En bref : Utiliser une IA générative au travail est parfaitement légal en 2026, mais deux vigilances s'imposent. Sur les données : ne jamais coller de données personnelles sensibles ou de secrets d'affaires dans une version gratuite, préférer les offres professionnelles avec engagement de non-réutilisation pour l'entraînement. Sur la transparence : signaler l'usage d'IA quand un contenu est diffusé publiquement et que sa nature IA compte. À cela s'ajoute l'obligation de former votre personnel (article 4 de l'AI Act), en vigueur depuis février 2025.
En 18 mois, ChatGPT, Claude et Gemini sont passés du gadget technologique à l'outil de travail quotidien pour des millions de salariés européens. Selon le baromètre France Num 2025, l'usage de l'IA générative dans les TPE et PME a doublé en un an, passant de 10 à 22 %. La plupart du temps, cet usage s'est installé sans cadre formel, à la discrétion de chaque collaborateur.
Résultat : beaucoup de dirigeants se demandent aujourd'hui ce qu'ils doivent encadrer, comment et surtout ce qui expose vraiment leur entreprise à un risque. Cet article fait le tri entre les fantasmes juridiques et les vraies obligations, avec une orientation claire : ce qu'il faut faire, ce qu'on peut se permettre et ce qu'il vaut mieux éviter.
Pour la vue d'ensemble du cadre réglementaire de l'IA en Europe, notre guide AI Act pour TPE et PME présente les quatre niveaux de risque et le calendrier d'application.
Utiliser une IA générative au travail : ce qui est autorisé, ce qui ne l'est pas
La règle simple : utiliser un assistant génératif standard (ChatGPT, Claude, Gemini, Le Chat, Copilot) pour votre travail est parfaitement légal en Europe en 2026. Le règlement européen sur l'IA range ces outils dans les catégories les plus légères de la pyramide des risques : risque limité pour les fonctions conversationnelles et de génération de contenu, risque minimal pour les usages de productivité pure.
Aucune démarche préalable, aucune déclaration, aucune autorisation. Vous pouvez laisser vos équipes rédiger des emails, résumer des documents, faire du brainstorming, coder, traduire, préparer une réunion ou analyser des données non sensibles avec ces outils, sans risque juridique particulier lié à l'usage lui-même.
Ce qui bascule dans une autre catégorie, c'est l'intégration de ces modèles dans un système qui prend des décisions à impact significatif sur des personnes : un outil de tri automatisé de CV, un système de scoring de crédit, un outil de notation d'étudiants. Dans ces cas, on quitte l'usage individuel du chatbot pour entrer dans le régime des systèmes à haut risque, avec des obligations bien plus lourdes qui deviennent applicables au 2 décembre 2027.
Dans le doute, la question à se poser est simple : le système prend-il ou influence-t-il une décision qui affecte significativement une personne ? Si oui, sortez du cadre courant et regardez de plus près.
Les vraies zones à risque : données, propriété intellectuelle, transparence
Les risques concrets d'un usage quotidien de ChatGPT ou Claude ne sont pas d'ordre pénal, mais tournent autour de trois zones précises.
La fuite de données
C'est de loin le risque le plus fréquent et le plus tangible. Quand un collaborateur colle dans un chatbot un document contenant des données personnelles (fichier client, dossier RH, échange confidentiel avec un fournisseur), plusieurs choses se passent selon la version utilisée.
Repères pratiques pour l'usage d'une IA générative grand public en contexte professionnel.
Sur une version gratuite grand public, les données saisies peuvent être utilisées par le fournisseur pour améliorer ses modèles, sauf option contraire activée par l'utilisateur (et parfois non disponible). Cela pose un problème RGPD dès que des données personnelles sont concernées et un problème de confidentialité pour tout document couvert par le secret des affaires ou le secret professionnel.
Sur une version professionnelle payante (ChatGPT Team ou Enterprise, Claude for Work, Gemini for Google Workspace, Copilot Business), les fournisseurs s'engagent contractuellement à ne pas réutiliser vos données pour l'entraînement. Le risque RGPD ne disparaît pas complètement (il faut regarder les conditions précises et l'articulation avec un encadrement CNIL adapté), mais il devient gérable dans un cadre standard.
La règle pratique : réservez la version grand public aux usages sans données sensibles. Pour tout usage impliquant des données personnelles, des fichiers clients ou des documents confidentiels, basculez sur une offre professionnelle et documentez ce choix.
