ChatGPT au travail : qu'avez-vous le droit de faire en tant que collaborateur, et qu'est-ce qui ne passe pas ?

Un article pour vous, pas sur vous

La plupart des articles sur l'IA au travail sont écrits pour les managers, les RH ou les responsables conformité. Pour vous, le collaborateur qui doit encore écrire trois courriels à seize heures et qui n'a plus d'énergie, on n'écrit que rarement quelque chose de clair. Voici cet article. Pas un récit alarmiste, pas une interdiction, pas un « réfléchissez bien avant de taper ». Mais un regard honnête sur ce que vous pouvez faire, ce que vous ne pouvez pas faire et comment décider par vous-même.

Votre employeur peut-il voir ce que vous demandez à ChatGPT ?

C'est la question la plus fréquemment posée et celle qui reçoit le plus rarement une explication simple. La réponse dépend de deux choses : quel compte et quel appareil.

Compte personnel sur votre propre ordinateur ou téléphone. Votre employeur ne voit pas vos conversations.

Compte personnel sur votre appareil professionnel ou via le réseau de l'entreprise. La journalisation réseau classique rend généralement visible le fait que vous visitez le service, mais pas ce que vous tapez dans une conversation chiffrée. Attention : sur un appareil professionnel géré, des logiciels d'entreprise supplémentaires peuvent techniquement en voir davantage, par exemple des solutions de prévention des fuites de données ou de gestion du navigateur.

La surveillance n'est pas libre pour autant. Un employeur doit poursuivre une finalité légitime, ne pas aller au-delà du nécessaire et avoir annoncé le contrôle au préalable. La lecture individuelle et sur le contenu est soumise à des conditions strictes. Pour le secteur privé, cela est précisé en Belgique par la CCT n° 81 ; les principes de protection des données sous-jacents s'appliquent plus largement, y compris au sein d'un pouvoir local.

Compte professionnel. Ici, la réponse est : en principe oui. Avec ChatGPT Business ou Enterprise, Copilot dans Microsoft 365 et Gemini dans Workspace, une organisation peut, selon la configuration, accéder à l'historique des conversations. Cela ne passe pas par un administrateur qui lirait en direct, mais par des fonctions de conformité et de conservation, généralement dans le cadre d'une enquête formelle, d'un audit ou d'un litige.

La conclusion pratique est simple. Partez du principe que sur un compte professionnel, cela peut être visible. Ce n'est pas une raison de ne pas l'utiliser, car c'est précisément ce que votre employeur paie. C'est en revanche une raison de n'y taper que ce que vous diriez aussi en réunion d'équipe.

D'abord la réalité

Il ne s'agit plus depuis longtemps uniquement de ChatGPT. Il y a Copilot dans Microsoft 365, Gemini dans Google Workspace, Claude sur un nombre croissant de postes de travail et, à côté de cela, presque tout le monde utilise de temps en temps quelque chose de son propre chef. Dans le travail intellectuel, l'usage de l'IA est aujourd'hui plutôt la règle que l'exception et, dans une grande partie des cas, cela se fait sans autorisation formelle, sans politique et sans accords clairs.

C'est ce qu'on appelle le shadow-AI : un usage de l'IA qui reste sous le radar. Nous avons étudié l'ampleur réelle du phénomène dans notre livre blanc sur le Shadow AI dans les PME. Le constat en une phrase : le premier à en subir les conséquences quand cela tourne mal, c'est vous, pas la direction. D'où l'importance de connaître vous-même les règles du jeu, même si personne ne vous les a expliquées.

Commencez par les règles de votre propre organisation

Avant d'en venir aux questions ci-dessous : vérifiez si votre organisation dispose d'une politique IA, d'une charte informatique ou d'un règlement de travail qui dit quelque chose à ce sujet. Cela prime toujours sur les conseils généraux d'un article, y compris celui-ci.

Deux choses que l'on évalue souvent mal. Le fait que votre organisation ait déployé un compte IA professionnel ne signifie pas que tout usage soit autorisé. Et l'absence de politique ne signifie pas que tout est permis : l'obligation de confidentialité de votre contrat de travail continue de s'appliquer.

Il n'y a rien ? Ce n'est pas une exception. Nous avons écrit deux textes que vous pouvez transmettre à qui de droit : un modèle de politique IA en deux pages qui peut être complété aujourd'hui et un article expliquant pourquoi une politique IA sur papier ne pilote pas encore les comportements. Vous doutez que ce soit vraiment nécessaire chez vous ? Parcourez alors les 5 signes qu'une organisation a besoin d'une politique IA.

Les trois questions à toujours se poser

Question 1 : à qui appartient cette information ? C'est la question la plus importante et elle est moins simple qu'elle n'en a l'air. Un courriel que vous avez rédigé vous-même vous semble être votre information, mais il peut être rempli de données clients, de prix ou d'accords internes. Les notes d'un entretien client sont l'information d'un autre. Une lettre de candidature, un dossier médical, le dossier d'un citoyen : très certainement celle de quelqu'un d'autre.

