Un jeudi soir, votre directeur commercial copie-colle le fichier Excel de vos marges clients dans ChatGPT pour « faire une synthèse rapide ». Il est 19h, il veut rentrer chez lui, il gagne 20 minutes. Il vient aussi d'envoyer vos conditions tarifaires sur des serveurs américains.
Ce scénario, on le voit chaque semaine dans les PME qu'on accompagne. Pas par malveillance. Par méconnaissance. Et le problème, ce n'est pas ChatGPT : c'est l'absence totale de cadre dans 90% des entreprises de moins de 250 personnes.
Ce qui part réellement chez OpenAI (et ce qui n'en revient pas)
Quand un salarié utilise un compte ChatGPT gratuit ou Plus, chaque prompt est transmis aux serveurs d'OpenAI aux États-Unis. Par défaut, ces données peuvent être utilisées pour entraîner les futurs modèles. Même si OpenAI a amélioré sa politique en 2024, le flou juridique reste total pour une entreprise européenne.
Concrètement, voici ce qu'on retrouve dans l'historique des comptes personnels de salariés PME :
- Contrats clients collés en entier pour « reformulation »
- Bases prospects au format CSV pour « nettoyer les doublons »
- Comptes de résultat pour « commentaire de gestion »
- Codes sources propriétaires pour « debug »
- Emails internes pour « améliorer le ton »
Une fois ces données parties, vous n'avez aucun recours. Pas de droit à l'oubli effectif, pas de garantie de non-réutilisation, pas de traçabilité.
Le vrai risque n'est pas l'espionnage industriel
Oubliez le scénario hollywoodien du concurrent qui interroge GPT-5 pour obtenir vos prix. Le risque réel est triple :
- RGPD : transfert de données personnelles hors UE sans base légale solide = sanction CNIL potentielle
- Clauses de confidentialité clients : vous êtes contractuellement engagé à ne pas sortir leurs données de votre SI
- Secrets d'affaires : perte de la protection légale au titre de la directive 2016/943 dès que la donnée n'est plus « raisonnablement protégée »
La shadow IA : votre vrai problème
La shadow IA, c'est l'ensemble des usages d'IA que la direction ignore. Chez un cabinet d'expertise comptable de 40 personnes qu'on a audité en septembre, on a trouvé 23 comptes ChatGPT personnels actifs. Zéro étaient connus de l'associé-gérant.
Dont deux utilisés quotidiennement pour traiter des liasses fiscales clients.
Le réflexe « on va interdire ChatGPT » ne marche pas. Les salariés basculent sur leur téléphone personnel, et vous perdez toute visibilité. Ce qu'il faut, c'est un cadre clair qui dit : voici ce que vous pouvez faire, voici l'outil validé, voici ce qui est interdit.
Les 5 règles d'une charte IA qui tient la route
Une charte IA utile tient sur deux pages. Pas sur douze. Voici le squelette qu'on déploie chez nos clients.
Règle 1 : classifier les données en 3 niveaux
- Vert (public) : plaquettes commerciales, communication, contenu marketing → OK sur tout outil
- Orange (interne) : procédures, modèles de documents, données agrégées anonymisées → OK sur outil validé par la direction uniquement
- Rouge (sensible) : données clients nominatives, données financières, contrats, RH, code propriétaire → interdit sur IA grand public, OK uniquement sur solution hébergée en France ou on-premise
Règle 2 : un outil validé, pas dix
Si vos salariés ont un bon outil à disposition, ils n'iront pas chercher ailleurs. La question du choix entre Mistral et OpenAI pour une PME française devient centrale ici. Mistral propose des offres entreprise avec garantie de non-entraînement et hébergement européen. C'est souvent le bon compromis.
Règle 3 : interdire les comptes personnels pour un usage pro
Règle simple, explicite, écrite. Un compte pro = un compte fourni par l'entreprise, avec SSO, journalisation et contrôle d'accès.
Règle 4 : former au prompt « propre »
Un bon prompt professionnel ne contient jamais : nom de client complet, numéro de SIRET, montant exact, email réel. Anonymisation systématique. On remplace par « Client A », « 50-100 K€ », « contact@exemple.com ».
Règle 5 : auditer tous les 6 mois
Qui utilise quoi, pour quoi faire, avec quels résultats. Pas pour fliquer : pour ajuster la charte à la réalité.
Les solutions techniques qui tiennent vraiment
Au-delà de la charte, trois niveaux de protection s'offrent à vous selon votre sensibilité.
Niveau 1 : offres entreprise des éditeurs grand public
ChatGPT Enterprise, Claude for Work, Copilot M365 : ces offres garantissent contractuellement la non-utilisation de vos données pour l'entraînement. Elles restent hébergées hors UE pour la plupart. Correct pour des données orange, risqué pour du rouge.
Niveau 2 : IA européenne hébergée en France
Mistral avec hébergement OVH ou Scaleway, instance privée. Vos données ne quittent jamais le territoire. Le débat cloud ou on-premise pour vos données sensibles devient alors plus simple : le cloud souverain français couvre 95% des besoins PME.
Niveau 3 : modèle open-source hébergé chez vous
Mistral, Llama ou Qwen déployés sur votre propre infrastructure. Aucune donnée ne sort. Coût d'entrée plus élevé (serveur GPU, administration), mais pertinent pour cabinets d'avocats, laboratoires, défense, ou PME avec IP critique.
Retour d'expérience : un industriel de la mécanique de précision
Fin 2024, on intervient chez un fabricant de pièces aéronautiques, 85 salariés, Haute-Savoie. Le DG découvre qu'un ingénieur BE utilise ChatGPT gratuit pour optimiser des programmes d'usinage. Les fichiers contiennent les cotes de pièces soumises à ITAR.
Décision : interdire ChatGPT ? Non. On déploie en 6 semaines une instance Mistral hébergée sur un serveur dédié chez OVH Gravelines, avec interface interne. Charte IA signée par tous. Formation d'une demi-journée par équipe.
Résultat 4 mois après : 70% des usages ChatGPT basculés sur l'outil interne, zéro fuite détectée en audit, et un gain de productivité qui s'inscrit dans les indicateurs ROI suivis dès le premier mois.
Les 3 erreurs à ne pas faire
Erreur 1 : interdire sans alternative. Vos salariés contourneront. Toujours.
Erreur 2 : attendre un incident pour agir. Une seule fuite documentée côté client peut coûter un contrat qui pèse 10% de votre CA.
Erreur 3 : croire qu'une charte suffit. Sans outil validé, sans formation, sans audit, un document PDF ne protège rien.
Par où commencer concrètement cette semaine
- Envoyez un sondage anonyme à vos équipes : « Quels outils d'IA utilisez-vous dans votre travail ? » Vous allez tomber de votre chaise.
- Classifiez vos données en 3 niveaux sur une matinée avec votre DSI ou votre RSSI externe.
- Choisissez un outil validé et communiquez-le avant la fin du mois.
- Rédigez une charte de 2 pages, signée par tous à l'onboarding.
La sécurité IA n'est pas un projet à 100 K€. C'est une discipline qui se met en place en 4 à 6 semaines avec le bon accompagnement.
Vous voulez savoir où en est votre exposition réelle ? On propose un audit gratuit de 45 minutes pour cartographier les usages d'IA dans votre entreprise, identifier les fuites potentielles et vous proposer une feuille de route adaptée à votre taille. Réservez votre créneau ici.