ChatGPT gratuit au bureau : le vrai risque pour vos données clients

ChatGPT gratuit installé sur l'ordinateur d'un salarié n'est pas le problème. Le problème, c'est ce qu'il colle dedans. Un devis client, un extrait de comptabilité, un compte-rendu de réunion confidentiel : une fois collés dans un ChatGPT grand public, ces éléments quittent l'entreprise et échappent à son contrôle. C'est ce qu'on appelle le « shadow IA » — des salariés qui utilisent l'intelligence artificielle sans outil ni règle fournis par l'entreprise, souvent avec les meilleures intentions du monde.

Chez Blyx, on accompagne des dirigeants de TPE et PME sur ce sujet précis, avec trois façons d'intervenir : un audit IA pour cartographier où et comment l'IA est déjà utilisée dans vos équipes (souvent sans que vous le sachiez), des solutions sur mesure quand il faut un outil interne sécurisé plutôt qu'un site grand public, et une formation sur place pour installer les bons réflexes chez vos salariés.

Cet article explique ce que le shadow IA change concrètement pour vos données clients, ce qu'il ne faut jamais coller dans un ChatGPT grand public, et comment poser trois règles simples sans bloquer vos équipes.

Qu'est-ce que le shadow IA dans une entreprise

Le shadow IA, c'est l'usage de l'intelligence artificielle par des salariés en dehors de tout cadre défini par l'entreprise. Pas de compte professionnel, pas de règle écrite, pas de suivi : chacun utilise l'outil qu'il connaît, avec le compte gratuit qu'il a créé un soir chez lui.

Ce n'est pas de la malveillance. C'est de la débrouille. Un commercial qui prépare un mail plus vite, un comptable qui résume un rapport, un artisan qui rédige un devis : ils cherchent à gagner du temps, pas à mettre l'entreprise en danger. Le souci, c'est que personne n'a expliqué où se trouve la limite.

Selon le baromètre France Num 2025, 26 % des TPE-PME françaises utilisent l'IA en 2025, contre 13 % en 2024 : l'usage a doublé en un an. Et selon Bpifrance Le Lab, 58 % des dirigeants jugent l'IA importante pour leur activité, mais seuls 32 % environ l'utilisent réellement au quotidien — un écart qui laisse penser que l'adoption réelle, chez les salariés, avance souvent plus vite que le cadrage donné par la direction.

Que s'est-il passé chez Samsung avec ChatGPT

En 2023, des salariés de Samsung ont collé du code source confidentiel et des comptes-rendus de réunion internes dans ChatGPT pour se faire aider dans leur travail. L'entreprise a découvert l'usage après coup et a temporairement interdit l'outil en interne, le temps de mettre en place une politique claire.

Ce cas, largement rapporté dans la presse économique et technologique, illustre un point simple : une fois qu'une information est collée dans un service IA grand public, l'entreprise perd la main sur son sort. Elle ne sait plus où cette donnée est stockée, ni si elle peut resservir à entraîner le modèle, ni qui pourrait y avoir accès un jour.

Ce n'est pas propre aux grands groupes. Une TPE qui traite des devis chiffrés, une PME qui gère des dossiers de santé ou de paie, un cabinet qui manipule des données bancaires : le risque est le même, à une différence près — une petite structure n'a généralement ni service juridique, ni responsable sécurité pour s'en rendre compte à temps.

Quelles données ne faut-il jamais coller dans un ChatGPT grand public

Trois catégories doivent rester hors des outils IA grand public, sauf accord de confidentialité spécifique avec le fournisseur. En dehors de ces cas, l'IA reste un allié utile pour reformuler, résumer ou structurer un texte déjà neutre.

La règle pratique la plus simple à retenir pour un salarié : si vous ne colleriez pas cette information dans un message public sur les réseaux sociaux, ne la collez pas dans un ChatGPT grand public non plus.

Faut-il interdire l'IA à vos salariés

Non. Interdire ne fait que déplacer le problème : les salariés continuent d'utiliser l'IA, mais en cachette, sans même en parler. C'est l'inverse de ce qu'il faut obtenir. L'objectif n'est pas zéro usage, c'est un usage encadré.

Un dirigeant a deux options réalistes :

• Fermer les yeux : le shadow IA continue, sans aucune visibilité sur ce qui part de l'entreprise.
• Poser un cadre simple : trois règles écrites, une charte d'une page, et une explication claire de pourquoi ces règles existent.