Pensez plus large que la seule protection des données. Le secret professionnel, les secrets d'affaires, les clauses de confidentialité contractuelles et le droit d'auteur de tiers relèvent tout autant de cette question. Un projet de contrat ne contient peut-être aucune donnée à caractère personnel et reste pourtant la dernière chose à coller dans un modèle public.

Question 2 : sur quel compte suis-je et cela y a-t-il sa place ? Un compte professionnel fonctionne sous un contrat signé par votre employeur, avec des accords sur l'entraînement et la conservation. Cela le rend plus sûr. Cela ne rend pas automatiquement tout usage autorisé : la finalité, le contenu et les accords internes restent déterminants. Sur un compte personnel ou gratuit, ces accords n'existent tout simplement pas et le seuil est donc bien plus bas.

Question 3 : comment me sentirais-je si mon employeur, mon client ou un collègue regardait par-dessus mon épaule ? Ce n'est pas une question moralisatrice, mais une question pratique. Si la réponse se situe quelque part entre « mal à l'aise » et « paniqué », c'est le signe qu'il vaut mieux vous y prendre autrement.

Ce qui est généralement sans danger

Que ce soit autorisé ne veut d'ailleurs pas dire que vous en tirerez de bons résultats. L'écart entre une réponse médiocre et une réponse excellente tient rarement au modèle et presque toujours à la façon dont vous formulez la demande, comme nous l'expliquons dans Beaucoup de gens utilisent mal une IA. Vous voulez maîtriser cela de façon systématique ? Notre courte formation Travailler efficacement avec l'IA est faite exactement pour cela.

Là où il vaut mieux réfléchir à deux fois

Vous travaillez dans les soins de santé, l'enseignement ou au sein d'un pouvoir local ? Des points d'attention sectoriels s'ajoutent alors à ce qui précède. Ils sont détaillés pour les établissements de soins, pour les écoles et établissements d'enseignement et pour les communes et pouvoirs locaux.

Et puis il y a désormais aussi les agents IA

Jusqu'il y a peu, l'IA était une chose qui répondait. De plus en plus souvent, c'est une chose qui *agit* : un agent qui pilote votre navigateur, remplit des formulaires, rédige et envoie des courriels ou exécute des tâches pendant que vous faites autre chose. La différence entre les deux est plus grande qu'il n'y paraît, comme nous le décrivons dans Le chatbot vous le demande. L'agent le fait, tout simplement.

C'est un autre type de risque et la plupart des documents de politique sont en retard sur ce point. Trois règles que vous pouvez appliquer vous-même.

Ne laissez jamais un agent envoyer en votre nom quelque chose que vous n'avez pas lu vous-même. Un projet reste un projet. Envoyer est un acte qui porte votre nom.

Sachez qu'un agent peut capter des instructions dans ce qu'il lit. Une page web ou un courriel entrant peut contenir du texte destiné à faire faire à l'agent autre chose que ce que vous avez demandé. Cela s'appelle une injection de prompt et ce n'est pas un scénario théorique. Ne donnez donc pas à un agent plus d'accès que la tâche ne l'exige.

Pas d'agents sur l'argent, les contrats ou les étapes irréversibles. Paiements, commandes, suppressions, signatures : cela, vous le faites vous-même.

Vous travaillez déjà avec ces outils sans qu'aucun accord n'existe ? Maîtriser les agents IA est alors le chemin le plus court vers une vision partagée au sein de l'équipe.

Ce qu'il ne faut jamais faire

Vous avez quand même saisi quelque chose de sensible ? Signalez-le

Tout le monde colle un jour quelque chose en se disant une seconde plus tard : je n'aurais pas dû. Le réflexe est alors de fermer la fenêtre en espérant que personne ne le remarque. Ne faites pas cela.

Signalez-le à votre responsable, au service informatique, à la sécurité ou au délégué à la protection des données, selon la procédure prévue par votre organisation. Un signalement rapide limite les dégâts et, en cas de véritable fuite de données, il est même obligatoire pour votre organisation, avec des délais courts. Le silence transforme un accident en un problème face auquel vous vous retrouvez seul.

Votre organisation n'a pas une telle procédure ? Vous pouvez alors utiliser la nôtre comme exemple : notre AI Incident Procedure est publiée sur ce site, tout comme notre AI Usage Policy.

Ce que dit la loi à ce sujet

Brièvement, et uniquement la partie qui vous concerne.

Votre employeur doit agir en matière de littératie en IA. Depuis le 2 février 2025, l'article 4 de l'EU AI Act s'applique : celui qui déploie de l'IA doit prendre des mesures pour que les personnes qui l'utilisent la comprennent suffisamment. Cette obligation repose sur l'organisation, pas sur vous. Ce que cela signifie concrètement figure dans notre article Article 4 de l'EU AI Act : qu'est-ce que cela implique concrètement pour votre organisation.

