--- title: "Politique IA en entreprise | DataRoad IT" description: "Cinq règles sur une page pour utiliser ChatGPT et Copilot sans exposer de données : outils validés, données exclues, accès revus. Proposition sans engagement." language: fr url: https://www.dataroad-it.com/fr/politique-ia-entreprise-chatgpt-copilot/ source: https://www.dataroad-it.com/fr/politique-ia-entreprise-chatgpt-copilot/ publisher: DataRoad IT (DataRoad - IT Services and Consulting), Portugal --- > Cinq règles sur une page pour utiliser ChatGPT et Copilot sans exposer de données : outils validés, données exclues, accès revus. Proposition sans engagement. # Politique IA en entreprise : cinq règles pour ChatGPT et Copilot En bref Pour les décideurs pressés. - 01 45 % des salariés utilisent déjà l'IA au travail, dont 67 % avec des comptes perso (Verizon, 2026). - 02 Copilot montre ce que les droits d'accès laissent voir : revoyez-les avant de l'activer. - 03 Une politique d'IA tient en cinq règles sur une page, signée par la direction. - 04 Depuis le 2 février 2025, l'AI Act impose la maîtrise de l'IA à toute entreprise. ### Dans cet article **Une politique d'IA en entreprise coûte une réunion et une feuille A4. Ne pas en avoir peut coûter la confidentialité des clients, des salaires et des contrats.** Avant de laisser l'équipe utiliser ChatGPT à grande échelle ou d'activer Copilot, la direction doit fixer trois choses : les outils autorisés et le compte utilisé, les informations qui restent toujours exclues et qui peut ouvrir quoi dans Microsoft 365. Nous expliquons ci-dessous la démarche que DataRoad applique chez ses clients et ce que l'AI Act impose déjà aux PME. ## Vos collaborateurs utilisent-ils déjà l'IA sans autorisation ? Très probablement. Le rapport annuel de Verizon sur les violations de données (édition 2026) montre que 45 % des personnes utilisent régulièrement l'IA sur leurs ordinateurs professionnels, contre 15 % un an plus tôt. Pire : 67 % accèdent à ces services avec des comptes que l'entreprise ne contrôle pas. L'IA utilisée en marge de l'organisation, la « shadow AI », est devenue la troisième cause interne non malveillante de fuites de données. Interdire ne règle donc rien. Sans alternative officielle, l'équipe utilise son téléphone et son compte personnel, et l'entreprise perd la trace de ce qui sort. ## Quelles données sont exposées avec un compte personnel ? Tout ce qui est collé dans la conversation. Les exemples sont banals : un relevé bancaire envoyé pour résumé, le message d'un client reformulé par le commercial, une évaluation de performance améliorée par les ressources humaines. Ce qui change tout, ce sont les conditions du service. Dans les versions grand public, OpenAI peut utiliser les conversations pour entraîner ses modèles, sauf si l'utilisateur désactive ce réglage. Dans les abonnements entreprise et l'API, c'est l'inverse par défaut : le contenu est exclu de l'entraînement. La frontière entre les deux mondes, c'est un compte entreprise, administré par l'entreprise. **Une image simple :** parler affaires avec une IA sur un compte personnel, c'est négocier au téléphone dans un train bondé. Avec un compte entreprise, la conversation se déroule dans une salle fermée, avec les règles de la maison et la trace de qui était présent. ## Copilot peut-il révéler des fichiers confidentiels ? Oui, si les droits d'accès sont déjà erronés. Microsoft 365 Copilot ne force aucune porte : selon la documentation de Microsoft, il ne renvoie que des informations auxquelles l'utilisateur a déjà au moins un accès en lecture. Le danger réside dans les partages que personne n'a revus. C'est ce que nous trouvons régulièrement en audit. Un dossier de la direction ouvert à toute l'organisation. Un lien créé il y a trois ans vers la grille des salaires, valable pour n'importe quel collègue. Un site SharePoint d'un projet terminé, sans restriction. Pendant des années, cela est passé inaperçu. Avec Copilot, une question sur la rémunération de l'équipe commerciale peut obtenir une réponse immédiate. L'ordre n'est pas négociable : d'abord nettoyer les accès