Les risques de ChatGPT, Gemini, Claude ou Mistral en PME dépendent d'abord de l'offre utilisée et des règles données aux équipes. Sur une offre personnelle, vos conversations peuvent servir à entraîner les modèles. Sur une offre professionnelle bien configurée, elles ne le sont pas par défaut. La plupart des incidents que nous observons viennent d'un salarié de bonne foi qui travaille sur son compte personnel, sans savoir ce qu'il expose.
Quels sont les vrais risques de l'IA générative pour une PME ?
Quatre risques reviennent dans les entreprises que nous accompagnons. Ils n'ont pas la même gravité.
Des données qui servent à entraîner les modèles
Une conversation saisie dans une offre personnelle peut être utilisée pour améliorer les modèles de l'éditeur, et parfois relue par des personnes chargées de les évaluer. Un contrat client, une liste de salariés ou un tableau de marges collé dans la mauvaise fenêtre quitte alors le périmètre de l'entreprise.
Des comptes personnels hors de contrôle
C'est le risque le plus fréquent et le moins visible. Chez un négociant B2B que nous accompagnons, l'entreprise avait souscrit deux comptes professionnels, et un commercial travaillait sur sa licence personnelle, sur laquelle il avait construit seul un assistant très utile. L'entreprise ne pouvait ni configurer ce compte ni en récupérer le contenu s'il partait. L'usage était bon, le cadre manquait.
Des réponses fausses présentées avec assurance
Les modèles inventent parfois une référence, un chiffre ou une règle juridique. Le risque grandit quand la réponse part chez un client sans relecture.
La dépendance et la perte de savoir-faire
La CNIL, dans ses fiches pratiques pour les TPE et PME réalisées avec France Num et la CPME, signale le risque de perte de savoir-faire et de dépendance à un outil. Une équipe qui ne sait plus rédiger une offre sans assistant devient fragile au premier changement de tarif ou de conditions.
Vos données servent-elles à entraîner ChatGPT, Gemini, Claude ou Mistral ?
La réponse dépend avant tout de l'offre. Le principe est le même chez les quatre : les offres personnelles peuvent entraîner les modèles sur vos conversations, les offres professionnelles l'excluent par défaut. Les conditions ci-dessous ont été vérifiées en octobre 2026 sur les pages officielles des éditeurs. Le pas-à-pas pour désactiver l'option est détaillé dans notre article sur la désactivation de l'entraînement.
ChatGPT
Selon la politique d'utilisation des données d'OpenAI, les conversations des offres grand public peuvent servir à l'entraînement, sauf désactivation dans les paramètres. Les offres professionnelles (Business, anciennement Team, et Enterprise) et l'API ne sont pas utilisées pour l'entraînement par défaut.
Gemini
Sur un compte Google personnel, les conversations peuvent être utilisées et relues tant que l'activité des applications Gemini reste activée. Pour les comptes Google Workspace éligibles, Google indique dans son centre de confidentialité Workspace ne pas utiliser les données des clients pour entraîner ses modèles sans leur autorisation.
Claude
Depuis la fin de l'été 2025, les comptes Claude Free, Pro et Max doivent choisir si leurs conversations servent à améliorer les modèles, via un réglage de confidentialité modifiable à tout moment. Les offres professionnelles et l'API relèvent de conditions commerciales distinctes, sans entraînement par défaut.
Mistral
Sur les offres gratuite et Pro de Vibe, l'assistant de Mistral anciennement appelé Le Chat, les échanges peuvent servir à l'entraînement sauf désactivation par l'utilisateur. Les offres Team et Enterprise en sont exclues.
Un point surprend souvent les dirigeants : payer un abonnement individuel ne change rien à ce réglage par défaut. Un salarié sur ChatGPT Plus ou Claude Pro est dans la même situation qu'un utilisateur gratuit.
Quels réglages faire dès le premier jour ?
Le premier réglage est un choix d'offre. Si l'IA sert au travail, l'entreprise souscrit une offre professionnelle et centralise les comptes. Elle peut alors administrer les accès, désactiver les fonctions non souhaitées et récupérer les comptes au départ d'un salarié. Le choix entre les outils dépend ensuite de vos usages, de votre messagerie et de vos logiciels : notre comparateur Claude ou ChatGPT aide à trancher en quelques questions.
Dans l'administration de l'offre, trois réglages méritent une vérification. Les connecteurs donnent à l'IA un accès à votre messagerie, à vos fichiers ou à votre CRM : ne les activer que pour les usages validés. Le partage public de conversations par lien doit être désactivé ou encadré. La durée de conservation de l'historique se règle selon la sensibilité de vos échanges.
Si des comptes personnels restent tolérés pendant une transition, deux consignes s'imposent : désactiver l'entraînement et n'y saisir aucune donnée nominative ni confidentielle. Les gestes de prudence à transmettre aux équipes sont détaillés dans notre guide pour utiliser l'IA sans exposer ses données.
Faut-il les mêmes règles d'usage pour tous les salariés ?