Cette obligation a été réécrite cet été. Avec le Digital Omnibus, le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, l'article 4 a été reformulé. Les organisations doivent désormais « prendre des mesures qui soutiennent le développement de la littératie en IA » et il est explicitement précisé qu'elles ne doivent garantir aucun niveau de connaissance spécifique par individu. Formulé plus souplement donc, mais pas facultatif. Il n'y a pas de durée de formation prescrite, pas de programme obligatoire et pas de certificat obligatoire : ce qui est approprié dépend de l'organisation, des systèmes et des risques. Ce qui a bougé par ailleurs est expliqué dans Le Digital Omnibus modifie l'EU AI Act. Mais pas comme vous le pensez.

L'article 4 n'a pas de barème d'amendes européen propre. Les amendes les plus lourdes de l'AI Act concernent les pratiques interdites de l'article 5, pas celui-ci. Les États membres peuvent toutefois prévoir, via leurs régimes de sanctions nationaux, des amendes administratives et d'autres mesures d'exécution. Sur ce qui a précisément changé le 2 août 2026, nous avons écrit un décryptage distinct.

Les exigences lourdes pour l'IA à haut risque ont été reportées. Les obligations centrales pour les systèmes à haut risque de l'annexe III s'appliquent à partir du 2 décembre 2027, pour l'IA intégrée dans des produits réglementés à partir du 2 août 2028, et pour certains systèmes destinés à être utilisés par des autorités publiques jusqu'au 2 août 2030. L'IA déployée pour filtrer des candidatures ou évaluer des candidats relève en principe de cette catégorie à haut risque. Faire reformuler une offre d'emploi, non. Un report n'est d'ailleurs pas une annulation et cela ne change rien au RGPD : celui-ci s'applique pleinement aujourd'hui.

Des règles de transparence s'appliquent depuis le 2 août 2026. L'article 50 impose notamment que les personnes sachent quand elles s'adressent directement à un système d'IA et que les contenus synthétiques soient marqués de façon lisible par machine, avec des règles distinctes pour les hypertrucages. Ce n'est pas une obligation générale d'étiqueter visiblement comme IA chaque courriel ou texte généré. Les cas où c'est bien requis sont détaillés situation par situation dans Faut-il signaler l'usage de l'IA ? 7 situations concrètes liées à l'article 50.

Les règles continuent d'évoluer. Vous voulez rester informé sans devoir courir après ? Nous suivons cela quotidiennement dans le Moniteur EU AI Act.

Et si votre employeur n'a pas de politique ?

C'est la situation de la majorité des personnes qui lisent ceci. Et non, il ne vous revient pas d'écrire cette politique. Mais vous pouvez tout de même faire deux choses.

Vous pouvez en parler à votre responsable ou aux RH. Non comme une critique, mais comme une question pratique : « J'utilise parfois l'IA pour améliorer mes courriels. Y a-t-il une ligne à ce sujet ? » Beaucoup de responsables y sont plus ouverts que vous ne le pensez, parce qu'ils l'utilisent eux-mêmes et s'en sentent mal à l'aise. Prenez éventuellement notre Checklist de Conformité EU AI Act gratuite avec vous : la conversation aura ainsi tout de suite un ordre du jour.

Et vous pouvez demander ce qui est prévu en matière de littératie en IA. Votre organisation doit prendre des mesures à ce sujet depuis février 2025. La forme qu'elles prennent relève de son choix, mais poser la question est parfaitement normal.

Pour conclure

L'IA au travail n'est pas un problème de luxe ni un débat d'initiés. Elle est dans votre navigateur, dans votre environnement bureautique et bientôt dans des outils qui feront des choses de façon autonome pour vous. Elle raccourcit votre journée de travail et elle peut vous mettre en difficulté si vous l'employez mal.

La bonne nouvelle : vous n'avez pas besoin de devenir juriste pour bien faire. Sachez à qui appartient l'information que vous saisissez, connaissez les règles de votre propre organisation, relisez vous-même ce qui porte votre nom et signalez immédiatement ce qui a mal tourné. Il n'en faut pas plus pour rester du bon côté.

Vous voulez que votre organisation mette cela en ordre pour que vous puissiez travailler avec l'IA sans hésitation ? Partagez cet article avec votre responsable ou les RH. Nous aidons les organisations à mettre en œuvre et à documenter concrètement la littératie en IA, avec de courtes formations à la littératie en IA de vingt à trente minutes pour les collaborateurs, les dirigeants, les RH et l'informatique. Savoir où vous en êtes est possible gratuitement avec le Scan d'Adoption IA. Et si vous préférez d'abord en discuter, vous pouvez simplement nous contacter.

Rédigé par Rob Ummels en collaboration avec Claude (Anthropic). Responsabilité éditoriale finale : AIAdopt. Mis à jour le 7 août 2026.