Le 23 octobre 2026, la radio publique suédoise a annoncé que les services du gouvernement suédois coupaient l'accès à ChatGPT et à Claude depuis les postes de leur personnel à partir du lundi 26 octobre, pour ne garder que les outils qu'ils ont approuvés, dont Copilot. C'est l'occasion de se poser la question à l'échelle d'une entreprise de 20 personnes.
Qu'a décidé le gouvernement suédois, exactement ?
Selon Ekot, le service d'information de Sveriges Radio (article du 23 octobre 2026), les services du gouvernement suédois (Regeringskansliet) bloquent ChatGPT et Claude sur les ordinateurs de travail du personnel à partir du lundi suivant. Le but affiché : que les agents utilisent les services approuvés, dont Copilot de Microsoft. Le directeur du numérique explique sur l'intranet que l'usage de services d'IA « sans contrat » peut avoir des conséquences pour la sécurité de l'information.
Quatre précisions changent la lecture de cette annonce :
- Ekot ne détaille pas le contrat signé avec chaque éditeur, ni pourquoi Copilot a été retenu. L'approbation de Copilot n'est donc pas un classement de sécurité entre les trois outils.
- Une partie du personnel garde l'accès à ChatGPT et à Claude, par une plateforme interne développée par les services du gouvernement. Ce qui est coupé, c'est l'accès direct, hors de tout cadre.
- Des blocages comparables existent à l'Agence des impôts (Skatteverket) et à l'agence des établissements pour mineurs (SiS), selon le même article.
- L'audit interne de l'agence suédoise des transports (Trafikverket) a relevé l'usage d'une dizaine de services d'IA ouverts, avec des exemples d'usage problématique, qu'il s'agisse de la sensibilité des informations saisies ou de la façon dont les réponses ont été utilisées.
La leçon pour une PME tient dans le dernier point : avant de choisir un outil, il faut savoir lesquels sont déjà utilisés.
Pourquoi la question se pose aussi dans une PME de 20 personnes
Parce que, sans décision, chacun choisit. Le commercial rédige ses relances dans ChatGPT avec son compte personnel, l'assistante de direction résume des contrats dans Claude, le comptable teste Copilot parce qu'il est dans Microsoft 365. Personne n'a mal agi, et pourtant personne ne sait plus où sont passés les devis, les fiches clients ou les grilles de prix collés dans ces outils.
Le vrai sujet est le compte : un compte personnel appartient au salarié, pas à l'entreprise. Quand il part, l'historique part avec lui, et vous n'avez jamais eu la main sur les réglages de confidentialité.
Décision 1 : quel compte, et sous quel contrat ?
Les éditeurs séparent leurs offres en deux familles, et leurs engagements sur vos données ne sont pas les mêmes. Voici ce que chacun écrit, relevé sur leurs pages le 25 octobre 2026 :
| Éditeur | Offres pour les organisations | Ce qu'il écrit sur l'entraînement | Contrat de traitement des données |
|---|---|---|---|
| OpenAI (ChatGPT) | ChatGPT Business, Enterprise, plateforme API | Pas d'entraînement sur les données des offres professionnelles par défaut (Enterprise privacy). Sur les espaces personnels Free, Plus et Pro, le partage des données pour l'amélioration est activé par défaut (Data controls). | DPA proposé aux clients professionnels (page Enterprise privacy) |
| Anthropic (Claude) | Claude for Work (Team, Enterprise), API | Pas d'utilisation des entrées et sorties des offres commerciales pour l'entraînement par défaut, sauf retour volontaire de l'utilisateur, par exemple le pouce levé ou baissé (Anthropic Privacy Center, 18 août 2026). Les offres grand public suivent d'autres règles. | DPA avec clauses contractuelles types |
| Microsoft (Copilot) | Microsoft Copilot et Copilot Chat utilisés par une organisation | Prompts, réponses et données lues dans Microsoft 365 non utilisés pour entraîner les modèles de fondation (Microsoft Learn) | Data Protection Addendum de Microsoft, Microsoft agissant comme sous-traitant |
Deux nuances avant de conclure. Chez Microsoft, les recherches web envoyées à Bing ne relèvent pas du même contrat : Microsoft y agit comme responsable de traitement indépendant, et la frontière de données européenne ne s'y applique pas (même page Microsoft Learn). Chez Anthropic, l'administrateur d'un compte Team ou Enterprise peut désactiver le bouton de retour pour toute l'organisation. Ces réglages existent : encore faut-il que quelqu'un, chez vous, en soit l'administrateur.
Ce qu'on en retient : les trois éditeurs proposent un cadre contractuel pour les entreprises. L'écart qui compte sépare un compte professionnel administré d'un compte personnel, bien plus que les marques entre elles.
Décision 2 : quel assistant, pour quel usage ?
Partez de ce que vos équipes font déjà. La CNIL recommande la même chose dans ses questions-réponses sur l'IA générative (18 juillet 2024) : partir des besoins concrets et proportionner les exigences au risque. Aider à rédiger un courrier présente moins de risque qu'aider à décider d'une candidature ou d'un crédit client.
