ChatGPT et Copilot au travail : six règles pour une petite entreprise

Votre personnel l'utilise déjà

Eurostat mesure l'usage de l'IA dans les entreprises de 10 salariés ou plus. En 2025, 34,54 % des entreprises belges utilisaient au moins une technologie d'IA, contre 19,95 % dans l'ensemble de l'UE. Parmi les entreprises belges de 10 à 49 salariés, la part était de 28,82 % (Eurostat, jeu de données isoc_eb_ai). L'enquête ne couvre ni les entreprises de moins de 10 salariés, ni l'agriculture, ni le secteur financier.

Les six règles ci-dessous s'adressent au dirigeant dont le personnel utilise déjà ChatGPT ou Copilot. Il ne s'agit pas d'un avis juridique : les textes publiés sur EUR-Lex font foi.

BelgiqueUE (27 pays)

2023

Belgique13,81 %

UE (27 pays)8,06 %

2024

Belgique24,71 %

UE (27 pays)13,48 %

2025

Belgique34,54 %

UE (27 pays)19,95 %

Source: Eurostat, tableau isoc_eb_ai (utilisation de l'IA par les entreprises), mis à jour le 15 juin 2026

Ce que la loi demande : la maîtrise de l'IA

Le règlement européen sur l'IA appelle « déployeur » une entreprise qui utilise un système d'IA dans le cadre de son travail (règlement sur l'IA, article 3). L'article 4, consacré à la maîtrise de l'IA, s'applique aux fournisseurs et aux déployeurs depuis le 2 février 2025. Il a été réécrit par l'Omnibus numérique sur l'IA, le règlement (UE) 2026/1744 du 8 juillet 2026, publié le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026 (EUR-Lex).

Le nouvel article 4 demande aux fournisseurs et aux déployeurs de prendre des mesures pour soutenir la maîtrise de l'IA de leur personnel et des autres personnes qui utilisent des systèmes d'IA pour leur compte, en tenant compte de ce que ces personnes savent déjà et de la manière dont les outils sont utilisés. Vous n'avez pas à garantir un niveau précis pour qui que ce soit. La Commission et les États membres doivent les y aider, en particulier les PME.

Dans ses questions-réponses sur la maîtrise de l'IA, la Commission européenne précise qu'aucun certificat n'est exigé et qu'un registre interne des formations suffit. Elle cite l'exemple du personnel qui utilise ChatGPT pour rédiger des textes publicitaires ou traduire : il doit être informé des risques propres à ces outils, comme les hallucinations. Les règles de surveillance et de contrôle s'appliquent depuis le 2 août 2026 (Commission européenne).

Règle 1 : choisissez les outils et le type de compte

Notez quels outils peuvent servir au travail, et avec quel compte. Les éditeurs décrivent eux-mêmes la différence.

• OpenAI indique que, pour ses services destinés aux particuliers (Free, Plus et Pro), il peut utiliser vos contenus pour entraîner ses modèles, sauf si vous désactivez le paramètre Improve the model for everyone sous Settings, Data controls (noms de la version anglaise). Les discussions temporaires ne servent pas à l'entraînement (OpenAI).
• Pour ChatGPT Business, ChatGPT Enterprise et son API, OpenAI indique ne pas entraîner par défaut ses modèles sur les données professionnelles, et propose un contrat de sous-traitance (Data Processing Addendum) pour le RGPD (OpenAI).
• Microsoft indique que Copilot et Copilot Chat, utilisés par une organisation avec un compte professionnel ou scolaire, relèvent de son Data Protection Addendum et de ses Product Terms, Microsoft agissant comme sous-traitant, et que les requêtes et les réponses ne servent pas à entraîner les modèles de fondation (Microsoft).
• Avec un compte Microsoft personnel, ce sont le Contrat de services Microsoft et les conditions d'utilisation de Copilot qui s'appliquent (Microsoft).

Règle 2 : aucune donnée personnelle ou client dans un compte grand public gratuit

Une donnée personnelle est toute information sur une personne identifiable : un nom, une adresse e-mail, un numéro de GSM, un CV. Les données de santé et quelques autres catégories bénéficient d'une protection renforcée par l'article 9 du RGPD. Quand un fournisseur traite des données personnelles pour votre compte, le RGPD exige un contrat avec ce fournisseur (article 28), et vous ne pouvez utiliser que les données nécessaires (article 5) (RGPD). Avec un compte grand public gratuit, vous acceptez des conditions en tant que particulier, sans ce contrat.

L'Autorité de protection des données (APD) conseille la prudence avant de saisir des informations sensibles, comme des données médicales ou financières, dans un chatbot. Elle suggère d'utiliser des pseudonymes ou de supprimer les noms, adresses et âges, et de vérifier les paramètres par défaut liés à l'historique des discussions et à l'entraînement de l'IA. Sa question test : partageriez-vous cette information si vous étiez assis à un dîner à côté d'inconnus (APD) ?

