Peut-on mettre des données clients dans ChatGPT en toute sécurité?

Quand la direction se demande si l’IA est sécuritaire, le personnel l’utilise généralement déjà depuis des mois. Pas par malveillance — parce qu’elle fait réellement gagner du temps.

La question utile n’est donc pas « devrait-on permettre l’IA? » Le matériel va déjà quelque part. La question utile est par quel compte il passe, et selon quelles conditions.

La distinction qui compte : le forfait

Le même outil se comporte très différemment selon la façon d’y accéder.

Les comptes grand public — les forfaits gratuits ou individuels auxquels on s’inscrit avec un courriel personnel — peuvent utiliser les conversations pour améliorer les modèles, sauf si l’utilisateur désactive ce réglage. La rétention et les contrôles sont fixés par le fournisseur, pas par vous.

Les forfaits affaires, entreprise et API sont généralement exclus de l’entraînement par défaut, offrent une rétention définie et donnent à un administrateur le contrôle des accès. Ils sont aussi encadrés par une entente entre votre entreprise et le fournisseur.

Les conditions changent. Vérifiez toujours la politique d’utilisation des données en vigueur pour votre forfait précis.

Conséquence pratique : un employé qui colle un contrat client dans un compte personnel et un employé qui le colle dans un compte affaires couvert par votre entente sont deux événements très différents, même si l’écran est identique.

Une façon simple de classer ce qui va où

Le travail courant — brouillons, recherche générale, réécriture de votre propre contenu marketing — convient généralement à un forfait affaires ou API.

Le matériel confidentiel des clients — contrats, renseignements personnels, tout ce qui est visé par une clause de confidentialité — exige une décision délibérée. Soit un forfait affaires dont vous avez réellement vérifié les conditions, soit un modèle qui tourne sur votre propre infrastructure.

Le matériel le plus sensible — documents privilégiés, données de santé — est là où les modèles auto-hébergés justifient leur coût. Les données ne quittent jamais votre réseau, ce qui élimine entièrement la question de la divulgation.

À quoi ressemble une configuration sûre

1. Découvrir ce qui se passe déjà. Quels outils, quels comptes, quel type de matériel. C’est presque toujours plus que ce que la direction imagine.
2. Offrir une option sanctionnée meilleure que le contournement. Les gens délaissent les comptes personnels quand le compte d’entreprise est tout aussi bon.
3. Rédiger une politique d’une page. Ce qui peut aller où. Assez courte pour être lue.
4. Journaliser l’usage sur le compte d’entreprise, pour avoir un registre si une question survient.

Pourquoi une interdiction empire les choses

L’interdiction n’arrête pas l’usage; elle le déplace. Les gens passent à des comptes et des téléphones personnels, sans contrat, sans journaux, et sans aucune idée de ce qui a été partagé. Une voie sanctionnée avec des règles claires est bien plus sûre.

C’est exactement la situation décrite dans le personnel colle déjà des données clients dans ChatGPT. Le travail plus large relève de notre pratique en IA et automatisation.