L'IA en entreprise : 7 règles pour que le dirigeant garde la main (à propos de Chefgeflüster #42)

Un collaborateur copie une offre, adresse du client comprise, dans la version gratuite de ChatGPT, parce que c'est plus rapide. Le dirigeant ne l'apprend jamais. C'est exactement là que commence le risque, et sept règles simples le contiennent.

Avec elles, vous utilisez l'IA sans en abandonner le contrôle. Chaque règle se termine par des gestes que vous pouvez accomplir dès cette semaine. L'occasion est l'épisode #42 de « Chefgeflüster by Lars und Silvio » : Alexander Weipprecht, gérant de Provimedia, y était invité, à écouter sur Spotify.

Les règles en un coup d'œil

1. Aucune donnée client dans la version gratuite de ChatGPT.
2. Vérifiez les réponses de l'IA avant qu'elles n'aillent au client.
3. Comptez avec des incidents chez le fournisseur et soyez préparé.
4. Favorisez la maîtrise de l'IA dans votre équipe et documentez-le.
5. Décrivez les processus avant de les automatiser.
6. Contrôlez si les recherches par IA trouvent votre site web.
7. N'introduisez une IA téléphonique qu'avec des règles du jeu claires.

Règle 1 : pourquoi les données clients n'ont-elles pas leur place dans la version gratuite de ChatGPT ?

Un compte gratuit privé n'est pas l'endroit pour des données clients à caractère personnel si votre entreprise n'a pas de contrat avec le fournisseur. Cela vaut aussi bien pour l'offre avec adresse que pour le relevé de mesures avec noms.

• Quiconque fait traiter des données à caractère personnel par un prestataire a besoin, selon l'art. 28 du RGPD, d'un contrat de sous-traitance.
• OpenAI propose pour ChatGPT Business, Enterprise et l'API un Data Processing Addendum. Pour un compte gratuit privé, il n'existe pas de tel contrat avec votre entreprise.
• Pour les services destinés aux particuliers, OpenAI peut, selon l'article d'aide, utiliser les contenus pour l'entraînement. Cela peut être désactivé dans les contrôles des données (« Improve the model for everyone »).

Ce que cela signifie pour votre entreprise :

• Définissez par écrit quels accès à l'IA sont autorisés.
• Dressez la liste des données qui n'ont jamais leur place dans un compte gratuit, par exemple les noms, adresses et commandes de vos clients.
• Faites examiner à l'avance une offre commerciale sous l'angle de la protection des données.

Règle 2 : pourquoi dois-je vérifier les réponses de l'IA ?

Parce que l'entraînement et l'évaluation récompensent la devinette. L'étude d'OpenAI « Why Language Models Hallucinate » (Kalai, Nachum, Vempala, Zhang, septembre 2025) la compare à un QCM : une réponse vide rapporte à coup sûr zéro point, une réponse devinée donne au moins une chance.

Le billet d'accompagnement cite un exemple tiré d'un test de connaissances. Un ancien modèle d'OpenAI s'abstenait dans 1 % des cas et se trompait dans 75 %. Un modèle plus récent s'abstenait dans 52 % des cas et se trompait dans 26 %.

Le modèle plus récent dit plus souvent « je ne sais pas » et se trompe moins souvent. Une IA qui n'hésite jamais n'est pas un bon signe. Quiconque fait rédiger par l'IA la réponse à une réclamation pour vices ne devrait donc jamais l'envoyer sans la vérifier.

Ce que cela signifie pour votre entreprise :

• Faites vérifier par une personne les productions de l'IA qui concernent des clients ou des contrats.
• Exigez une source pour les affirmations factuelles et ouvrez-la vous-même.
• Conservez votre calcul des prix et des matériaux dans un document distinct et laissez l'IA répondre à partir de celui-ci.

Règle 3 : que se passe-t-il si quelque chose tourne mal chez le fournisseur d'IA ?

Des données peuvent devenir visibles pour des tiers, même sans attaque de pirates. L'incident du 20.03.2023 n'était pas une attaque, mais un bogue logiciel.

Pendant une fenêtre d'environ neuf heures, des données ont pu être visibles pour d'autres utilisateurs chez 1,2 % des abonnés ChatGPT Plus alors actifs : nom, e-mail, adresse de paiement, les quatre derniers chiffres de la carte bancaire et la date d'expiration. Les numéros de carte complets n'ont jamais été concernés.

Ce que cela signifie pour votre entreprise :

• Notez qui, chez vous, examine et notifie une violation de données.
• Tenez une liste des services d'IA que votre entreprise utilise, afin de savoir, lors d'une communication d'un fournisseur, si vous êtes concerné.

Règle 4 : que demande l'AI Act en matière de maîtrise de l'IA ?

Il demande que les entreprises favorisent la maîtrise de l'IA de leur personnel. Il n'existe pas de certificat imposé par la loi. L'état des lieux :

• L'art. 4 du règlement (UE) 2024/1689 s'applique depuis le 2 février 2025.
• Depuis le règlement Digital Omnibus (en vigueur depuis le 27.07.2026), les fournisseurs et les déployeurs doivent « favoriser » la maîtrise de l'IA ; auparavant, le texte disait « garantir ».
• La loi n'exige pas de niveau de connaissances déterminé par collaborateur.
• Depuis le 2 août 2026, c'est en Allemagne la Bundesnetzagentur (agence fédérale des réseaux) qui exerce la surveillance.

