Peut-on coller des données d’entreprise ou de clients dans ChatGPT ?

Réponse courte : oui pour du contenu peu sensible, non pour les données à risque copiées telles quelles

Si le contenu est déjà public, ne contient pas de données personnelles, ne révèle pas de données clients et ne contient pas d’informations commerciales non publiques, il peut souvent être utilisé pour demander à l’IA de reformuler, résumer, classer ou proposer des idées. Même dans ce cas, l’usage doit rester conforme aux règles internes de votre organisation.

À l’inverse, si le contenu comprend des noms de clients, numéros de téléphone, adresses e-mail, adresses postales, informations d’identité ou de paiement, clauses contractuelles, chiffres financiers non publiés, listes clients, stratégie produit ou autres informations confidentielles, le réflexe prudent est clair : ne collez pas le texte original dans un compte personnel, un outil grand public ou un service d’IA non approuvé.

La politique de confidentialité d’OpenAI indique que l’entreprise collecte les Personal Data fournies dans les entrées de ses services, y compris les prompts et les contenus téléversés, comme des fichiers, images, contenus audio ou vidéo.

Les offres professionnelles peuvent réduire certains risques, mais elles ne sont pas un laissez-passer pour tout copier-coller. OpenAI indique que ChatGPT Business, ChatGPT Enterprise et l’API Platform donnent aux clients ownership and control sur les business data, c’est-à-dire les entrées et sorties, et que l’entreprise peut signer un Data Processing Addendum, ou DPA, pour accompagner les besoins de conformité au RGPD et à d’autres lois sur la vie privée. OpenAI mentionne aussi des politiques de conservation des données, l’Enterprise Key Management, ou EKM, ainsi que des pratiques de protection des données destinées à soutenir la conformité au RGPD, au CCPA et à plusieurs cadres de sécurité et de conformité.

Avant de coller quoi que ce soit, classez la donnée

Pourquoi même une simple demande de reformulation mérite de la prudence

Le prompt est déjà une donnée d’entrée

Beaucoup d’utilisateurs distinguent le fait de coller un paragraphe d’un véritable import de fichier. Du point de vue du traitement des données, cette différence peut être trompeuse : le prompt, les pièces jointes et les autres contenus transmis sont des entrées du service.

OpenAI précise dans sa politique de confidentialité collecter les Personal Data que vous fournissez dans les entrées de ses services, y compris les prompts et les contenus que vous téléversez. Le bon réflexe est donc la minimisation : ne pas coller le texte original si un résumé suffit, ne pas importer un document complet si quelques lignes désidentifiées suffisent, et retirer les informations identifiantes avant toute utilisation.

Une offre entreprise apporte des contrôles, pas une autorisation générale

OpenAI indique que ses engagements donnent aux clients ownership and control sur les business data dans ChatGPT Business, ChatGPT Enterprise et l’API Platform, et qu’un DPA peut être signé pour soutenir les besoins de conformité au RGPD et à d’autres lois sur la vie privée. Sa page sur les données d’entreprise mentionne aussi des politiques de conservation, l’Enterprise Key Management et des pratiques de protection des données alignées avec plusieurs cadres de sécurité et de conformité.

Ces contrôles sont utiles, mais ils doivent s’inscrire dans une gouvernance interne : quelles données peuvent être saisies, lesquelles doivent être désidentifiées, lesquelles sont interdites, qui a le droit d’utiliser l’outil, et comment signaler une erreur.

Un outil sécurisé ne rend pas toute donnée partageable

Même avec des contrôles professionnels, certaines informations peuvent rester limitées par un contrat client, une exigence sectorielle, une obligation de confidentialité ou une règle interne. La question à poser n’est pas : l’IA peut-elle m’aider ? Mais plutôt : cette donnée a-t-elle le droit de sortir de son environnement contrôlé ?

Les 4 questions à se poser avant d’utiliser l’IA

1. Le contenu contient-il des données personnelles ou clients ?

Si une information permet d’identifier directement ou indirectement une personne ou un client, traitez-la comme sensible. En pratique, retirez les noms, téléphones, e-mails, adresses, numéros de compte, numéros de commande, références de dossier, données d’identité et données de paiement avant de décider si l’IA a vraiment besoin du reste. Cette prudence découle du fait que les prompts et contenus téléversés font partie des entrées du service.

2. Le contenu est-il confidentiel pour l’entreprise ?

Une information peut être sensible même sans donnée personnelle. C’est le cas d’un devis, d’une clause contractuelle, d’un chiffre financier non publié, d’un processus interne, d’une stratégie produit ou d’une liste clients. Le fait de vouloir seulement résumer ou corriger le texte ne justifie pas de le copier tel quel dans un outil non approuvé.