La seconde option coûte une matinée de travail. La première coûte, un jour, un incident qu'on découvre trop tard — comme chez Samsung.

Comment écrire une charte d'usage de l'IA en une page

Une charte utile n'a pas besoin d'être longue ni technique. Elle doit tenir sur une page, être écrite en français simple, et répondre à trois questions : quoi coller, quoi ne pas coller, qui contacter en cas de doute.

Trois règles suffisent pour couvrir l'essentiel :

1. Ne jamais coller de donnée identifiant un client, un salarié ou un chiffre financier précis dans un outil IA grand public — anonymiser d'abord, ou ne pas le faire.
2. Vérifier toujours ce que l'IA produit avant de l'envoyer ou de l'utiliser — une IA peut se tromper avec assurance, et l'erreur reste de la responsabilité de qui l'envoie.
3. Utiliser en priorité les outils fournis ou validés par l'entreprise, plutôt qu'un compte personnel créé sans en parler.

Ces trois règles reprennent la logique enseignée chez Blyx en formation : formuler une demande claire, déléguer une tâche à l'IA en connaissance de cause, vérifier le résultat avant de s'en servir. Notre article sur les réflexes qui restent quand les outils changent détaille cette logique plus en profondeur — utile si vous voulez creuser avant de former vos équipes.

Comment sécuriser durablement les données de votre entreprise face à l'IA

Une charte d'une page règle l'urgence, pas le fond. Pour une réponse durable, trois leviers se complètent, et Blyx les couvre chacun avec un service dédié.

• Comprendre où l'IA est déjà utilisée dans vos équipes, même sans outil officiel : c'est l'objet d'un audit IA, qui cartographie vos process et dit où l'IA crée de la valeur — et où elle crée du risque.
• Remplacer un usage risqué par un outil cadré, quand un ChatGPT grand public ne suffit plus : c'est le rôle des solutions sur mesure, pensées pour rester dans un cadre défini par votre entreprise.
• Installer les réflexes chez vos salariés, pour que le cadre survive au-delà d'une note interne vite oubliée : c'est l'objet de la formation Blyx, donnée sur place, sur vos cas réels, jamais à distance.

Notre article dédié à la sécurité des données face à l'IA en entreprise détaille les points techniques à vérifier avant de choisir un outil IA professionnel — utile en complément de cet article, plus centré sur les réflexes humains.

Ce qu'il faut retenir

• Le shadow IA n'est pas de la malveillance : c'est un usage de l'IA sans cadre, souvent bien intentionné, mais qui expose vos données clients.
• Ne collez jamais dans un ChatGPT grand public : noms de clients, chiffres financiers précis, code, contrats, ou données de santé.
• Interdire l'IA ne fonctionne pas : le shadow IA continue, mais devient invisible. Mieux vaut poser trois règles simples et écrites.
• Une charte d'une page, un audit pour cartographier les usages réels, et une formation sur place pour ancrer les réflexes : trois leviers complémentaires, pas trois options séparées.

Bon à savoir

Questions fréquentes

Qu'est-ce que le shadow IA en entreprise ?+

C'est l'usage de l'intelligence artificielle par des salariés sans outil ni règle fournis par l'entreprise. Souvent bien intentionné, il expose des données clients ou financières hors du contrôle de l'entreprise.

Peut-on coller un contrat client dans ChatGPT gratuit ?+

Non. Un contrat, un devis chiffré ou tout document identifiant un client ne doit jamais être collé dans un outil IA grand public sans engagement de confidentialité spécifique.

Faut-il interdire ChatGPT aux salariés ?+

Non. L'interdiction déplace l'usage vers la clandestinité sans le supprimer. Mieux vaut poser un cadre simple : trois règles écrites, expliquées, et un outil de référence.

Que s'est-il passé chez Samsung avec ChatGPT ?+

En 2023, des salariés ont collé du code source confidentiel dans ChatGPT. Samsung a découvert l'usage après coup et a temporairement interdit l'outil, le temps de définir une politique claire.

Comment écrire une charte d'usage de l'IA pour une TPE ou PME ?+

Une page suffit : quelles données ne jamais coller, l'obligation de vérifier ce que l'IA produit, et la priorité donnée aux outils validés par l'entreprise plutôt qu'aux comptes personnels.

Quelle part des TPE-PME françaises utilisent déjà l'IA ?+

Selon le baromètre France Num 2025, 26 % des TPE-PME utilisent l'IA en 2025, contre 13 % en 2024 — l'usage a doublé en un an, souvent sans cadre défini par la direction.