Politique IA en entreprise : cinq règles pour ChatGPT et Copilot

Très probablement. Le rapport annuel de Verizon sur les violations de données (édition 2026) montre que 45 % des personnes utilisent régulièrement l'IA sur leurs ordinateurs professionnels, contre 15 % un an plus tôt. Pire : 67 % accèdent à ces services avec des comptes que l'entreprise ne contrôle pas.

L'IA utilisée en marge de l'organisation, la « shadow AI », est devenue la troisième cause interne non malveillante de fuites de données. Interdire ne règle donc rien. Sans alternative officielle, l'équipe utilise son téléphone et son compte personnel, et l'entreprise perd la trace de ce qui sort.

Tout ce qui est collé dans la conversation. Les exemples sont banals : un relevé bancaire envoyé pour résumé, le message d'un client reformulé par le commercial, une évaluation de performance améliorée par les ressources humaines.

Ce qui change tout, ce sont les conditions du service. Dans les versions grand public, OpenAI peut utiliser les conversations pour entraîner ses modèles, sauf si l'utilisateur désactive ce réglage. Dans les abonnements entreprise et l'API, c'est l'inverse par défaut : le contenu est exclu de l'entraînement. La frontière entre les deux mondes, c'est un compte entreprise, administré par l'entreprise.

Une image simple : parler affaires avec une IA sur un compte personnel, c'est négocier au téléphone dans un train bondé. Avec un compte entreprise, la conversation se déroule dans une salle fermée, avec les règles de la maison et la trace de qui était présent.

Oui, si les droits d'accès sont déjà erronés. Microsoft 365 Copilot ne force aucune porte : selon la documentation de Microsoft, il ne renvoie que des informations auxquelles l'utilisateur a déjà au moins un accès en lecture. Le danger réside dans les partages que personne n'a revus.

C'est ce que nous trouvons régulièrement en audit. Un dossier de la direction ouvert à toute l'organisation. Un lien créé il y a trois ans vers la grille des salaires, valable pour n'importe quel collègue. Un site SharePoint d'un projet terminé, sans restriction. Pendant des années, cela est passé inaperçu. Avec Copilot, une question sur la rémunération de l'équipe commerciale peut obtenir une réponse immédiate.

L'ordre n'est pas négociable : d'abord nettoyer les accès dans SharePoint, OneDrive et Teams ; ensuite ouvrir Copilot à un groupe restreint. Il s'agit de bien configurer le Microsoft 365 de l'entreprise, pas d'acheter plus de licences.

Cinq suffisent. Elles tiennent sur une page, et c'est la direction qui signe, pas le technicien.

Intégrez-les à l'ensemble des politiques internes de sécurité que toute organisation de plus de 10 personnes devrait avoir documentées.

Checklist avant le premier pilote

• Authentification MFA activé sur tous les comptes, sans exception.
• Départs Utilisateurs partis supprimés et licences restituées.
• Liens publics Liens « tout le monde » audités et désactivés là où c'est possible.
• Zones réservées Direction, personnel et finances accessibles uniquement à ceux qui en ont besoin.
• Groupe de test Entre 5 et 10 utilisateurs, avec une date d'évaluation fixée.

La maîtrise de l'IA. Le règlement (UE) 2024/1689 est en vigueur depuis le 1er août 2024 et s'applique par étapes. Pour une entreprise qui utilise ChatGPT ou Copilot au quotidien, trois points comptent :

• Depuis le 2 février 2025 Les pratiques interdites et l'article 4 s'appliquent. Qui utilise l'IA doit s'assurer que les personnes sont suffisamment préparées pour l'utiliser avec discernement.
• Juillet 2026 Le règlement (UE) 2026/1744, dit « omnibus numérique sur l'IA », a reporté les obligations à haut risque au 2 décembre 2027 (systèmes autonomes) et au 2 août 2028 (systèmes intégrés à des produits). La maîtrise de l'IA reste obligatoire.
• Haut risque Couvre par exemple la sélection de candidats, la biométrie et les infrastructures critiques. Si l'IA intervient dans le recrutement, demandez un avis juridique.

Qui utilise l'IA pour rédiger des messages, synthétiser des rapports ou monter des propositions n'a pas besoin de certification. Il doit montrer que l'équipe connaît l'outil, sait où il se trompe et traite les données avec soin. La règle 5 fournit cette preuve.

DataRoad ne fournit pas de conseil juridique. Nous réalisons la partie technique (comptes, accès, journaux) et aidons à préparer la session de formation.

Velv by OnRising développe des logiciels à Porto, Lisbonne et Rio de Janeiro, avec environ 200 postes gérés par DataRoad en IT Unlimited. Près de la moitié du chiffre d'affaires (45 %) provient de clients internationaux, et le contrat couvre pare-feu, sécurité réseau et politiques de protection.

Pour une équipe comme celle-ci, décider quelles informations clients peuvent passer par une IA est une routine, et la règle doit être la même dans les trois villes. La politique d'IA rejoint l'ensemble des politiques existantes et est appliquée par l'équipe qui gère déjà identités, accès et équipements.

1. Demander: recensez les services d'IA que l'équipe utilise aujourd'hui.
2. Officialiser: choisissez un outil et attribuez-lui des comptes entreprise.
3. Auditer: faites revoir les accès avant tout test de Copilot.

Sans MFA généralisé, c'est la priorité: c'est le point de départ d'un modèle Zero Trust adapté aux PME. Et n'oubliez pas que les attaquants utilisent aussi l'IA : il vaut la peine de préparer les équipes contre le phishing et les deepfakes.

DataRoad audite les partages de votre Microsoft 365, vous montre ce que Copilot rendrait visible et vous remet la feuille de règles prête à signer. La protection fait partie du plan IT Unlimited Premium et de notre cybersécurité gérée complète. Demandez une proposition sans engagement.

Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone. Appelez le +351 211 459 950 * ou écrivez à sales@dataroad.pt.

*Appel vers un fixe portugais.

• Verizon DBIR 2026 (synthèse)
• Microsoft Learn : confidentialité et protection des données dans Copilot
• OpenAI : utilisation des données pour l'entraînement des modèles
• EUR-Lex : texte de l'AI Act, règlement (UE) 2024/1689
• EUR-Lex : omnibus numérique sur l'IA, règlement (UE) 2026/1744
• Commission européenne : nouvelles dates pour les systèmes à haut risque