Une attestation de formation documente cette promotion. Un exemple est notre formation à la maîtrise de l'IA avec certificat de participation. Quiconque utilise un résumé d'IA lors d'un rendez-vous client devrait savoir ce qu'elle sait faire et ce qu'elle ne sait pas faire.

Ce que cela signifie pour votre entreprise :

• Formez votre équipe.
• Conservez la preuve avec la date, les participants et les contenus.
• Désignez une personne qui tient la preuve à jour.

Règle 5 : pourquoi décrire d'abord les processus ?

Parce que l'IA ne peut automatiser que ce que quelqu'un a décrit. Cela se vérifie aussi dans les projets chez Provimedia : quiconque connaît ses processus peut déployer de manière ciblée des solutions d'IA et l'automatisation des processus. Pour l'offre, c'est particulièrement parlant : du relevé de mesures à l'envoi.

Ce que cela signifie pour votre entreprise :

• Consignez par écrit, étape par étape, un processus fréquemment répété avant de le confier à un outil.
• Notez à cette occasion qui fait quoi, avec quoi, et quel est le résultat.
• Mentionnez les exceptions pour lesquelles une personne doit décider.

Règle 6 : comment ChatGPT et consorts trouvent-ils mon entreprise ?

Par des robots d'exploration que vous pouvez contrôler. Selon la documentation d'OpenAI, l'OAI-SearchBot rend les sites web repérables dans la recherche de ChatGPT, tandis que le GPTBot collecte des données d'entraînement. Vous contrôlez les deux via le fichier robots.txt. Si un client demande à l'IA une entreprise de votre région, votre site doit pouvoir apparaître. Plus d'informations sous SEO et visibilité dans ChatGPT & Co.

Ce que cela signifie pour votre entreprise :

• Ouvrez votredomaine.de/robots.txt et vérifiez si l'OAI-SearchBot est bloqué par un Disallow ; la recherche de ChatGPT ne trouve alors pas votre site.
• Décidez séparément si le GPTBot peut utiliser vos pages pour l'entraînement.
• Confiez cette vérification à votre agence web ou à la personne qui s'occupe de votre site.

Règle 7 : à quoi dois-je veiller avec une IA téléphonique ?

Silvio raconte dans l'épisode pourquoi il a de nouveau supprimé son IA téléphonique. Quiconque veut en introduire une fixe au préalable les règles du jeu, par exemple pour l'appel d'un client qui veut reporter son rendez-vous.

Ce que cela signifie pour votre entreprise :

• Définissez quand l'IA transfère l'appel à une personne.
• Désignez qui réécoute des conversations par sondage.
• Dites aux appelants, dès le début, qu'une IA parle.

Questions fréquentes

ChatGPT Plus suffit-il pour les données clients ?

Non, il ne faut pas le supposer. Plus est une offre pour les particuliers. OpenAI propose le contrat de sous-traitance pour Business, Enterprise et l'API.

Puis-je utiliser ChatGPT pour des offres si je laisse de côté les noms des clients ?

Sans données à caractère personnel, le problème de protection des données de ce type disparaît largement. Notez toutefois que l'adresse, le numéro de téléphone ou une description non équivoque du chantier peuvent aussi rendre une personne identifiable. En cas de doute, faites examiner la question.

Une instruction interne suffit-elle comme preuve ?

L'art. 4 n'exige ni format particulier ni certificat. L'essentiel est que la promotion ait lieu et soit traçable. Documentez donc la date, les participants et les contenus.

Bloquer le GPTBot nuit-il à ma visibilité ?

Selon la documentation d'OpenAI, les réglages sont indépendants l'un de l'autre. Quiconque ne bloque que le GPTBot peut rester repérable dans la recherche de ChatGPT, tant que l'OAI-SearchBot est autorisé.

À propos de l'épisode

L'épisode #42 de « Chefgeflüster by Lars und Silvio » est paru le 11.10.2026 et dure 1 h 37. Les animateurs sont Lars Piezl (entrepreneur, mentor et conférencier) et Silvio Kremzow (maître peintre), plus d'informations sur chefgefluester.rocks. Alexander Weipprecht développe des logiciels depuis environ 20 ans ; Provimedia ne construit, depuis deux ans, que des solutions d'IA pour les entreprises. Les règles suivent les thèmes de l'épisode ; les chiffres et les preuves proviennent des sources liées. Ce qui a été dit exactement dans la conversation, le mieux est de l'écouter vous-même.

Information générale, pas un conseil juridique.

Sources

• RGPD (règlement (UE) 2016/679), art. 28
• OpenAI Data Processing Addendum
• Aide OpenAI : contrôles des données et entraînement des modèles
• OpenAI : Why Language Models Hallucinate
• Kalai et al., Why Language Models Hallucinate (arXiv:2509.04664)
• OpenAI : March 20 ChatGPT outage
• AI Act de l'UE, règlement (UE) 2024/1689
• Documentation d'OpenAI sur les robots d'exploration
• Épisode #42 du podcast sur Spotify
• Chefgeflüster : site web du podcast

Version : 12.10.2026