Non, et c'est l'erreur la plus courante des chartes que nous relisons. Une règle unique est soit trop stricte pour la direction et les fonctions support, soit trop souple pour les services qui manipulent des données sensibles.
La méthode que nous utilisons chez SmartForge croise deux axes : les usages d'un côté, les populations de l'autre. Chaque case reçoit l'une de trois réponses : autorisé, interdit ou soumis à validation. Dans une fondation du secteur médico-social que nous accompagnons, ce tableau a été construit à partir des cas d'usage remontés par les équipes en atelier. Concrètement, une telle grille conduit à des arbitrages de ce type : résumer un compte rendu de réunion est autorisé pour tous, rédiger un écrit concernant une personne accompagnée est soumis à validation, saisir des données de santé dans un outil qui n'est pas hébergé pour cet usage est interdit à tous.
Ce tableau a un deuxième usage. Il alimentera un assistant interne que les salariés interrogeront en langage naturel (« Ai-je le droit de faire ceci avec l'IA ? »), et les questions sans réponse remonteront au comité chargé de l'IA. La règle devient consultable au moment où le salarié en a besoin.
Que mettre dans une politique d'utilisation de l'IA pour les salariés ?
Une politique d'usage tient sur deux pages quand elle répond à six questions : quels outils sont autorisés et avec quels comptes, quelles données ne doivent jamais être saisies, quels usages demandent une validation et par qui, quelle relecture s'impose avant un envoi à l'extérieur, comment signaler un incident ou une erreur, et qui répond aux questions.
Le détail de la démarche, du modèle de document aux ateliers de rédaction, est dans notre guide de la charte IA en entreprise. Une règle que les équipes ont contribué à écrire s'applique bien mieux qu'une note descendue de la direction. Chez SmartForge, nous construisons les chartes en atelier avec ceux qui les appliqueront, et nous les complétons par des formations IA par outil pour que les réglages soient compris.
Qui valide les usages et à quel rythme revoir les règles ?
La question revient dans chaque projet : qui tranche quand un usage n'est pas prévu ? Nommez une personne, ou un petit comité dans les structures plus grandes, qui reçoit les demandes et répond sous quelques jours. Sans arbitre, les cas « soumis à validation » restent bloqués et les équipes contournent la règle.
Le document doit rester vivant. Lors d'une réunion de préparation récente chez un client, un intervenant résumait l'enjeu ainsi : ce qui est vrai aujourd'hui sur les outils et leurs réglages ne le sera plus dans trois mois. Les principes stables, comme la protection des données personnelles et le règlement européen sur l'IA, forment le socle. La liste des outils, des offres et des usages autorisés se revoit au moins deux fois par an.
Notre conseil tient en une phrase : équipez vos salariés d'une offre professionnelle avant d'écrire la moindre interdiction. Les règles viennent ensuite, et elles s'appliquent d'autant mieux que l'outil fourni est bon.
Pour une PME qui veut encadrer l'usage de ChatGPT, Gemini, Claude ou Mistral sans freiner ses équipes, l'enjeu est de fixer des règles par outil et par métier que chacun comprend. SmartForge, agence IA basée à Lille et organisme de formation certifié Qualiopi, a formé plus de 300 collaborateurs et construit des chartes IA en atelier avec les équipes. Notre journée charte IA d'entreprise est finançable par votre OPCO grâce à la certification Qualiopi, partout en France.
Questions fréquentes sur les risques de ChatGPT, Gemini et Claude en entreprise
Peut-on interdire ChatGPT aux salariés ?
- Juridiquement, l'employeur peut encadrer ou interdire un outil dans le cadre de son règlement intérieur ou d'une charte. En pratique, une interdiction sans alternative déplace l'usage vers les téléphones personnels, hors de tout contrôle. Fournir un outil professionnel configuré et des règles claires protège mieux les données.
Une offre gratuite d'IA suffit-elle pour une TPE ?
- Pour découvrir l'outil, oui, à condition de désactiver l'entraînement et de n'y saisir aucune donnée client, salarié ou financière. Dès que l'IA entre dans les processus de l'entreprise, une offre professionnelle devient nécessaire : elle exclut l'entraînement par défaut et permet d'administrer les comptes.
Faut-il informer le CSE avant de déployer ChatGPT ou Claude ?
- Dans les entreprises qui en ont un, le déploiement d'un outil d'IA qui modifie les conditions de travail peut relever de la consultation du CSE. Une décision de justice du 21 mai 2026 l'a rappelé. Associer les représentants du personnel à la rédaction des règles d'usage facilite aussi leur application.
Les réponses de l'IA engagent-elles la responsabilité de l'entreprise ?
- Oui. Un devis, un courriel ou un document envoyé à un client engage l'entreprise, qu'il ait été rédigé par un salarié ou par une IA. D'où la règle de relecture humaine avant tout envoi à l'extérieur.
À quelle fréquence faut-il revoir les règles d'usage de l'IA ?
- Au moins deux fois par an, et à chaque changement important d'outil ou d'offre. Les conditions des éditeurs évoluent vite : une règle juste au printemps peut être dépassée à l'automne.