En pratique : écrivez « client A » au lieu d'un nom, et ne mettez jamais de mots de passe, de contrats ou de prix non publics dans un outil de chat. Un détail encore, chez OpenAI : sur les offres pour particuliers, un pouce levé ou baissé peut rendre toute la conversation utilisable pour l'entraînement, même si vous avez refusé l'entraînement.

Règle 3 : vérifiez chaque réponse avant qu'elle parte

Un outil de chat peut écrire une phrase qui sonne juste et qui est fausse. Considérez chaque réponse comme un brouillon et vérifiez les noms, chiffres, dates, prix, affirmations juridiques ou fiscales, liens et citations à l'aide de votre propre source avant tout envoi. C'est la personne qui envoie le texte qui en est responsable. Ne laissez pas un outil répondre directement à des clients sans que quelqu'un ait lu la réponse.

Règle 4 : signalez les contenus générés par IA quand la loi l'exige

L'article 50 du règlement sur l'IA s'applique depuis le 2 août 2026 et répartit les rôles (règlement sur l'IA, article 50).

• Les fournisseurs, comme OpenAI et Microsoft, doivent marquer dans un format lisible par machine ce que produisent leurs systèmes génératifs. Pour les systèmes déjà sur le marché avant le 2 août 2026, l'Omnibus numérique leur laisse jusqu'au 2 décembre 2026.
• Vous, en tant que déployeur, devez indiquer qu'une image, un son ou une vidéo a été généré ou manipulé par une IA lorsqu'il s'agit d'un hypertrucage : un contenu qui ressemble à des personnes, objets, lieux ou événements existants et qui semblerait faussement authentique. Pour une œuvre manifestement artistique, créative, satirique ou fictive, une mention qui ne gêne pas l'œuvre suffit.
• Un texte généré par IA et publié pour informer le public sur des questions d'intérêt public doit aussi être signalé, sauf s'il a été relu ou modifié par une personne et que quelqu'un en assume la responsabilité éditoriale.
• La mention doit être claire et apparaître au plus tard au moment où le public voit ou entend le contenu pour la première fois.

Une photo réaliste générée par IA d'un intérieur de magasin, d'un client ou d'une équipe qui n'existe pas doit donc porter une mention comme « Image générée par IA ».

Règle 5 : formez votre équipe en une heure et notez-le

Pour une petite équipe, une heure suffit souvent : parcourez le règlement interne ci-dessous, montrez deux réponses qui semblaient justes mais étaient fausses, et convenez de ce qui n'entre jamais dans un outil de chat. Notez la date et les participants ; selon la Commission, un registre interne suffit. Recommencez pour chaque nouvelle personne et chaque nouvel outil.

Règle 6 : une seule personne décide, et les erreurs sont signalées

Désignez une personne qui approuve les nouveaux outils d'IA et toute connexion entre un outil et la boîte mail, l'agenda ou les fichiers partagés. Demandez au personnel de la prévenir le jour même lorsque des données ont été collées par erreur ou qu'une réponse fausse a été envoyée.

Un règlement interne d'une page à reprendre

Règlement interne : outils de chat IA chez [nom de l'entreprise]. Lu et signé par chaque membre du personnel.

1. Autorisé pour le travail : [par exemple ChatGPT Business, ou Copilot Chat avec votre compte professionnel]. Uniquement avec le compte fourni par l'entreprise.
2. Ne jamais coller : noms, coordonnées ou dossiers de clients, de membres du personnel ou de patients, données de santé, numéros d'identité ou de compte bancaire, mots de passe, contrats ou prix non publics. Écrivez « client A » au lieu d'un nom.
3. Chaque réponse est un brouillon. Vérifiez noms, chiffres, dates, prix, points juridiques et fiscaux et liens à l'aide de votre propre source avant tout envoi.
4. Une image, un son ou une vidéo réaliste généré par IA, qui pourrait passer pour vrai, porte la mention « Créé avec l'IA ».
5. Aucun outil d'IA n'est connecté à la boîte mail, à l'agenda ou aux fichiers partagés sans l'accord de [nom].
6. Données collées par erreur ou réponse fausse envoyée ? Prévenez [nom] le jour même.
7. Questions : demandez à [nom]. Dernière vérification le [date].

Nom, date, signature.

Liste de contrôle

1. Outils autorisés et types de comptes notés par écrit.
2. Comptes professionnels distribués ; les comptes gratuits ne servent plus au travail.
3. Paramètres d'historique et d'entraînement vérifiés dans chaque outil autorisé.
4. Règlement interne signé, séance d'une heure donnée et notée.

Vous souhaitez de l'aide pour choisir les outils et les configurer selon le fonctionnement de votre entreprise ? Consultez notre page automatisation par l'IA. Notre atelier de sensibilisation à la cybersécurité se termine par quelques règles adaptées à votre entreprise, et le règlement interne ci-dessus peut en faire partie.