La propriété intellectuelle
Deux questions se posent, souvent confondues : à qui appartient le contenu généré par l'IA et est-ce que le générer expose à un risque de contrefaçon ?
Sur la première question, le cadre juridique européen évolue mais la lecture dominante en 2026 est la suivante : un contenu produit intégralement par une IA sans intervention humaine créative substantielle n'est pas protégé par le droit d'auteur. En revanche, le contenu que vous produisez en utilisant l'IA comme outil (avec vos prompts, vos choix éditoriaux, vos retouches) reste votre œuvre au sens classique. Vous pouvez l'utiliser, le diffuser et le vendre.
Sur la seconde, le risque existe : une IA peut reproduire, involontairement, un contenu protégé qu'elle a « vu » pendant son entraînement. Ce risque est en pratique très faible pour du texte utilitaire (email, résumé, brouillon) mais il justifie une vigilance sur les contenus publiés (image générée qui ressemble trop à une œuvre existante, texte qui reprend une tournure protégée). En cas de doute pour un contenu à visibilité élevée, une recherche inversée ou une vérification humaine reste de bon sens.
La transparence quand vous diffusez
L'article 50 de l'AI Act, en vigueur depuis le 2 août 2026, impose de signaler qu'un contenu a été généré ou modifié par IA lorsqu'il est diffusé au public et que sa nature IA a de l'importance. Cela vise principalement les contenus susceptibles d'induire en erreur : deepfakes évidents, visuels réalistes, articles présentés comme humains alors qu'ils sont produits par IA.
En pratique, pour un usage normal en TPE et PME, la règle utile est la suivante : quand l'IA est un outil d'assistance à la production (relecture, reformulation, brouillon retravaillé), aucune mention n'est requise. Quand un contenu significatif est diffusé publiquement et essentiellement généré par IA (un article de blog, un visuel de campagne, un post de réseau social), une mention discrète en pied ou dans les métadonnées répond à l'obligation.
Version gratuite ou version professionnelle : ce qui change juridiquement
Le passage à une offre professionnelle change trois choses importantes qui pèsent dans l'équilibre coût/conformité :
- Traitement des données : les principales offres professionnelles (ChatGPT Enterprise, Claude for Work, Gemini for Google Workspace, Copilot Business) garantissent contractuellement l'absence d'usage de vos données pour entraîner leurs modèles.
- Contrat écrit et responsabilité : vous disposez de conditions générales professionnelles, d'un DPA (Data Processing Agreement) au sens du RGPD et souvent d'engagements sur la localisation des données.
- Contrôle centralisé : les offres pro permettent de gérer les comptes, l'accès et les usages depuis une console d'administration, ce qui simplifie la traçabilité demandée par l'AI Act.
Le surcoût par utilisateur varie généralement entre 20 et 40 euros par mois selon la formule. Pour une TPE de cinq personnes dont deux utilisent régulièrement l'IA, cela représente entre 40 et 80 euros par mois, un investissement souvent inférieur au coût d'un seul incident de fuite de données.
Une alternative intéressante à surveiller : les modèles open source hébergés en Europe (Mistral, Le Chat, solutions souveraines) qui offrent un compromis attractif entre coût, souveraineté et conformité. Notre engagement pour une IA responsable détaille les critères que nous appliquons pour ces choix.
Les règles simples pour un usage sain en TPE et PME
Une charte interne d'une page suffit à structurer les bonnes pratiques. Voici les six règles à faire connaître à toute l'équipe :
- Aucune donnée personnelle nominative dans une version gratuite. Anonymisez ou basculez sur une offre pro.
- Aucun mot de passe, clé d'API ou secret technique dans un chatbot, quelle que soit la version.
- Vérifier systématiquement les productions IA avant de les utiliser (les modèles hallucinent, se trompent sur les chiffres, inventent des références).
- Ne pas publier un contenu significatif généré par IA sans relecture humaine et sans mention quand elle est utile.
- En cas de doute sur une donnée à transmettre, demander au référent interne (dirigeant, DPO ou personne désignée).
- Signaler tout incident (fuite involontaire, comportement inattendu de l'outil) pour tenir le journal interne à jour.
Ces règles couvrent 90 % des situations. Elles complètent l'obligation de formation issue de l'article 4 de l'AI Act, que nous avons détaillée dans notre article dédié à la littératie IA obligatoire depuis février 2025.
Quand faut-il signaler qu'un contenu a été produit avec de l'IA ?
