Vos salariés utilisent ChatGPT sans autorisation : ce que vous pouvez faire

Si une partie de l’équipe se sert déjà de ChatGPT ou d’un autre outil d’IA sans que vous l’ayez décidé, vous pouvez l’interdire ou l’encadrer. Le Code du travail pose une limite : une restriction doit être justifiée par la nature de la tâche et proportionnée au but recherché (article L1121-1). Dans une petite entreprise, l’ordre qui marche est le suivant : savoir ce qui est utilisé, choisir un outil autorisé avec un compte professionnel, écrire une page de règles, puis seulement parler de sanctions.

On appelle parfois ces usages « IA de l’ombre ». Le plus souvent, des salariés ont trouvé un outil qui leur fait gagner du temps, et personne ne leur a dit comment s’en servir.

Exemple fictif : un bureau d’études de douze personnes. L’assistante colle les comptes rendus de réunion de chantier dans son compte ChatGPT gratuit pour les mettre au propre. Un technicien fait traduire des notices de fabricants. Un commercial a installé une extension de navigateur qui résume ses emails. Le gérant l’apprend par hasard, en voyant un compte rendu client un peu trop bien tourné.

Pourquoi un compte personnel pose problème

Le risque principal tient aux données. Les conditions grand public d’OpenAI, applicables en Europe dans leur version du 16 janvier 2026, prévoient que l’éditeur peut utiliser le contenu pour améliorer ses services, sauf si l’utilisateur désactive cette option dans ses réglages. Sur Claude Free, Pro et Max, Anthropic utilise les échanges pour entraîner les modèles si l’utilisateur l’autorise. Des traitements distincts concernent les échanges signalés pour un examen de sécurité et les retours envoyés à Anthropic. Il faut donc vérifier le choix réel dans chaque compte et les conditions de l’offre, sans supposer que tous les comptes personnels ont le même réglage.

Les offres professionnelles fonctionnent autrement. Le contrat de services d’OpenAI, qui couvre ChatGPT Business, Enterprise et l’API, indique que le contenu du client ne sert pas à développer ou améliorer les services sans son accord. Les conditions commerciales d’Anthropic excluent l’entraînement sur le contenu du client.

Le deuxième problème est plus discret : l’historique reste dans un compte que l’entreprise ne contrôle pas. Si le salarié part, ses conversations partent avec lui, y compris les documents de clients qu’il y a déposés.

La DGSI a publié en décembre 2025 un cas proche : dans une entreprise française, des salariés traduisaient des documents confidentiels avec un outil d’IA grand public, sans l’aval de leur hiérarchie. La direction a demandé d’utiliser plutôt l’outil payant acheté par la société et a lancé un groupe de travail pour fixer des règles internes. Les fiches pratiques réalisées par France Num avec la CPME et la CNIL donnent la même consigne : ne pas introduire de données confidentielles, personnelles ou stratégiques dans les outils en ligne grand public.

Étape 1 : faire l’inventaire sans chercher de coupable

Annoncez clairement que la question ne vise personne. Si les gens craignent une sanction, ils vous répondront « je ne m’en sers pas » et vous n’apprendrez rien. Posez trois questions à chacun, en réunion ou par écrit :

• Quel outil utilisez-vous, avec quel compte (personnel, gratuit, payant) ?
• Pour quelle tâche, et à quelle fréquence ?
• Qu’est-ce que vous lui donnez : texte tapé, fichiers, emails copiés, documents de clients ?

Complétez avec ce que vous pouvez voir sans surveiller personne : les abonnements passés en note de frais, les extensions installées sur les postes de l’entreprise, et la liste des applications connectées à la messagerie. Sur Google Workspace, la console d’administration affiche, dans Sécurité puis Commandes des API, les applications tierces qui ont accédé aux données des comptes de l’entreprise.

Si vous voulez aller plus loin, avec un filtrage des sites ou des journaux de connexion, deux règles s’appliquent. Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance (article L1222-4). Et s’il existe un comité social et économique, il est informé et consulté avant la mise en place de moyens de contrôle de l’activité des salariés (article L2312-38). La CNIL a adopté le 29 janvier 2026 une recommandation sur le filtrage web au travail : elle y demande une information individuelle des salariés et recommande d’associer le CSE et le DPO.

Étape 2 : décider usage par usage

Reprenez la liste de l’inventaire et tranchez chaque ligne. Ce tableau donne un point de départ à adapter à votre métier :

Le cas des documents confiés par un client ou un partenaire est détaillé dans le guide secret des affaires et confidentialité face aux outils d’IA.

Étape 3 : donner un outil autorisé

Interdire sans rien proposer revient à pousser les usages vers les téléphones personnels, où vous ne voyez plus rien. Choisissez un outil, prenez des comptes professionnels nominatifs, et dites-le.

Un détail aide beaucoup pour ChatGPT : selon les conditions d’OpenAI, un compte créé avec une adresse email de l’organisation peut être rattaché au compte professionnel de cette organisation. L’administrateur peut alors le contrôler, y compris accéder à son contenu et en restreindre l’accès. Les comptes ouverts avec l’adresse professionnelle peuvent donc revenir sous votre gestion quand vous souscrivez une offre d’équipe. Prévenez les salariés avant de le faire.

Pour le choix de l’offre et les prix des abonnements d’équipe, voyez le guide partager un compte ChatGPT à plusieurs. Pour les réglages de confidentialité à vérifier sur chaque compte, le guide réglages de confidentialité de ChatGPT et Claude donne le pas-à-pas.

