Vos salariés utilisent ChatGPT : quel est le risque ?

En ce moment même, quelqu'un dans votre entreprise utilise probablement ChatGPT. Pas par paresse, mais pour rédiger un e-mail plus vite, résumer une réclamation ou traduire un texte. Pratique. Le souci : vous ne savez généralement pas quelles informations y sont saisies. Et c'est là que se niche le risque. Quand vos salariés utilisent ChatGPT sans règles, des données confidentielles peuvent se retrouver, sans que personne s'en rende compte, sur un système que vous ne contrôlez pas. Ce phénomène a un nom : le Shadow AI. Dans cet article, vous découvrirez l'ampleur réelle du risque, ce qu'en dit la loi et, surtout, comment y faire face sans interdire totalement l'IA.

Qu'est-ce que le Shadow AI ?

Le Shadow AI, c'est l'usage de l'IA qui se fait hors du champ de vision de l'organisation. Vos salariés découvrent que ChatGPT, Gemini ou Claude accélère leur travail et se lancent, sans que personne ait fixé ce qui peut ou non y être saisi. Le radiodiffuseur public néerlandais NOS l'a évoqué en juin 2026 : dans les organisations sans règles claires, les employés se servent eux-mêmes de ChatGPT et y déposent des données contenant des informations personnelles ou d'entreprise, sans en avoir conscience.

Le piège tient dans les bonnes intentions. Le salarié qui colle un dossier client dans ChatGPT pour en tirer vite un résumé propre veut simplement bien faire son travail. Mais ce dossier, avec un nom, une adresse, peut-être un numéro d'identité ou une donnée médicale, se trouve désormais sur un système que vous ne gérez pas. Et avec les versions gratuites de nombreux outils d'IA, ce contenu peut servir à entraîner davantage le modèle.

Ce qui peut vraiment mal tourner

Ce n'est pas un scénario catastrophe. C'est déjà arrivé, et près de chez nous aussi.

• La ville d'Eindhoven : un contrôle par échantillon a révélé qu'en un seul mois, des agents avaient téléversé plus de mille documents contenant des données personnelles vers des outils d'IA externes, numéros d'identité, dossiers d'aide sociale, données financières sensibles. Cela a provoqué une fuite de données, signalée à l'autorité néerlandaise de protection des données.
• Amazon : après que des informations internes se sont avérées fuiter via un modèle d'IA, le groupe a encadré l'usage de l'IA par ses employés. De la documentation interne se retrouvait dans ChatGPT.
• Votre entreprise : un devis avec vos prix les plus serrés, un fichier client, une affaire pas encore annoncée. Collé une fois dans le mauvais outil, et vous ne savez plus où cela atterrit.

La facture : combien coûte une fuite de données ?

Une fuite de données n'est pas qu'un problème de confidentialité, c'est un coût. Trois types de coûts s'additionnent.

• Les amendes. Si des données personnelles fuitent, vous relevez de la loi sur la confidentialité (RGPD). Vous devez la signaler dans les 72 heures à l'autorité de protection des données. Les amendes vont jusqu'à 20 millions d'euros ou 4 % de votre chiffre d'affaires annuel mondial, le montant le plus élevé des deux.
• La remédiation. Déterminer ce qui a fuité, informer les clients, conseils juridiques, colmater vos systèmes. Cela coûte du temps et de l'argent que vous n'aviez budgétés nulle part.
• La confiance. La plus difficile à regagner. Un client qui apprend que ses données ont fuité réfléchit à deux fois avant de vous confier encore quoi que ce soit.

Est-ce seulement autorisé ? Ce que dit la loi

Deux règles comptent ici, et toutes deux s'appliquent déjà aujourd'hui.

• La loi sur la confidentialité (RGPD) : les données personnelles ne peuvent pas être transmises comme ça à un tiers. Mettez un dossier client dans un outil d'IA gratuit et vous partagez ces données avec une entreprise hors de votre contrôle. Dans bien des cas, c'est tout simplement interdit.
• La loi sur l'IA (AI Act) : depuis février 2025, en tant qu'employeur vous êtes tenu de garantir une "littératie en IA" suffisante de vos équipes, elles doivent savoir travailler en sécurité avec l'IA. Ne rien faire n'est donc plus un choix neutre ; cela heurte une règle déjà en vigueur.

À partir du 2 août 2026, une règle s'ajoute : si vos clients parlent à un chatbot d'IA, vous devez l'indiquer clairement. Si vous intégrez de l'IA, mieux vaut prévoir cette mention correctement dès le départ. Nous en avons parlé séparément dans notre article sur l'AI Act pour les PME.

Interdire ne marche pas. Ceci, oui.

La tentation est grande d'interdire purement et simplement l'IA. Mais ça ne marche pas. Vos salariés l'utilisent parce qu'elle leur facilite vraiment le travail, interdisez-la et ils le feront sur leur téléphone personnel, et vous verrez encore moins. Le hacker éthique interrogé par NOS l'a bien résumé : le mieux que vous puissiez faire, c'est faciliter quelque chose, pour aussi voir comment c'est utilisé.

Autrement dit : supprimez la raison pour laquelle les gens se tournent en cachette vers ChatGPT. Donnez-leur un moyen sûr de faire le même travail, dans un environnement que vous gérez.

• Fixez des règles. Une demi-page suffit : ce qui est permis, ce qui ne l'est pas, quelles informations jamais. Les gens respectent les règles qu'ils comprennent.
• N'utilisez pas de versions gratuites pour le travail. Les versions professionnelles des outils d'IA promettent de ne pas utiliser vos données pour entraîner leur modèle. C'est le minimum.
• Donnez à votre équipe un seul endroit sûr. Au lieu de dix outils épars que personne ne suit : un environnement que vous gérez et qui fait ce dont votre équipe a besoin.
• Expliquez le pourquoi. Un salarié qui comprend qu'un dossier client collé peut devenir une fuite de données arrête de le faire. La peur ne marche pas, la compréhension oui.

Comment Socialo s'y prend

Notre approche ne commence pas par "interdire l'IA" ou "déployer l'IA", mais par la question : qu'essaie réellement de faire votre équipe avec ChatGPT ? Souvent, c'est une poignée de tâches récurrentes, répondre aux questions clients, rédiger des e-mails, résumer des documents, traduire. C'est exactement ce travail que nous reconstruisons dans un dispositif que vous gérez vous-même, pour que les données restent dans votre entreprise.

Pour votre salarié, la différence est nulle : le travail va toujours plus vite. Pour vous, la différence est énorme : vous savez ce qui entre, vos données restent les vôtres, et vous respectez les règles d'emblée au lieu d'éteindre des incendies après coup. Le problème d'abord, l'outil ensuite, pas de l'IA pour l'IA, mais une réponse à la raison pour laquelle vos gens s'y mettent en cachette aujourd'hui.

Ce que vous pouvez faire dès cette semaine

Même sans nous, vous pouvez réduire dès aujourd'hui le plus gros risque. Trois étapes.

• Demandez autour de vous. Sans accuser, simplement : "utilisez-vous ChatGPT pour le travail, et pour quoi ?" Vous obtenez des réponses honnêtes et vous savez tout de suite où ça coince.
• Convenez d'une règle : jamais de données personnelles ni d'informations confidentielles dans un outil d'IA gratuit. Applicable aujourd'hui, gratuite, et elle couvre les plus gros risques.
• Identifiez les tâches que votre équipe confie le plus souvent à l'IA. Cette liste est précisément la base d'un dispositif sûr que vous pourrez construire plus tard.