IA dans l'entreprise : les règles à adopter avant ChatGPT et Copilot

8 min de lecture · DataRoad

IA dans l'entreprise Sans règles, ce n’est pas de l’innovation — c’est une fuite de données en attente d’être exploitée. La réponse courte : avant de généraliser ChatGPT ou de coupler Copilot, définissez quelles outils sont autorisés, quels données ne doivent jamais y entrer et qui peut voir ce qui se passe dans Microsoft 365. Ces décisions sont de gestion, pas informatiques, et sont prises lors d’une réunion.

La IA est déjà utilisée. La question est comment.

Le rapport sur les violations de données de Verizon de 2026 a mesuré ce qui se passe sur les ordinateurs des entreprises : 45% des employés sont déjà des utilisateurs réguliers d’IA sur les équipements de l’entreprise (il y en avait 15% l’année précédente) et 67% accèdent à ces services avec des comptes non liés à l’entreprise. L’IA “ invisible ” — des outils utilisés sans autorisation — est déjà la troisième action interne non malicieuse la plus courante dans les registres de fuite de données.

Interdire n'a pas d'effet. Sans un outil approuvé et des règles claires, les personnes utilisent le compte personnel et l'entreprise perd le contrôle de ce qui y circule.

Risque 1 : données client dans des outils gratuits

Tout cela n'est pas malveillant : la comptabilité colle un extrait pour “ résumer ”, un commercial colle le courriel d'un client, les ressources humaines demandent de l'aide pour réécrire une évaluation de performance.

Le problème se situe dans les modalités d’utilisation. OpenAI indique, par exemple, que dans les services destinés aux particuliers, elle peut utiliser le contenu des conversations pour entraîner les modèles, à moins que l’utilisateur n’active cette option. Dans les plans d’entreprise et l’API, la règle est inverse : le contenu n’est pas utilisé pour l’entraînement par défaut. La différence entre les deux situations est qu’il s’agit d’un compte d’entreprise, géré par l’entreprise.

Risque 2 : le copilote voit ce que ses autorisations lui permettent de voir

Microsoft 365 Copilot ne “ vole ” rien. Microsoft elle-même explique que le Copilot ne montre que les données de l’organisation dont chaque utilisateur dispose déjà, au moins, d’un accès de lecture. C’est là que réside le risque.

Lors des audits que nous effectuons, il est fréquent de trouver des archives anciennes que personne n’a revues : le dossier de direction partagé avec “ Tout le monde ”, un lien “ Pour toute personne dans l’organisation ” créé il y a trois ans pour un fichier de salaires, un site SharePoint d’un ancien projet ouvert à tous. Jusqu’à présent, personne n’avait remarqué cela. Avec Copilot, il suffit de demander “ Quels sont les salaires de l’équipe commerciale ? ” — et la réponse apparaît, si les autorisations le permettent.

L'ordre correct : d'abord vérifier les autorisations dans SharePoint, OneDrive et Teams ; ensuite, connecter Copilot à un groupe pilote. C'est du travail de configuration. Microsoft 365 pour les entreprises, Pas une nouvelle acquisition.

Les 5 règles sur une seule page

Une feuille A4 pour toute l’équipe, signée par l’administration — pas par l’informatique.

Ces règles s'intègrent naturellement dans politiques internes de cybersécurité Que toute entreprise comptant plus de 10 personnes devrait en avoir un écrit.

Liste de contrôle avant de connecter le Copilot

• Autenticité multifactorielle active sur toutes les comptes.
• Les comptes des anciens collaborateurs ont été supprimés et les licences récupérées.
• Liens de partage “ pour tout le monde ” vérifiés et, lorsque possible, désactivés.
• Des dossiers de direction, des ressources humaines et des finances avec un accès restreint à ceux qui en ont besoin.
• Groupe pilote défini (5 à 10 personnes) et délai pour évaluer les résultats.

Le AI Act en termes simples : ce qui s’applique déjà

Le Règlement européen sur l’intelligence artificielle (Règlement (UE) 2024/1689) est en vigueur depuis le 1er août 2024 et s’applique en plusieurs étapes. Pour une PME utilisant ChatGPT ou Copilot, voici l’essentiel :

• À partir du 2 février 2025 Les pratiques interdites s’appliquent et l’article 4, concernant la literacie en IA : les entreprises qui utilisent des systèmes d’IA doivent prendre des mesures pour que leur personnel dispose des connaissances nécessaires pour les utiliser avec discernement.
• En juillet 2026, Le règlement (UE) 2026/1744 — l’appel “ Omnibus Digital ” sur l’IA — a reporté les règles pour les systèmes à risque élevé : 2 décembre 2027 pour les systèmes autonomes et 2 août 2028 pour ceux intégrés dans des produits. Le devoir de littératie est resté en vigueur.
• “ Risque élevé ” englobe des applications telles que le recrutement, la biométrie ou les infrastructures critiques — si vous utilisez l’IA pour sélectionner des candidats, parlez-en à votre avocat.