L’AI Act demande aussi aux entreprises qui utilisent l’IA de prendre des mesures pour développer la maîtrise de l’IA par leur personnel. Montrer à l’équipe ce qu’il faut relire avant d’envoyer un texte en fait partie. Les obligations sont détaillées dans le guide AI Act pour une PME qui utilise ChatGPT.

Étape 4 : écrire la règle et la faire connaître

Une page suffit : les outils autorisés, ce qu’on n’y met jamais, qui relit avant l’envoi, à qui signaler une erreur, qui examine un nouvel outil. Le modèle de charte d’usage de l’IA donne huit articles commentés à reprendre.

La valeur de ce document dépend de votre effectif. Le règlement intérieur est obligatoire à partir de cinquante salariés (article L1311-2). Dans ce cas, une note ou une charte qui fixe des obligations générales et permanentes en matière de discipline est considérée comme une adjonction au règlement intérieur (article L1321-5). Elle suit la même procédure : avis du CSE, communication à l’inspecteur du travail, entrée en vigueur au moins un mois après les formalités de publicité (article L1321-4).

En dessous de cinquante salariés, sans règlement intérieur, la charte reste un document d’organisation. Présentez-la en réunion, avec deux exemples tirés de la semaine, et datez-la. Si vous voulez qu’un manquement puisse être sanctionné, faites relire le texte par un conseil en droit social avant de le diffuser.

Si des données sensibles sont déjà parties

Commencez par savoir quoi, où et depuis quand. Demandez au salarié de supprimer les conversations concernées et de désactiver l’amélioration du modèle dans ses réglages. Notez ce qui s’est passé.

Si des données personnelles de clients ou de salariés sont en jeu, voyez avec votre DPO ou votre conseil si l’incident doit être déclaré. Venez avec la liste des données concernées, l’outil utilisé et les dates.

Une sanction est possible, mais elle se prépare. Le Code du travail appelle sanction toute mesure, autre qu’une observation verbale, prise après un agissement que l’employeur considère comme fautif (article L1331-1). Reprocher un usage que rien n’interdisait par écrit sera plus difficile à justifier. Celui qui a envoyé un dossier client après une interdiction claire est dans une autre situation. Dans les deux cas, faites-vous conseiller avant d’agir.

Ce que vous pouvez faire dès cette semaine

1. Lundi : posez les trois questions de l’inventaire à toute l’équipe.
2. Mercredi : tranchez chaque usage relevé, avec le tableau ci-dessus.
3. Jeudi : choisissez l’outil autorisé et le type de compte.
4. Vendredi : présentez la page de règles en vingt minutes et dites à qui poser les questions.

Le kit Charte IA fournit la charte en Word modifiable, un registre des usages pour garder la trace de l’inventaire, le déroulé des réunions de mise en place et des réponses toutes prêtes aux questions des salariés.

Ce guide ne remplace pas l’avis d’un avocat en droit social pour une sanction, ni celui de votre DPO pour un incident touchant des données personnelles.

Questions fréquentes

Un employeur peut-il interdire ChatGPT à ses salariés ?

Oui, l’employeur organise le travail et peut interdire un outil ou en limiter l’usage. La restriction doit être justifiée par la tâche et proportionnée au but recherché, selon l’article L1121-1 du Code du travail. Une interdiction sans outil de remplacement pousse souvent les usages vers les téléphones personnels.

Peut-on sanctionner un salarié qui utilise ChatGPT sans autorisation ?

C’est possible si une règle claire existait et a été portée à sa connaissance, et selon la gravité du manquement. Envoyer un dossier client après une interdiction écrite n’a pas le même poids qu’un usage toléré faute de consigne. Faites-vous conseiller en droit social avant toute sanction.

Comment savoir si mes salariés utilisent ChatGPT ?

Le plus simple est de leur demander, en annonçant que la question ne vise personne. Regardez aussi les abonnements en note de frais, les extensions des postes et les applications connectées à la messagerie. Tout dispositif de contrôle doit être porté à la connaissance des salariés avant sa mise en place.

Faut-il payer un abonnement ChatGPT professionnel à toute l’équipe ?

Pas forcément à tout le monde, mais aux personnes qui traitent des documents de travail avec l’IA. Les offres professionnelles d’OpenAI et d’Anthropic excluent par contrat l’utilisation du contenu pour entraîner les modèles, ce que les comptes gratuits ne garantissent pas sans réglage.

Une charte IA est-elle obligatoire en entreprise ?

Aucun texte n’impose une charte IA. À partir de cinquante salariés, une charte qui fixe des obligations générales et permanentes de discipline est traitée comme une adjonction au règlement intérieur et suit sa procédure. En dessous, elle sert à organiser le travail et à garder la trace des règles données.

Sources consultées le 22 octobre 2026 : Légifrance, Code du travail, article L1121-1 ; Légifrance, Code du travail, article L1222-4 ; Légifrance, Code du travail, article L2312-38 ; Légifrance, Code du travail, article L1311-2 ; Légifrance, Code du travail, article L1321-5 ; Légifrance, Code du travail, article L1321-4 ; Légifrance, Code du travail, article L1331-1 ; OpenAI, conditions d’utilisation pour l’Europe (version du 16 janvier 2026) ; OpenAI, contrat de services (ChatGPT Business, Enterprise, API) ; Anthropic, Consumer Terms of Service (8 octobre 2025) ; Anthropic, Commercial Terms of Service ; DGSI, flash ingérence : risques associés à l’usage de l’IA dans le monde professionnel (décembre 2025) ; CNIL et France Num, fiche 4 : précautions pour un usage responsable de l’IA générative ; CNIL, recommandation sur le serveur mandataire web filtrant (29 janvier 2026) ; Google, aide Administrateur Workspace : contrôler les applications qui ont accès aux données ; Anthropic, Is my data used for model training?.