Interdire l’IA ne protège pas vos données.

En rendez-vous, c’est l’inquiétude que les dirigeants nous confient en premier : si mes équipes utilisent l’IA, où vont mes données ? Beaucoup en concluent qu’il vaut mieux attendre, ou interdire, le temps d’y voir clair. Pendant ce temps, l’usage s’installe ailleurs. Fin 2025, d’après une enquête d’Ipsos bva pour Google, 42 % des actifs français qui se servent de l’IA au travail y accèdent surtout par leur compte personnel, et 21 % autant par leur compte personnel que par un compte professionnel.

Notre réponse tient en deux conditions. Vos équipes passent par un compte que l’entreprise a ouvert, réglé et peut fermer. L’IA ne voit que les dossiers dont la tâche a besoin. Le choix entre ChatGPT, Claude et Microsoft Copilot pèse beaucoup moins que ces deux conditions. Une interdiction, elle, ne protège rien : l’usage continue, là où vous ne le voyez plus.

Une interdiction déplace l’usage

Mettez-vous à la place d’un chargé d’affaires qui a vu ChatGPT rédiger, un soir, la relance qu’il repoussait depuis 3 jours. Le lendemain, une note de la direction demande de ne pas utiliser l’IA. Il ne revient pas à sa page blanche. Il ouvre son téléphone, son compte gratuit ou l’abonnement qu’il paie lui-même, et il y colle le mail du client.

En arrivant dans une entreprise, nous trouvons presque toujours ChatGPT ou Claude ouverts chacun dans son coin, souvent avec une licence personnelle, sur des dossiers bien réels. Les équipes ne cherchent pas à contourner qui que ce soit. Elles ont trouvé un outil qui les aide, et personne ne leur en a donné un autre.

Une note d’interdiction ne réduit pas le risque. Elle vous retire la seule prise que vous aviez sur lui : décider avec quel compte vos équipes travaillent, et sur quels dossiers. Une interdiction sans outil fourni rend l’usage invisible, et un usage invisible ne se règle pas.

Un abonnement d’entreprise protège les données que vos équipes confient à l’IA. Une interdiction leur apprend seulement à s’en servir sans vous le dire.

Ce que change un compte d’entreprise

Entre un compte personnel et un abonnement d’entreprise, le modèle d’IA est le même. La différence est ailleurs, et elle pèse plus lourd que la marque de l’outil.

Payer ne suffit pas à changer de colonne. Un abonnement ChatGPT Plus ou Claude Pro réglé par le salarié reste un compte personnel, avec les mêmes réglages par défaut que la version gratuite. L’abonnement d’entreprise, lui, se règle le premier jour. Chez Claude, par exemple, une réponse notée d’un pouce levé ou baissé envoie la conversation entière à Anthropic, qui peut s’en servir pour l’entraînement. L’administrateur peut couper cette note pour toute l’entreprise.

Devant un client qui vous demande où sont passées ses données, un compte personnel ne se défend pas. Entre les offres professionnelles de Claude, de ChatGPT et de Microsoft Copilot, les écarts portent surtout sur le lieu d’hébergement et les journaux d’audit. Ils comptent quand un contrat client vous impose l’Europe. Pour le reste, choisissez l’outil sur vos usages et sur les logiciels que vos équipes ouvrent déjà.

L’IA voit ce que vos salariés voient

Le second risque apparaît quand l’IA ne se contente plus de ce que le salarié colle dans la conversation. Branchée sur votre messagerie, votre SharePoint ou votre Drive, elle va chercher elle-même les documents utiles. Elle les cherche avec les droits du compte connecté, ni plus ni moins.

Microsoft l’écrit dans la documentation de Microsoft Copilot : l’assistant ne fait remonter que les données de l’entreprise que l’utilisateur a au moins le droit de consulter, et l’éditeur demande de régler les autorisations de SharePoint en conséquence. Les connecteurs de ChatGPT et de Claude suivent la même logique.

Le risque tient alors à l’historique de vos partages. Un tableau des salaires partagé un jour avec tout un service pour une réunion, et jamais refermé, ne gênait personne tant que personne ne le cherchait. Un assistant branché sur ce dossier le trouve à la première question qui s’en approche.

Avant de brancher une IA sur vos dossiers, relisez donc les droits de partage. C’est un chantier informatique classique, que l’IA rend urgent. Pour un agent IA, qui prend en charge une tâche entière à votre place, la règle se resserre encore : il reçoit un accès limité à vos outils, celui dont sa tâche a besoin.

Ce qui n’entre dans aucun outil

Un abonnement d’entreprise bien réglé couvre l’essentiel de ce que vos équipes font chaque jour : un compte rendu, un devis, la synthèse d’un appel d’offres. Il ne rend pas tout saisissable pour autant. Certaines données n’ont rien à faire dans une conversation, quel que soit le contrat signé.

Les mots de passe et les clés d’accès

Jamais, sur aucun outil. Un mot de passe collé dans une conversation reste dans son historique.

Les données sensibles sur des personnes

Santé, opinions, appartenance syndicale, dossiers disciplinaires, évaluations nominatives, candidatures : pas sans une analyse d’impact écrite, menée avant l’usage avec votre DPO ou votre conseil.

Les identifiants officiels

Numéro de sécurité sociale, IBAN, pièce d’identité. La tâche n’en a presque jamais besoin.

Ce que vos clients vous confient sous clause

Si votre contrat avec un client exclut la sous-traitance de ses données, l’éditeur de l’IA est un sous-traitant comme un autre.

Pour tout le reste, une règle suffit : ne saisir que ce dont la tâche a besoin. Elle protège vos données, et elle donne des réponses plus nettes, parce que l’IA n’a pas à trier des pièces sans rapport avec la question. Écrivez cette liste une fois, sur une page, et faites-la connaître de toute l’équipe. C’est le cœur de votre charte d’usage de l’IA.

Par où commencer, cette semaine

Rien de tout cela ne demande d’attendre un outil parfait. Les offres professionnelles disponibles aujourd’hui suffisent à la plupart des entreprises, à condition d’être ouvertes à leur nom et réglées. Voici l’ordre que nous suivons.

1. Demandez à vos équipes quels outils et quels comptes elles utilisent vraiment, en annonçant qu’aucune réponse ne sera sanctionnée. Une question posée sans menace obtient des réponses vraies.
2. Ouvrez un abonnement d’entreprise, au nom de l’entreprise et payé par elle, pour ceux qui ont un usage réel. Convertissez ou fermez les comptes personnels qui servaient au travail.
3. Réglez-le le premier jour : connexion par le compte de l’entreprise, connecteurs limités à ceux que vous avez choisis, note des réponses coupée chez Claude.
4. Écrivez la charte d’une page : les outils permis, les comptes interdits, les données qui n’entrent jamais, la relecture avant tout usage qui engage l’entreprise.

Chez pocca, les abonnements IA restent au nom de l’entreprise cliente et à sa charge, jamais au nôtre. Pour écrire la charte, notre formation IA responsable part de vos usages réels, y compris ceux que personne n’a validés, et relie chaque règle à un risque relevé.

Vous saurez que c’est en place le jour où un salarié vous demandera s’il peut mettre un document dans l’outil, au lieu de le faire sur son téléphone. Une équipe qui pose la question a compris où passe la limite.