C'est la question la plus fréquente et la moins bien traitée sur le web. Une lecture pratique de l'article 50 donne les cas suivants :
- Signaler obligatoirement : un contenu synthétique (image, vidéo, audio) qui pourrait être pris pour une captation réelle, un texte publié sous une signature humaine alors qu'il a été essentiellement généré, tout contenu susceptible d'induire en erreur sur sa nature.
- Signaler de bonne pratique : un article de blog largement rédigé par IA même retravaillé, une image d'illustration générée, un post de réseau social significatif.
- Aucune mention nécessaire : un email professionnel dont la rédaction a été assistée, un brouillon retravaillé, une traduction relue, un résumé de réunion synthétisé.
Une phrase discrète en pied d'article (« Cet article a été rédigé avec l'aide d'un assistant génératif et relu par un humain ») ou une mention dans les métadonnées d'une image suffit. La transparence ne doit pas devenir un affichage anxiogène, mais elle protège votre crédibilité en cas de question.
Pour aller plus loin sur l'intégration d'un chatbot IA à votre site (qui déclenche des obligations spécifiques), consultez notre article sur les obligations qui s'appliquent à un chatbot IA en 2026.
Cadrer l'usage sans le freiner
L'usage de l'IA générative au travail est un formidable levier de productivité pour une TPE ou une PME et il n'y a aucune raison de s'en priver. La bonne posture consiste à mettre en place quelques garde-fous simples plutôt qu'à interdire ou laisser faire.
Chez Pivox, nous accompagnons les entreprises dans l'adoption raisonnée de l'IA, en tenant compte du cadre légal dès le cadrage. Nous avons formalisé nos propres pratiques dans notre page d'engagement pour une IA responsable. Pour discuter de votre situation, échangeons 30 minutes sans engagement.
FAQ
Est-ce que je peux interdire ChatGPT à mes salariés ?
Oui, en tant qu'employeur vous pouvez encadrer et même interdire l'usage de certains outils informatiques dans le cadre professionnel, en le formalisant par une note interne, une charte informatique ou une clause du règlement intérieur. En pratique, une interdiction totale pousse à l'usage clandestin (le fameux « shadow AI ») et complique la conformité. Un encadrement clair avec une version professionnelle à disposition est presque toujours plus efficace.
Que se passe-t-il si j'ai collé par erreur des données clients dans ChatGPT gratuit ?
Si le volume est significatif et qu'il s'agit de données personnelles, il faut considérer cet évènement comme un incident de sécurité au sens du RGPD. Documentez ce qui s'est passé, évaluez la gravité, notifiez si nécessaire la CNIL dans les 72 heures et informez les personnes concernées si l'incident présente un risque élevé pour leurs droits. Puis mettez à jour votre charte pour éviter la répétition.
Quelle version professionnelle privilégier pour une TPE ?
Le choix dépend de votre environnement existant. Si vous utilisez déjà Microsoft 365, Copilot Business s'intègre naturellement. Si vous êtes sur Google Workspace, Gemini for Workspace est le plus fluide. Sans écosystème imposé, Claude for Work et ChatGPT Team offrent d'excellents compromis. Le point à vérifier systématiquement : l'engagement de non-réutilisation des données pour l'entraînement.
Est-ce que Claude, ChatGPT et Gemini sont autorisés à traiter des données de patients ou de mineurs ?
Non, sauf offre spécifique adaptée et cadre juridique dédié. Les données de santé et les données concernant des mineurs sont dans la catégorie « sensible » du RGPD et nécessitent un encadrement contractuel et technique renforcé qui n'est pas couvert par les offres standard. Ces usages relèvent de solutions dédiées et d'un accompagnement juridique.
Les contenus que je publie avec l'aide de l'IA sont-ils protégés par le droit d'auteur ?
Les contenus intégralement générés par IA sans intervention humaine créative substantielle ne sont en général pas protégés en tant que tels. Les contenus que vous produisez en utilisant l'IA comme outil (avec vos choix éditoriaux, vos retouches, votre patte) restent votre œuvre et bénéficient de la protection classique. En pratique, la plupart de vos productions professionnelles tombent dans le second cas.
Sources principales
- Règlement (UE) 2024/1689 sur l'intelligence artificielle, EUR-Lex.
- Fiches pratiques et recommandations sur l'intelligence artificielle, CNIL.
- Calendrier de mise en œuvre de l'AI Act, Commission européenne.
- Comprendre et adopter l'IA dans une TPE ou PME, France Num.