3. Utilisez-vous un environnement IA approuvé ?

Un compte personnel, un outil gratuit ou un service externe non validé ne doit pas être traité comme un environnement de travail pour données d’entreprise. Si la tâche exige de traiter des business data, utilisez une solution approuvée par l’organisation et vérifiez que les éléments contractuels et techniques attendus sont bien en place, par exemple DPA, règles de conservation, Enterprise Key Management ou autres contrôles pertinents.

4. La tâche nécessite-t-elle vraiment le texte original ?

Très souvent, non. Pour rédiger une réponse à une réclamation client, l’IA n’a pas forcément besoin du nom réel du client, de son adresse, de son numéro de commande ou du contrat complet. Elle peut travailler avec un résumé : problème rencontré, ton souhaité, contraintes internes et prochaine étape possible.

Un flux de travail plus sûr

1. Commencez par la politique interne. Vérifiez s’il existe une charte d’usage de l’IA, une classification des données, des restrictions contractuelles ou des règles de conformité sectorielle. En cas de doute, ne partez pas du principe que cela ne posera pas de problème.

2. Classez le contenu avant de l’envoyer. Demandez-vous s’il contient des données personnelles, des données clients, des secrets d’affaires, des contrats, des données financières, des paiements, des informations d’identité ou tout autre élément sensible. Si la réponse est oui, ou si vous n’êtes pas sûr, appliquez le niveau de prudence le plus élevé.

3. Réduisez et désidentifiez. Ne collez pas le texte original si un résumé suffit. N’importez pas un document complet si un extrait suffit. Remplacez les noms réels, sociétés, téléphones, e-mails, adresses, numéros de compte, commandes et dossiers par des libellés neutres : Client A, Fournisseur B, Commande 123.

4. Réservez les données à risque aux environnements approuvés. Si le traitement de données professionnelles sensibles est indispensable, utilisez un environnement validé par l’entreprise, avec les contrôles contractuels et techniques nécessaires, tels que DPA, règles de conservation ou Enterprise Key Management lorsque cela est requis.

5. Faites remonter les cas douteux. Pour les données clients, salariés, identité, paiement, santé, contrats, finances ou stratégie non publiée, demandez l’avis de l’IT, du juridique, de la conformité ou de votre responsable avant de saisir quoi que ce soit.

Exemple : transformer un mauvais prompt en prompt plus sûr

À éviter :

Voici l’e-mail complet du client, avec son téléphone, son adresse, son numéro de commande et le contrat. Rédige une réponse.

Préférable :

Voici un résumé désidentifié d’une réclamation. Le Client A indique que le produit a été livré avec 10 jours de retard et demande un remboursement. Rédige une réponse polie, reconnaissant le problème et proposant les prochaines étapes. N’ajoute aucun fait qui n’est pas fourni.

Cette reformulation ne supprime pas tout risque, mais elle réduit l’exposition de données personnelles et d’informations internes inutiles. Comme la politique de confidentialité d’OpenAI indique collecter les Personal Data fournies dans les entrées du service, minimiser ce que l’on saisit reste une règle de base.

Une offre entreprise permet-elle de tout coller ?

Non. Une offre entreprise ou l’API peut apporter davantage de contrôles contractuels, de conservation et d’administration. OpenAI indique que ses services professionnels donnent aux clients ownership and control sur les business data et qu’un DPA peut être signé pour soutenir les besoins de conformité au RGPD et à d’autres lois sur la vie privée. OpenAI mentionne également l’Enterprise Key Management, les politiques de conservation des données et des pratiques destinées à soutenir la conformité au RGPD, au CCPA et à certains cadres de sécurité et de conformité.

Mais ces contrôles ne remplacent pas la décision interne : quelles données sont autorisées, lesquelles doivent être désidentifiées, lesquelles sont interdites, qui peut utiliser l’outil, et comment documenter ou signaler un incident.

Checklist rapide avant de copier-coller dans ChatGPT ou une IA

Avant de saisir des informations d’entreprise ou de clients, vérifiez point par point :

• La politique interne autorise cet usage.
• Le contenu ne contient pas de données personnelles de clients, ou elles ont été retirées ou remplacées.
• Le contenu ne contient pas d’informations confidentielles, ou le traitement a été approuvé.
• Vous ne transmettez que le minimum nécessaire, sans importer tout le document d’origine.
• Vous utilisez un outil approuvé par l’organisation, pas un compte personnel ou non validé.
• Si vous utilisez une offre professionnelle, les éléments nécessaires ont été vérifiés : DPA, conservation des données, contrôles d’administration ou de chiffrement pertinents.
• En cas de doute, vous demandez à l’IT, au juridique, à la conformité ou à votre responsable.

La règle pratique tient en une phrase : les contenus publics ou peu sensibles peuvent être utilisés avec l’IA si la politique interne le permet ; dès qu’il s’agit de clients, contrats, finances, identité, paiement, données non publiées ou secrets d’entreprise, ne collez pas le texte original dans un outil généraliste ou non approuvé — minimisez, désidentifiez, puis travaillez uniquement dans un environnement validé.