dans SharePoint, OneDrive et Teams ; ensuite ouvrir Copilot à un groupe restreint. Il s'agit de bien configurer le [Microsoft 365 de l'entreprise](https://www.dataroad-it.com/fr/microsoft-365-entreprise-migration-gestion/), pas d'acheter plus de licences. ## Quelles règles la politique d'IA doit-elle contenir ? Cinq suffisent. Elles tiennent sur une page, et c'est la direction qui signe, pas le technicien. | Règle | Application | Responsable | | --- | --- | --- | | **1. Liste fermée d'outils** | Uniquement les outils approuvés, toujours avec les identifiants de l'entreprise ; aucun compte privé pour des sujets professionnels. | Direction et IT | | **2. Informations interdites** | Aucune donnée personnelle de clients ou de l'équipe, information clinique, rémunération, identifiant, contrat ou proposition confidentielle. | Tous les utilisateurs | | **3. Accès nettoyés d'abord** | Partages et liens ouverts revus dans SharePoint, OneDrive et Teams ; Copilot démarre sur un groupe pilote. | IT | | **4. Relecture humaine** | L'IA fait le brouillon ; quelqu'un valide montants, noms et faits avant que le document n'arrive au client. | Managers directs | | **5. Formation tracée** | Une courte session pour toute l'équipe et une feuille de présence conservée: c'est la preuve de la maîtrise exigée par la loi. | Ressources humaines | Intégrez-les à l'ensemble des [politiques internes de sécurité](https://www.dataroad-it.com/fr/cybersecurite-geree-sept-politiques-ecrites/) que toute organisation de plus de 10 personnes devrait avoir documentées. ### Checklist avant le premier pilote - **Authentification** MFA activé sur tous les comptes, sans exception. - **Départs** Utilisateurs partis supprimés et licences restituées. - **Liens publics** Liens « tout le monde » audités et désactivés là où c'est possible. - **Zones réservées** Direction, personnel et finances accessibles uniquement à ceux qui en ont besoin. - **Groupe de test** Entre 5 et 10 utilisateurs, avec une date d'évaluation fixée. ## Qu'exige l'AI Act d'une PME aujourd'hui ? La maîtrise de l'IA. Le règlement (UE) 2024/1689 est en vigueur depuis le 1er août 2024 et s'applique par étapes. Pour une entreprise qui utilise ChatGPT ou Copilot au quotidien, trois points comptent : - **Depuis le 2 février 2025** Les pratiques interdites et l'article 4 s'appliquent. Qui utilise l'IA doit s'assurer que les personnes sont suffisamment préparées pour l'utiliser avec discernement. - **Juillet 2026** Le règlement (UE) 2026/1744, dit « omnibus numérique sur l'IA », a reporté les obligations à haut risque au 2 décembre 2027 (systèmes autonomes) et au 2 août 2028 (systèmes intégrés à des produits). La maîtrise de l'IA reste obligatoire. - **Haut risque** Couvre par exemple la sélection de candidats, la biométrie et les infrastructures critiques. Si l'IA intervient dans le recrutement, demandez un avis juridique. Qui utilise l'IA pour rédiger des messages, synthétiser des rapports ou monter des propositions n'a pas besoin de certification. Il doit montrer que l'équipe connaît l'outil, sait où il se trompe et traite les données avec soin. La règle 5 fournit cette preuve. DataRoad ne fournit pas de conseil juridique. Nous réalisons la partie technique (comptes, accès, journaux) et aidons à préparer la session de formation. ## Comment cela fonctionne-t-il dans une entreprise à trois bureaux ? [Velv by OnRising](https://www.dataroad-it.com/fr/velv-onrising-200-postes-nearshore/) développe des logiciels à Porto, Lisbonne et Rio de Janeiro, avec environ 200 postes gérés par DataRoad en IT Unlimited. Près de la moitié du chiffre d'affaires (45 %) provient de clients internationaux, et le contrat couvre pare-feu, sécurité réseau et politiques de protection. Pour une équipe comme celle-ci, décider quelles informations clients peuvent passer par une IA est une routine, et la règle doit être la même dans les trois villes. La politique d'IA rejoint l'ensemble des politiques existantes et est appliquée par l'équipe qui gère déjà identités, accès et équipements. ## Par où commencer dès cette semaine ? - **Demander**: