Cette recommandation vise-t-elle un outil précis, comme ChatGPT ?

Non, elle vise l'usage professionnel de tout outil d'IA générative grand public accessible sur Internet, quel que soit l'éditeur. Le principe est le même partout.

Un abonnement payant à un outil d'IA change-t-il la recommandation ?

Pas par défaut. Ce qui change la donne est un contrat spécifique qui garantit que les données ne servent pas à entraîner le modèle, pas le seul fait de payer un abonnement standard.

Comment appliquer cette règle sans bloquer le travail de tous les jours ?

En la formulant simplement à l'équipe. Ce qui identifie un client, un chiffre financier ou un mot de passe ne se colle pas, le reste peut généralement passer. Une règle simple se retient, une liste de cinquante cas ne se retient jamais.

Gouvernance et audit

7 septembre 2026

Ce qu'il ne faut jamais coller dans ChatGPT ou Copilot, d'après l'ANSSI

L'agence nationale de sécurité informatique a publié une liste précise de ce qu'un usage professionnel d'IA générative ne doit jamais soumettre à un outil grand public. Traduite en langage clair, sans jargon de RSSI.

L’Agence nationale de la sécurité des systèmes d’information a publié en avril 2024 des recommandations de sécurité pour un usage professionnel de l’IA générative. La recommandation R34 du document est directe : proscrire l’utilisation d’outils d’IA générative sur Internet pour un usage professionnel impliquant des données sensibles. Elle liste précisément ce qui entre dans cette catégorie.

Ce que la recommandation range dans « données sensibles »

Trois familles précises. Les données personnelles, celles d’un client, d’un salarié, d’un prospect. Les données contractuelles, juridiques ou financières de l’entreprise, un montant de marché, une clause négociée, un chiffre qui n’a pas encore été publié. Et les secrets informatiques, mots de passe, clés d’API, identifiants de connexion. Un commercial qui colle une liste de tarifs négociés dans un outil grand public, un comptable qui colle un extrait bancaire pour le faire résumer, un développeur qui colle une clé d’accès pour déboguer un script, entrent tous les trois dans exactement ce que la recommandation vise.

Pourquoi cette règle, et pas une interdiction totale

L’ANSSI ne recommande pas d’interdire l’IA générative, elle recommande d’en circonscrire l’usage aux données qui ne posent pas de risque en cas de fuite. Rédiger un mail générique, reformuler un paragraphe, résumer un article public, ne posent pas ce risque. La distinction n’est donc pas entre utiliser ou ne pas utiliser l’IA, elle est entre ce qui peut y entrer et ce qui ne le doit jamais.

Ce que ça implique pour une charte d’usage

Une charte qui se contente de dire « utilisez l’IA avec bon sens » ne suffit pas : le bon sens de chacun trace la limite à un endroit différent. La recommandation ANSSI donne une limite écrite, vérifiable, qui vient d’une source publique et neutre plutôt que d’un jugement individuel. Elle se traduit en une ligne qu’une équipe peut retenir : rien qui identifie quelqu’un, rien qui chiffre l’entreprise, rien qui ouvre un accès.

Ce que ça ne règle pas

Cette règle protège contre la fuite de données vers un outil externe. Elle ne dit rien de ce qui se passe une fois qu’un outil d’IA est branché directement sur les applications de l’entreprise, mails, documents, code, avec des droits d’accès qui dépassent parfois ce que son usage justifie. C’est une question distincte, que l’ANSSI traite dans une autre recommandation.

Questions

Ce qu'on demande à chaque fois.

Cette recommandation vise-t-elle un outil précis, comme ChatGPT ?: Non, elle vise l'usage professionnel de tout outil d'IA générative grand public accessible sur Internet, quel que soit l'éditeur. Le principe est le même partout.
Un abonnement payant à un outil d'IA change-t-il la recommandation ?: Pas par défaut. Ce qui change la donne est un contrat spécifique qui garantit que les données ne servent pas à entraîner le modèle, pas le seul fait de payer un abonnement standard.
Comment appliquer cette règle sans bloquer le travail de tous les jours ?: En la formulant simplement à l'équipe. Ce qui identifie un client, un chiffre financier ou un mot de passe ne se colle pas, le reste peut généralement passer. Une règle simple se retient, une liste de cinquante cas ne se retient jamais.

Product Loop

Par où commencer, et ce que ça coûte de le faire mesurer.

Voir la page Réserver 30 minutes

À lire ensuite

Faisons le point, gratuitement.

Ce qui en sort repart écrit sous 48 heures : ce qui a été dit repris honnêtement, les pistes qui existent, et par laquelle il vaut mieux commencer.

Réserver 30 minutes

30 minutes · en visio · sans préparation · point écrit sous 48 h · pas de relance