simplement les usages vers des outils non tracés, hors du regard de l’entreprise. Mieux vaut publier rapidement une charte minimale (outils autorisés, données interdites, validation humaine) puis l’affiner, plutôt que d’attendre un document parfait qui n’arrivera jamais à temps.
Quelle différence entre ChatGPT grand public et l’offre API ou entreprise ?
L’offre API et les plans entreprise excluent par défaut l’entraînement sur les données envoyées et proposent des contrôles d’accès et d’audit absents des abonnements individuels grand public. C’est la différence contractuelle qui compte pour une entreprise, pas la qualité perçue des réponses.
Qui doit porter le cadrage de l’IA générative entreprise en interne ?
Un binôme fonctionne mieux qu’une personne isolée : un référent métier qui connaît les usages réels des équipes, et un référent conformité ou IT qui vérifie les garanties contractuelles des outils. La direction valide, mais ne doit pas rédiger seule une charte qu’elle n’utilisera pas.
Les recommandations de la CNIL sont-elles obligatoires ?
Les recommandations elles-mêmes sont des lignes directrices, mais le RGPD qu’elles précisent est obligatoire. Une entreprise qui traite des données personnelles via un outil génératif reste soumise aux mêmes obligations d’information, de base légale et de respect des droits que pour tout autre traitement.
Comment traiter le cas particulier des données de santé, par exemple dans un cabinet ?
Sur ce terrain, la prudence prime : rester sur des usages organisationnels (planification, rédaction administrative, communication) et ne jamais saisir de données de santé identifiantes dans un outil grand public non contractualisé. Un logiciel métier dédié, pensé pour ce cadre, limite ce risque mieux qu’un outil généraliste mal encadré.
Combien de temps prend la mise en place d’un cadre pour une PME ?
Un cadrage minimal viable (audit d’usage, charte courte, désignation d’un responsable de validation) se met en place en deux à quatre semaines dans une PME. La gouvernance complète, avec formation et revue périodique, s’installe ensuite sur un à deux trimestres.