recensez les services d'IA que l'équipe utilise aujourd'hui. - **Officialiser**: choisissez un outil et attribuez-lui des comptes entreprise. - **Auditer**: faites revoir les accès avant tout test de Copilot. Sans MFA généralisé, c'est la priorité: c'est le point de départ d'un modèle [Zero Trust adapté aux PME](https://www.dataroad-it.com/fr/zero-trust-pme-plan-90-jours/). Et n'oubliez pas que les attaquants utilisent aussi l'IA : il vaut la peine de [préparer les équipes contre le phishing et les deepfakes](https://www.dataroad-it.com/fr/phishing-deepfakes-sensibilisation-equipe/). ## Questions fréquentes sur la politique d'IA ### Faut-il bloquer ChatGPT sur le réseau de l'entreprise ? Ce n'est pas la meilleure option. Un blocage sans alternative détourne l'usage vers les téléphones et les comptes privés ; il est plus sûr d'officialiser un outil professionnel et de lister les données interdites. ### Un collaborateur peut-il voir via Copilot ce qu'il ne devrait pas ? Seulement s'il dispose déjà de cet accès. Copilot ne fait qu'amplifier des droits mal attribués (dossiers ouverts à tous, anciens liens), c'est pourquoi la revue des accès précède toujours l'activation. ### Une entreprise de 15 personnes doit-elle aussi respecter l'obligation de maîtrise de l'IA ? Oui. L'article 4 de l'AI Act s'applique depuis le 2 février 2025 à toute utilisation professionnelle de l'IA, quelle que soit la taille ; des règles écrites, une courte session et une feuille de présence sont le minimum raisonnable, et l'analyse juridique revient à votre avocat. ### Utiliser l'IA en sécurité oblige-t-il à acheter des licences ? Non. L'essentiel relève de la configuration de ce que l'entreprise paie déjà (MFA, accès revus, comptes entreprise sur les outils choisis) et ce n'est qu'ensuite que des licences Copilot se justifient. ## Prochaine étape : politique d'IA et accès revus en 10 jours ouvrés DataRoad audite les partages de votre Microsoft 365, vous montre ce que Copilot rendrait visible et vous remet la feuille de règles prête à signer. La protection fait partie du [plan IT Unlimited Premium](https://www.dataroad-it.com/fr/it-unlimited-premium-assistance-site-illimitee/) et de notre [cybersécurité gérée](https://www.dataroad-it.com/fr/cybersecurite-entreprise/) complète. Demandez une proposition sans engagement. **Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone.** Appelez le +351 211 459 950 * ou écrivez à sales@dataroad.pt. **Appel vers un fixe portugais.* ## Sources consultées - [Verizon DBIR 2026 (synthèse)](https://www.verizon.com/business/resources/executivebriefs/2026-dbir-executive-summary.pdf) - [Microsoft Learn : confidentialité et protection des données dans Copilot](https://learn.microsoft.com/en-us/microsoft-365/copilot/microsoft-365-copilot-privacy) - [OpenAI : utilisation des données pour l'entraînement des modèles](https://openai.com/policies/how-your-data-is-used-to-improve-model-performance/) - [EUR-Lex : texte de l'AI Act, règlement (UE) 2024/1689](https://eur-lex.europa.eu/legal-content/PT/TXT/?uri=CELEX:32024R1689) - [EUR-Lex : omnibus numérique sur l'IA, règlement (UE) 2026/1744](https://eur-lex.europa.eu/eli/reg/2026/1744/oj/por) - [Commission européenne : nouvelles dates pour les systèmes à haut risque](https://digital-strategy.ec.europa.eu/en/news/eu-agrees-simplify-ai-rules-boost-innovation-and-ban-nudification-apps-protect-citizens) Choisie par des entreprises reconnues et internationales ★★★★★ 5,0 · 52 avis Google ★★★★★ 5,0 · 52 avis Google DataRoad ## Articles associés [Infogérance et cybersécuritéÉquipes en déplacement : portables, mobiles et Wi-Fi public sûrsLe vrai risque en voyage est le portable perdu non chiffré, pas le Wi-Fi de l'hôtel. Disque chiffré, gestion centrale, MFA et connexion maît…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/cybersecurite-equipes-en-deplacement/)[Infogérance et cybersécuritéSurface d'attaque externe : ce qu'Internet voit de votre sociétéLes attaques automatisées cherchent des versions vulnérables, quelle que soit la taille de l'entreprise. En 2025, le CERT.PT a enregistré 3 …12 