Risques de sécurité d’entreprise liés à l’utilisation de ChatGPT

Les modèles de langage (LLM) comme ChatGPT se diffusent dans toutes les fonctions de l’entreprise. Comme l’ordinateur personnel ou Internet, ils transforment l’organisation du travail, déjà visible dans la recherche scientifique [5]. Cette généralisation multiplie les points d’entrée, de stockage et de circulation d’informations sensibles.

💡 À retenir
ChatGPT peut faire gagner plusieurs heures par semaine, mais chaque gain de productivité crée un risque nouveau pour les données, la conformité et la souveraineté numérique [1][4].

1. Comprendre les nouveaux risques de sécurité liés à ChatGPT en contexte entreprise

Les LLM peuvent traiter tout texte professionnel (contrats, comptes rendus, specs techniques, code, notes de crise). Cette polyvalence, déjà observée dans la recherche [5], signifie que presque chaque métier peut exposer des informations critiques à un fournisseur externe.

Types principaux de données sensibles :

• données personnelles (nominatives ou pseudonymisées) ;
• secrets d’affaires, informations de propriété intellectuelle ;
• contrats clients/fournisseurs et clauses de confidentialité ;
• résultats de R&D et documents avant publication [1].

Dans le médical, ces données ne peuvent pas être envoyées à un système d’IA externe [1]. Les entreprises doivent appliquer une logique similaire.

⚠️ Point clé
Les recommandations de l’Inserm : ne jamais partager de données sensibles avec un système d’IA externe [1]. En entreprise, ce principe doit être posé comme règle de base.

Exemple typique : un juriste insère dans ChatGPT un projet de contrat d’acquisition confidentiel pour « améliorer la formulation ». Prix, synergies et calendrier se retrouvent alors hors du contrôle de l’entreprise, même si le fournisseur assure ne pas les réutiliser.

S’ajoute une dépendance forte à des fournisseurs extra‑européens. Une décision gouvernementale pourrait imposer l’arrêt brutal de modèles avancés (par exemple Fable 5 ou Mythos 5 d’Anthropic) au nom de la sécurité nationale [7][8]. Des organisations qui en dépendent se retrouveraient sans outil en quelques heures.

📊 Donnée clé
En Europe, ~70 % des outils d’IA déployés reposent sur des solutions américaines ou chinoises, tandis que les investissements IA de l’UE restent < 15 milliards d’euros/an, contre un projet d’infrastructure à 500 milliards de dollars sur 4 ans aux États‑Unis [4]. Cette asymétrie crée un risque durable de perte de maîtrise de fonctions critiques.

2. Cartographie des risques : données, conformité, image et gouvernance

Sur le plan réglementaire, un usage non maîtrisé de ChatGPT peut violer :

• le RGPD (transfert hors UE, absence de base légale) ;
• le secret des affaires ;
• des clauses contractuelles de confidentialité clients/fournisseurs.

Les exigences de la recherche médicale — confidentialité, traçabilité, contrôle des flux — doivent inspirer les politiques internes [1].

Risques opérationnels :

• stockage des prompts et réponses sur des serveurs hors contrôle de la DSI ;
• réutilisation possible des échanges pour l’entraînement si la confidentialité est mal configurée ;
• opacité : difficile de savoir qui envoie quoi, à quel modèle et où l’inférence est hébergée.

⚠️ Point de vigilance
L’Inserm recommande des systèmes locaux ou des services garantissant l’absence de collecte des échanges pour limiter ces risques [1].

Les modèles génératifs peuvent aussi :

• produire des textes plausibles mais faux ;
• amplifier des biais de représentation ;
• générer des discours polarisants.

Les travaux sur les risques informationnels montrent qu’ils facilitent des narratifs manipulatoires à grande échelle [2], déjà intégrés dans des stratégies d’influence géopolitique [9].

Pour les grandes entreprises :

• campagnes de désinformation automatisées visant la marque ou ses dirigeants ;
• micro‑ciblage hostile à partir de mégadonnées comportementales [10] ;
• détournement d’outils internes de génération de contenus dans des contextes sensibles [9][10].

📊 Impact méthodologique
En sciences de gestion, les enseignants signalent déjà : biais, erreurs non détectées, manque de traçabilité quand des LLM sont utilisés sans protocole [3]. Les mêmes dérives menacent rapports internes, notes stratégiques ou analyses de risques si les équipes réutilisent les sorties de ChatGPT sans vérification ni mention de source [5].

3. Stratégie de mitigation : cadre d’usage, souveraineté et gouvernance de l’IA générative

Un cadre d’usage raisonné de ChatGPT repose sur trois piliers, cohérents avec les recommandations pour la recherche [1][5] :

1. Sensibilisation obligatoire
   • fonctionnement des LLM, limites, biais, risques de dépendance ;
   • bonnes pratiques de vérification et de citation.
2. Frugalité numérique
   • limiter les appels systématiques aux modèles ;
   • réduire la surface d’attaque et l’empreinte environnementale, conformément aux principes d’usage raisonnable de l’IA [1].
3. Cas d’usage encadrés
   • lister les usages autorisés, soumis à validation, et interdits (RH, dossiers clients, secrets de R&D, etc.).

💡 À retenir
Toute donnée classée « hautement sensible » doit être exclue des services externes, en ligne avec les recommandations qui proscrivent l’envoi de données sensibles vers des systèmes d’IA non maîtrisés [1].

Une politique de gestion des données peut prévoir :

• interdiction explicite de saisir des données personnelles identifiantes et des secrets d’affaires dans ChatGPT ;
• obligation d’utiliser uniquement des versions « entreprise » configurées par la DSI ;
• revue humaine systématique des contenus générés avant toute diffusion externe [1].

En résumé, ChatGPT offre des gains réels mais introduit des risques majeurs sur les données, la conformité et la souveraineté. Sans cadre d’usage, gouvernance claire et alternatives maîtrisées, l’entreprise échange un gain de productivité immédiat contre une vulnérabilité stratégique durable.