Faut-il interdire aux salariés d'utiliser leur propre assistant d'IA pour le travail ?

Une interdiction totale est difficile à faire respecter et pousse l'usage à se cacher. Mieux vaut une règle claire : quels outils sont autorisés, quelles données ne doivent jamais y entrer, et qui répond aux questions.

Quelles données ne doivent jamais être saisies dans un assistant d'IA ?

La CNIL recommande de ne jamais partager d'informations confidentielles telles que des données personnelles. Les données de clients et de salariés, ainsi que les informations confidentielles de l'entreprise, sont donc exclues.

Que faire quand un salarié a déjà saisi une donnée interdite ?

Le signaler au dirigeant ou au référent le plus tôt possible, sans sanction préalable, et noter ce qui a été saisi. La suite dépend de l'outil et de ses réglages : à vérifier avec la source officielle et, si besoin, un juriste.

Salariés qui utilisent l'IA sans le dire : règle

Dans beaucoup d'équipes, des salariés utilisent déjà un assistant d'intelligence artificielle (IA) pour leur travail, avec un compte personnel, sans que l'employeur le sache. C'est ce qu'on appelle parfois l'IA fantôme. Ce n'est pas forcément un signe de mauvaise volonté : l'outil aide, il est accessible, et personne n'a dit quoi faire. Le risque vient du fait qu'on ignore ce qui est saisi, et où cela part.

Cette page décrit une règle claire, une tolérance écrite, une procédure en cas de saisie interdite, et les données qui ne doivent jamais entrer dans un outil grand public.

Pourquoi une règle vaut mieux qu'une interdiction vague

Une interdiction générale (« pas d'IA au travail ») est rarement respectée, et elle pousse l'usage à se cacher. Le salarié qui a une question n'ose plus la poser, et l'entreprise perd le moyen de savoir ce qui se passe. Une règle précise, avec des exceptions claires, est plus facile à tenir.

La règle doit répondre à trois questions : quels outils sont autorisés, quelles données ne doivent jamais y entrer, et à qui on signale un problème. Elle s'écrit en une page, et se lit à voix haute au moment de l'annonce.

Les données interdites

La CNIL rappelle, dans ses questions et réponses sur l'IA générative, qu'il ne faut pas partager d'informations confidentielles telles que des données personnelles, et qu'il faut éviter autant que possible de saisir des données personnelles. Elle recommande aussi de ne jamais reproduire telles quelles les sorties de ces systèmes.

Dans une équipe, cela donne une liste concrète :

Donnée	Autorisée dans un outil grand public ?
Nom, coordonnées, adresse d'un client	Non
Dossier, facture ou contrat identifiable	Non
Données de santé, d'un salarié ou d'un client	Non
Dossier personnel d'un salarié, évaluation, situation familiale ou médicale	Non
Secrets commerciaux, plans, prix non publiés	Non
Texte générique, sans donnée identifiable	Oui, avec relecture
Trame ou modèle de document vierge	Oui

La liste est à compléter par le dirigeant selon son activité. Elle ne doit pas être plus longue que nécessaire, sinon elle n'est pas lue.

La procédure en cas de saisie interdite

Une saisie interdite arrive, même avec une bonne règle. Ce qui compte est la façon de la traiter. La procédure tient en quatre gestes :

Signaler tôt, au dirigeant ou au référent, sans attendre. Un signalement rapide permet de limiter les conséquences.
Noter ce qui a été saisi : type de donnée, date, outil utilisé. Pas de copie de la donnée elle-même dans la note.
Ne pas sanctionner le signalement. Un salarié qui signale doit savoir qu'il n'est pas sanctionné pour le signalement lui-même. La suite dépend des faits et de la règle interne.
Vérifier les réglages de l'outil : historique, entraînement sur les données, suppression. Ces réglages varient selon l'éditeur et l'offre : la source officielle de l'éditeur fait foi, et un juriste peut être consulté pour les conséquences.

Cette page ne dit pas quelles sont les conséquences juridiques d'une saisie interdite, qui dépendent de la nature des données et des faits. Ce point se vérifie avec la source officielle de la CNIL et un juriste.

La tolérance écrite

Une tolérance écrite autorise un usage encadré, sans l'imposer. Par exemple : l'outil est autorisé pour reformuler un texte générique, préparer un plan, ou traduire une consigne interne, à condition de relire et de ne saisir aucune donnée de la liste. Tout ce qui sort de la liste passe par le référent.

La tolérance doit être datée et signée. Elle doit aussi dire ce qu'elle ne couvre pas : la relation client, les décisions de personnel, les textes juridiques engageants. Les règles de relecture sont reprises dans la page sur la relecture.

Pour les salariés qui ont déjà un usage

Un usage existant n'est pas une faute en soi. Le dirigeant peut demander à chacun ce qu'il utilise, pour quelles tâches, et avec quelles données. Cette démarche doit être présentée comme une aide à la règle, pas comme un contrôle. Une personne qui se sent surveillée ne répond pas franchement. Voir la surveillance des salariés pour la frontière.

Le plus simple : proposer que l'outil adopté par l'équipe couvre les usages existants, avec une formation courte. La formation par la pratique permet de faire cette bascule sans rupture.

Erreurs à éviter

Interdire sans proposer d'outil autorisé : l'usage continue, sans règle.
Sanctionner le premier signalement : le suivant ne viendra pas.
Laisser la liste des données dans un document que personne n'ouvre.
Penser que « c'est gratuit donc sans risque » : la gratuité ne dit rien des données.

Liste de vérification

La règle tient en une page, avec les outils autorisés.
La liste des données interdites est affichée et connue de tous.
La procédure de signalement est écrite, avec un nom de contact.
Le signalement n'est pas sanctionné en lui-même.
Les réglages des outils autorisés ont été vérifiés sur les pages de l'éditeur.

Ce qui reste au dirigeant

Définir la règle, choisir les outils autorisés et traiter les incidents relèvent de la direction. La règle doit être simple, écrite et tenue. Pour les questions qui ne se décident jamais avec un outil, voir les limites.