- Vous travaillez déjà dans Microsoft 365 : Copilot lit vos mails et vos fichiers avec les droits de chaque utilisateur. C'est pratique, et c'est aussi la raison de vérifier les droits de partage de vos dossiers avant de l'ouvrir.
- Vos équipes rédigent, résument, reformulent : un assistant conversationnel en offre entreprise (ChatGPT Business, Claude Team) suffit souvent, sans connexion à vos outils.
- Vous voulez qu'une tâche se fasse seule (trier des demandes, préparer des devis) : il vous faut alors un agent, avec ses propres accès. Nous expliquons la différence dans assistant IA ou agent IA : lequel pour quelle tâche.
Un seul assistant par usage simplifie tout le reste : une seule console d'administration, une seule liste d'utilisateurs, une seule charte à expliquer.
Décision 3 : quelles données peuvent y entrer ?
Écrivez trois colonnes sur une page : ce qui peut entrer, ce qui peut entrer avec précaution, ce qui n'entre jamais. La CNIL donne le critère : pour des usages non confidentiels, un service grand public peut être envisagé avec des adresses professionnelles dédiées, en évitant les adresses personnelles et en désactivant la réutilisation des données quand c'est possible. Dès que des données de clients ou de salariés, ou des documents sensibles, entrent dans l'outil, il faut un contrat de sous-traitance avec le fournisseur, et un encadrement des transferts si les données sortent de l'Union européenne.
Dans une PME de négoce, par exemple : une fiche produit publique peut entrer ; un devis peut entrer sans le nom du client ; un fichier clients complet, des identifiants ou des données de santé n'entrent pas. La règle tient sur une page, et c'est ce qui la rend applicable.
Décision 4 : qui répond de ce que l'assistant produit ?
La CNIL rappelle que ces systèmes peuvent produire des réponses inexactes mais plausibles, et qu'une confiance excessive sans vérification mène à des décisions erronées. L'audit de Trafikverket pointait la même chose : la façon dont les réponses ont été utilisées, en plus de ce qui a été saisi.
Nommez donc une personne par usage qui relit avant que ça sorte : un devis, un mail à un client, une réponse à un candidat. Nous appliquons la même règle à nos propres agents : ils préparent, et rien ne part chez un tiers sans qu'un humain l'ait validé. Si vous allez plus loin et confiez des accès à un agent, lisez quoi ouvrir à un agent IA, et quoi garder.
Faut-il interdire ChatGPT dans l'entreprise ?
Interdire sans proposer d'alternative déplace le problème : les salariés continuent sur leur téléphone. Les services suédois eux-mêmes n'ont pas tout coupé : ils ont fermé l'accès direct et gardé un accès encadré pour une partie du personnel. Pour une PME, l'équivalent consiste à bloquer les comptes personnels pour le travail et à ouvrir un compte professionnel sur l'outil retenu, avec la charte d'une page.
Si vos équipes ont construit des GPT personnalisés ou des automatisations sur des comptes personnels, prévoyez leur migration : nous détaillons la méthode dans migrer ses GPT personnalisés.
Par où commencer cette semaine
- Demandez à chaque équipe quels assistants elle utilise, avec quel compte, pour quoi. Sans jugement : le but est un état des lieux.
- Retenez un assistant par usage et ouvrez-le en offre entreprise, avec des adresses professionnelles et un administrateur nommé.
- Vérifiez le contrat de traitement des données de l'éditeur et les réglages de réutilisation, puis écrivez la règle des données en trois colonnes.
- Nommez qui relit quoi avant que ça sorte, et revoyez la liste tous les six mois.
Ce que cet article ne dit pas : combien de PME françaises sont dans ce cas. Nous n'avons pas encore de relevé fiable sur ce point ; nous le publierons quand nous l'aurons.
FAQ
ChatGPT Plus suffit-il pour une utilisation professionnelle ?
ChatGPT Plus est une offre personnelle : selon OpenAI, le partage des données pour améliorer les modèles y est activé par défaut, et le compte appartient au salarié. Pour un usage d'équipe, les offres Business ou Enterprise donnent une administration centrale et des engagements écrits sur vos données.
Copilot est-il plus sûr que ChatGPT ou Claude ?
Rien ne permet de le dire de façon générale. Les trois éditeurs proposent des offres entreprise avec un contrat de traitement des données et un engagement de non-entraînement par défaut. Copilot a l'avantage de reprendre les droits déjà réglés dans Microsoft 365, ce qui suppose que ces droits soient bien réglés.
Faut-il un contrat de sous-traitance avec l'éditeur de l'assistant IA ?
Oui, dès que des données personnelles de clients ou de salariés entrent dans l'outil, selon la CNIL. Le contrat précise les responsabilités et les accès aux données, et les transferts hors de l'Union européenne doivent être encadrés.
Comment savoir quels outils d'IA mes salariés utilisent déjà ?
Demandez-le simplement, équipe par équipe, en précisant que le but est de choisir un outil commun. Les journaux de votre pare-feu ou de votre messagerie peuvent compléter, mais la question directe donne en général la réponse la plus complète.