Politique d’utilisation de l’IA en entreprise : vous protégez vos données du mauvais risque

Un dirigeant m’explique qu’il refuse de confier quoi que ce soit à une IA. Sa hantise : qu’un concurrent retrouve un jour, au détour d’une réponse de ChatGPT, ses chiffres, ses devis ou ses idées. Dans la même réunion, j’apprends que ses équipes utilisent la version gratuite de ChatGPT toute la journée et déposent l’intégralité de leurs dossiers sur un espace partagé que personne n’a jamais configuré. La peur est sincère. Elle se trompe simplement de porte.

Ce décalage, je le croise presque à chaque fois que le sujet des données arrive sur la table : on dresse une muraille contre un danger imaginaire pendant que la menace, elle, passe tranquillement par l’entrée de service. Or condamner cette entrée ne demande pas d’interdire l’IA. Cela demande une chose beaucoup plus simple, et que presque personne n’a : une politique d’utilisation.

La peur est réelle, mais elle vise à côté

La crainte la plus répandue tient en une phrase : « si je mets mes données dans l’IA, mes concurrents vont les récupérer ». C’est l’image d’un grand coffre commun où chacun pourrait fouiller dans les affaires des autres. Cette image est fausse, et comprendre pourquoi change tout, parce que tant qu’on y croit, on prend les mauvaises décisions.

Savoir où vont réellement vos données et qui peut y accéder, c’est précisément ce qui fait qu’intégrer l’IA en entreprise est devenu un métier à part entière. Pas un réflexe de méfiance, pas un blanc-seing : une lecture lucide de ce qui se passe sous le capot.

« Entraîner le modèle » : ce que ça veut dire, et ce que ça ne veut pas dire

Quand on entend qu’une version gratuite « sert à entraîner le modèle », voici l’image qui se forme : mon fichier est rangé quelque part, et le concurrent n’a qu’à le demander pour le ressortir tel quel. Ce n’est pas du tout comme ça que ça fonctionne.

Un modèle apprend comme un étudiant qui lirait des millions de documents. Il en retire des régularités : une façon de tourner les phrases, des associations d’idées, des schémas de raisonnement. Il ne conserve pas une photocopie de chaque page pour la rendre sur commande. Personne ne peut taper le nom de votre société dans ChatGPT et récupérer votre dernier devis. Votre donnée précise se dilue dans un océan d’autres ; elle n’y reste pas identifiable, isolable, restituable.

Attention quand même à ne pas basculer dans l’excès inverse, parce que cela ne signifie pas « risque zéro ». Vos informations transitent par les serveurs d’un prestataire, souvent à l’étranger. Elles peuvent y être conservées un certain temps. Des humains peuvent en relire un échantillon pour contrôler la qualité. Et sur les offres grand public, elles alimentent bel et bien les versions futures du modèle. Le danger n’est donc pas « le concurrent voit ma data ». Il est ailleurs : je ne sais pas où elle va, combien de temps elle reste, ni qui peut la lire. C’est une question de confidentialité et de gouvernance, pas de fuite ciblée vers le voisin.

Le vrai risque entre par la porte de service

Voilà le paradoxe que je vois tourner en boucle. La même entreprise qui impose une charte de sécurité informatique stricte laisse ses salariés coller chaque jour des informations confidentielles dans la version grand public d’un chatbot. La porte blindée est verrouillée ; la fenêtre du rez-de-chaussée reste grande ouverte.

Et c’est là que presque tout le monde se trompe, parce que la ligne de partage ne passe pas par le prix. Sur les offres grand public, qu’elles soient gratuites ou payantes comme ChatGPT Plus, vos conversations servent par défaut à entraîner les modèles. Il existe bien un réglage pour s’y soustraire (l’option « Improve the model for everyone » à désactiver chez OpenAI, le paramètre de confidentialité équivalent chez Anthropic), mais il est actif tant que personne ne le coupe. Payer un abonnement personnel n’y change rien : Plus et Pro sont logés à la même enseigne que la version gratuite.

Ce qui change tout, c’est la version entreprise. Sur les offres professionnelles (Team, Enterprise) et les accès par API, vos données sont exclues de l’entraînement par défaut, sans réglage à activer. Le différentiel de risque tient là, dans la version choisie, pas dans le montant de l’abonnement.

Le problème n’est donc pas l’outil. C’est qu’il tourne sans règle. Tant que chacun choisit seul sa version, son chatbot et ce qu’il y colle, vous n’avez aucune maîtrise, quelle que soit la solidité de votre antivirus. C’est souvent le signe qu’une entreprise n’est pas encore prête pour l’IA : pas par manque d’outils, mais par absence de cadre.

Une politique d’utilisation de l’IA, ce n’est pas une usine à gaz

Bonne nouvelle : combler ce trou ne réclame ni budget ni service juridique dédié. Une politique d’utilisation de l’IA tient sur une page et tranche quatre questions simples.

Quels outils sont autorisés. Plutôt que de laisser fleurir dix chatbots différents au gré des préférences de chacun, on en valide un ou deux, dans leur version professionnelle. Le bon choix dépend de vos usages réels, et à ce stade la décision compte davantage que l’outil lui-même.

Quelles versions. On écarte les versions gratuites pour tout usage professionnel, et on active l’exclusion de l’entraînement partout où elle existe. C’est gratuit, immédiat, et ça referme l’essentiel de la brèche.

Quelles données ne sortent jamais. Une liste courte de ce qu’on ne colle nulle part : données clients nominatives, éléments sous accord de confidentialité, secrets industriels, informations RH sensibles. Tout le reste peut circuler sans crispation.

Qui décide et qui forme. Une politique que personne ne porte reste un document mort dans un dossier partagé. C’est tout l’intérêt d’avoir quelqu’un qui pilote l’IA en interne, même à temps partiel : choisir les outils, expliquer les règles, répondre aux questions du quotidien.

Et puisque la question revient toujours : ces données que vous craignez tant d’exposer, vous pouvez au contraire apprendre à les exploiter dans un cadre que vous maîtrisez, plutôt que de les fuir. C’est précisément l’objet d’une démarche structurée pour alimenter une IA avec vos propres données sans jamais lâcher la main dessus.

Reprendre la peur par le bon bout

Votre IA ne fera pas fuiter vos données vers le concurrent d’en face. L’absence de règle, elle, le peut très bien, et par des canaux que vous avez déjà sous les yeux. Renverser la peur, c’est cesser de se barricader contre un fantasme pour reprendre la main sur ce qui se joue vraiment : qui utilise quoi, dans quelle version, avec quelles données. Ça ne coûte presque rien. Ça commence par une page.