octobre 2026 · 6 min de lecture](https://www.dataroad-it.com/fr/surface-attaque-externe-entreprise/)[Infogérance et cybersécuritéNOC et cybersécurité gérée : qui surveille votre PME, et quandLa question n'est pas d'avoir un SOC : c'est qui reçoit l'alerte à 22 h un samedi et ce qu'il fait ensuite. Chez DataRoad, nuits, week-ends …12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/noc-soc-cybersecurite-geree-pme/)[Infogérance et cybersécuritéSécurité Microsoft 365 : les 10 contrôles qui vous incombentDans Microsoft 365, la plateforme appartient à Microsoft et les clés sont à vous. Selon Microsoft, le MFA et le blocage de l'authentificatio…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/microsoft-365-cybersecurite-geree-responsabilite/)[Infogérance et cybersécuritéRGPD et cybersécurité gérée : 10 contrôles techniques à prouverSans mesures techniques documentées, une violation de données passe d'incident IT à problème avec l'autorité de contrôle. Dix contrôles en t…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/rgpd-cybersecurite-geree-10-mesures-techniques/)[Infogérance et cybersécuritéMots de passe exposés : auditer le domaine et agir en 5 joursLe risque n'est pas l'e-mail dans une fuite : c'est le même mot de passe qui ouvre un compte professionnel. Changer ce qui est exposé, MFA p…12 octobre 2026 · 6 min de lecture](https://www.dataroad-it.com/fr/identifiants-entreprise-fuites-de-donnees/)[Infogérance et cybersécuritéInventaire des actifs : la base de la gestion du parc et de NIS2Sans inventaire des actifs, pas de renouvellement planifié, pas de sécurité démontrable ni de réponse au CNCS. Les entités NIS2 doivent tran…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/inventaire-actifs-gestion-parc-informatique/)[Infogérance et cybersécuritéComptes break-glass Microsoft 365 : l'assurance de l'entrepriseUn administrateur bloqué peut laisser e-mail, Teams et fichiers sans gestion pendant des jours. Les comptes break-glass sont l'administrateu…12 octobre 2026 · 6 min de lecture](https://www.dataroad-it.com/fr/comptes-break-glass-microsoft-365/)[Infogérance et cybersécuritéWindows 365 en entreprise : quand le PC cloud réduit les coûtsLe PC cloud est rentable pour consultants, saisonniers, équipes sans bureau et parcs mixtes Mac et Windows. Pour la vidéo, la CAO ou un inte…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/windows-365-pc-cloud-entreprise/) Des chiffres vérifiables **11** ans d’activité **232** clients **< 10 min** délai moyen de réponse **15+** Certifications IT de constructeurs **10+** Pays avec des clients accompagnés **5,0 ★** 52 avis Google Transparence ## Ce que beaucoup de prestataires taisent, nous le publions. [Voir les offres et les prix →](https://www.dataroad-it.com/it-unlimited/) - **Prix affichés** Essential dès 395 €/mois + TVA, Premium dès 750 € et Premium 365 dès 1 200 €. - **Sans engagement long** Contrat annuel, sans engagement et aucun frais d’adhésion. - **Tout par écrit** Ce qui est inclus, le périmètre et le prix, avant de signer. - **Support sans heures comptées** À distance et par téléphone dans tous les plans ; sur site à partir de Premium. Partenaires et certifications DataRoad · IT géré pour entreprises ## One StepAhead of IT. Une technologie qui travaille en silence, pour que vos équipes travaillent sans interruption. Une rigueur d’ingénieur à chaque demande. - **11** ans d’activité, depuis 2015 - **0** incident de sécurité chez DataRoad en 11 ans - **232** clients sous gestion We do **IT** right. DataRoad IT Unlimited ## Vos sauvegardes ont-elles déjà été mises à l’épreuve ? Sauvegardes automatiques et supervisées, conservées hors des locaux. [Demander une proposition sans engagement →](https://www.dataroad-it.com/fr/#contact)+351 211 459 950 **Appel vers un fixe portugais · Plus de 10 postes · contrat d’assistance · support à distance, sur site et par téléphone[Vous ne savez pas ce qu’il vous faut ? Parlez à l’assistant →](https://www.dataroad-it.com/fr/#assistente) --- Versão HTML desta página: https://www.dataroad-it.com/fr/politique-ia-entreprise-chatgpt-copilot/