DataRoad ne fournit pas de conseils juridiques : nous mettons en place les mesures techniques — comptes, autorisations, registres — et nous aidons à préparer la formation.

Un cas réel : 200 postes dans trois bureaux, les mêmes règles

A Velv par OnRising, entreprise de développement de logiciels avec des bureaux au Portugal, à Lisbonne et au Brésil, compte environ 200 postes de travail en contrat IT Unlimited avec DataRoad. Les clients internationaux représentent 45% de la clientèle, et le contrat comprend la gestion du pare-feu, la sécurité réseau et les politiques de protection.

Dans une entreprise comme celle-ci, la question “ quels données clients peuvent être envoyées à une IA ? ” n’est pas théorique — et la réponse doit être identique dans les trois bureaux. Les règles d’IA ne sont pas un projet à part : elles font partie des politiques qui protègent déjà l’entreprise et sont appliquées par la même équipe qui gère les comptes, les autorisations et les équipements.

Que faire cette semaine

Demandez à l'équipe quelles outils d'IA elle utilise, choisissez un outil officiel avec une licence d'entreprise et demandez une révision des autorisations avant toute utilisation du Copilot. Si l'authentification multifactorielle n'est pas encore résolue, commencez par là : c'est le premier pas. Zero Trust pour PME et le protège avec ou sans IA. L’IA est aussi du côté de ceux qui attaquent : cela vaut la peine Former les équipes pour la phishing et les deepfakes.

Foire aux questions

Dois-je interdire ChatGPT dans l'entreprise ?

Interdire sans alternative pousse les gens vers des comptes personnels, où l’entreprise n’a aucun contrôle. Il est plus sûr d’approuver un outil avec un compte d’entreprise et de définir que les données ne seront jamais enregistrées là.

Le Copilot peut-il montrer à un collaborateur des fichiers qu’il ne devrait pas voir ?

Le Copilot ne montre que ce que cette personne a déjà la permission de voir. Si les autorisations sont mal configurées — des dossiers partagés avec tout le monde, des liens ouverts depuis longtemps — le Copilot rend cette erreur visible. C’est pourquoi les autorisations sont révisées avant de l’activer.

L’obligation de literie en IA s’applique à une PME ?

Oui. L’article 4 de l’AI Act s’applique à partir du 2 février 2025 à toute personne utilisant des systèmes d’IA dans le cadre de son activité professionnelle, quelle que soit la taille de cette activité. Une formation courte, des règles écrites et un registre de présence sont un bon point de départ ; pour une lecture juridique, consultez votre avocat.

Dois-je obtenir de nouvelles licences pour utiliser l’IA de manière sécurisée ?

Pas nécessairement. La majeure partie du travail consiste à configurer ce que l’entreprise possède déjà : authentification multifactorielle, révision des autorisations et des comptes d’entreprise dans les outils approuvés. Les licences de Copilot ne prennent sens qu’après cette base.

Règles relatives à l'IA et autorisations révisées dans 10 jours ouvrables

Nous rappelons les fonctionnalités de votre Microsoft 365, montrons ce que le Copilot rendrait visible et vous fournissons la page de règles prête à être signée. Pour les entreprises avec plus de 10 postes · contrat d'assistance · support distant, local et téléphonique. La sécurité est incluse dans les plans. IT Unlimited Premium, avec cybersécurité gérée de bout en bout.

Sources

• Verizon — Rapport d’enquête sur les violations de données 2026, résumé exécutif
• Microsoft Learn — Données, confidentialité et sécurité de Microsoft 365 Copilot
• OpenAI — Comment vos données sont utilisées pour améliorer le rendement du modèle
• EUR-Lex — Règlement (UE) 2024/1689 (Règlement sur l’intelligence artificielle)
• EUR-Lex — Règlement (UE) 2026/1744 (Omnibus Digital sur l’IA)
• Commission européenne — Accord visant à simplifier les règles relatives à l’IA (nouvelles dates pour les risques élevés)