Adoption de l'IA : comment ChatGPT récupère les données d'entreprise des salariés

Lors du déploiement de services d'IA, les salariés envoient des données d'entreprise à ChatGPT et à d'autres plateformes publiques, au risque de fuites. L'analyse de Solar Group montre que le volume de ces données a été multiplié par 30 en un an.

Ce qui part exactement vers des centres de données externes

Le schéma est simple : il faut résumer un contrat, on le charge dans ChatGPT. Il faut traiter une liste de clients, on la colle dans un tableur doté de fonctions d'IA. Le résultat est bon et le temps gagné. Le problème : avec les documents, partent vers un centre de données tiers :

• Les noms complets des salariés et des clients
• Les données de passeport et l'INN (identifiant fiscal)
• Les coordonnées bancaires et les montants des transactions
• Les conditions commerciales et la correspondance interne
• Des informations relevant du secret commercial

Le service n'affiche généralement aucun avertissement. Formellement, l'utilisateur a accepté des conditions précisant que les données peuvent servir à entraîner le modèle, mais peu de gens les lisent.

Où est le risque réel, où est l'exagération

Les grands fournisseurs d'IA affirment ne pas utiliser pour l'entraînement de leurs modèles les données d'entreprise transmises via l'API. Mais pour les entreprises russes, cela ne règle pas le problème.

«

Environ 60 % des entreprises n'ont aucune règle interne sur ce sujet : le processus n'est contrôlé ni techniquement ni sur le papier », selon l'étude de Solar Group.

Les risques réels se répartissent en trois catégories.

Réglementaire. Selon la loi russe 152-FZ « Sur les données personnelles », transmettre des données personnelles à des tiers sans le consentement de la personne concernée et sans contrat en bonne et due forme constitue une infraction. Depuis le 30 mai 2025, les amendes pour récidive visant les personnes morales peuvent atteindre 15 millions de roubles.

Commercial. Si le contrat avec un client prévoit la confidentialité et qu'un salarié envoie le document à ChatGPT, l'entreprise a violé une obligation contractuelle. La contrepartie est en droit de réclamer des dommages et intérêts.

Réputationnel. La fuite de données de partenaires due à un usage imprudent de l'IA devient un motif de résiliation de contrats.

Ce que les entreprises doivent faire dès maintenant

La bonne nouvelle : des solutions existent, et elles n'exigent pas d'interdire l'IA.

La première étape est une politique interne : un document d'une page listant les données que l'on peut traiter dans des services d'IA externes et celles que l'on ne peut pas. Sans lui, l'entreprise n'a aucun outil pour sanctionner et aucun argument face au régulateur.

La deuxième étape est la formation des salariés. Ne pas interdire, mais expliquer : ce que sont précisément les données personnelles et le secret commercial, pourquoi on ne doit pas les charger dans un service public et quelles alternatives d'entreprise existent.

La troisième étape regroupe les mesures techniques : des systèmes DLP qui bloquent ou enregistrent la sortie de certaines catégories de données hors du périmètre ; des outils d'IA d'entreprise sur infrastructure propre ou dans un cloud russe, chez un fournisseur ayant signé un contrat de sous-traitance au titre de la 152-FZ.

Ce que cela signifie

On ne peut pas stopper le basculement massif des salariés vers les outils d'IA, et ce n'est d'ailleurs pas souhaitable. Mais une multiplication par 30 du volume de données transmises en un an montre que la plupart des entreprises ont laissé passer le moment où ce n'était plus une initiative individuelle mais un risque d'entreprise systémique. Les règles s'imposent non pas « un jour », mais maintenant.

Questions fréquentes

L'entreprise risque-t-elle une amende si un salarié a chargé lui-même des données dans

ChatGPT ?

Oui, potentiellement. Selon la 152-FZ, la responsabilité du traitement des données personnelles incombe à l'opérateur, c'est-à-dire à l'entreprise, et non au salarié concerné. Si la transmission de données personnelles à un tiers est établie, le régulateur peut sanctionner la personne morale. Depuis le 30 mai 2025, l'amende pour récidive peut atteindre 15 millions de roubles.

Existe-t-il une alternative sûre aux services d'IA publics ?

Oui : des solutions d'IA d'entreprise déployées sur des serveurs propres ou dans un cloud russe chez un fournisseur ayant signé un contrat de sous-traitance pour le traitement des données personnelles. Dans ce cas, les données ne quittent pas le périmètre contrôlé.

Quelles données les salariés envoient-ils à ChatGPT ?

Selon l'étude, il s'agit des noms complets des salariés, d'informations issues de contrats d'entreprise, de données sur les clients et d'autres documents confidentiels que les salariés téléversent pour qu'ils soient traités par des services d'IA.

Pourquoi les entreprises prennent-elles le risque d'envoyer des données à l'IA ?

L'étude a montré qu'environ 60 % des entreprises russes n'ont pas de règles internes sur le sujet. Les salariés envoient des données à ChatGPT parce que cela accélère le travail : ils peuvent résumer un contrat, traiter une liste de clients ou accomplir d'autres tâches plus vite qu'à la main.