ChatGPT au cabinet : ce que vos collaborateurs y collent déjà

Sommaire

1. Le problème n'est pas l'outil, c'est le compte personnel
2. Trois modes de déploiement, trois niveaux d'exigence
3. Trier les tâches avant de trier les outils
4. La charte tient sur une page
5. Former, et vérifier que la formation a servi
6. Questions fréquentes

Posez la question en réunion d'équipe et vous obtiendrez trois mains levées sur dix. Posez-la individuellement, et le compte monte. Dans la plupart des cabinets de courtage, l'IA générative n'est pas arrivée par un projet : elle est arrivée par un onglet de navigateur, sur un compte personnel, pour reformuler une réponse à réclamation ou résumer des conditions générales de trente pages. Le sujet n'est plus de savoir s'il faut l'autoriser — c'est déjà fait, sans vous — mais de décider quelles données ont le droit d'y entrer.

C'est un sujet distinct de celui de l'IA branchée sur les conversations clients, qui se règle par un contrat de sous-traitance avec un éditeur. Ici, il n'y a ni contrat, ni facture, ni trace : un collaborateur, un compte gratuit, et le dossier d'un assuré dans la zone de saisie.

Le problème n'est pas l'outil, c'est le compte personnel

Un assistant grand public utilisé depuis un compte privé pose trois problèmes cumulés. Le cabinet ne sait pas quelles données sont sorties : aucune journalisation, aucun inventaire, rien à produire en cas de contrôle ou de demande d'accès d'un client. Les conditions du service permettent souvent, par défaut, la réutilisation des échanges pour améliorer le modèle. Et le jour où le collaborateur part, l'historique part avec lui, sur un compte que le cabinet n'a jamais possédé.

Ajoutez la nature des données en jeu dans un cabinet : identité, coordonnées, composition du foyer, revenus, sinistralité, parfois des éléments de santé pour un contrat de prévoyance ou une déclaration de risque aggravé. Ces derniers relèvent de l'article 9 du RGPD et n'ont rien à faire dans un service dont vous ne maîtrisez ni l'hébergement ni la réutilisation.

La CNIL a publié des questions-réponses sur l'utilisation d'un système d'IA générative qui tranchent la question sans détour : pour des usages non confidentiels, un service grand public reste envisageable « avec des garanties appropriées », à condition d'éviter les comptes personnels et de désactiver la possibilité pour le fournisseur de réutiliser les données d'usage. Dès que l'usage suppose de fournir des données personnelles de clients ou de collaborateurs, ou de la documentation sensible, elle oriente vers un déploiement plus maîtrisé.

Trois modes de déploiement, trois niveaux d'exigence

Mode	Ce que la CNIL en dit	Ce que cela suppose au cabinet
Service grand public, compte professionnel	Envisageable pour les usages non confidentiels, avec des garanties appropriées	Comptes ouverts avec les adresses du cabinet, option de réutilisation des données désactivée, liste écrite de ce qui ne doit jamais y entrer
Service appelé par interface applicative ou solution hébergée	Relation de sous-traitance : le contrat doit préciser les périmètres de responsabilité et les accès autorisés	Contrat de sous-traitance au sens de l'article 28 du RGPD, registre des traitements à jour, durées de conservation fixées
Déploiement sur site	Privilégié pour les données sensibles : limite les risques d'extraction auprès d'un tiers	Compétence technique et budget rarement à la portée d'un cabinet de trois à cinquante personnes

Pour un cabinet de courtage, la lecture pratique de ce tableau est simple : la première ligne pour la bureautique, la deuxième pour tout ce qui touche aux clients, la troisième presque jamais. Ce qui déplace la vraie décision : elle ne porte pas sur l'outil, mais sur le tri des tâches.

Trier les tâches avant de trier les outils

Trois catégories suffisent, et elles se décident une fois pour toutes en comité de direction :

1. Sans donnée client. Reformuler un texte générique, préparer une trame de réunion, se faire expliquer un mécanisme juridique, écrire un modèle de courrier vierge, traduire une clause type. Un service grand public sur compte professionnel convient, à condition que rien de nominatif n'entre dans la requête.
2. Avec données pseudonymisées. Faire relire un projet de lettre de mission dont on a retiré les noms, les numéros de contrat et les montants. Utile, mais fragile : dans un cabinet local, « le garage de la zone artisanale, flotte de neuf véhicules, sinistre grêle en juin » réidentifie le client aussi sûrement que son nom. À réserver aux cas où l'anonymisation est réelle.
3. Avec données clients identifiables. Résumer une conversation, classer une réponse, proposer un brouillon personnalisé, prioriser un portefeuille. Cette catégorie ne sort pas du cadre contractuel du cabinet : elle passe par un outil sous contrat de sous-traitance, avec journalisation, ou elle ne se fait pas.

La troisième ligne est celle qui justifie un outil métier plutôt qu'un onglet. Dans ORIS, l'analyse des messages entrants, les brouillons proposés au courtier et l'auto-réponse sous règles avec escalade humaine s'exécutent à l'intérieur de la plateforme, sur des données déjà présentes dans le CRM du cabinet : pas de copier-coller vers un service tiers, et chaque envoi laisse une trace. Le partage des rôles entre la machine et le conseiller est détaillé dans notre article sur qui valide quoi entre brouillons IA et réponses automatiques, et le choix entre automate scripté et IA supervisée dans notre comparatif chatbot ou IA supervisée.

La charte tient sur une page

La CNIL recommande d'encadrer l'usage « par des politiques ou chartes internes, définissant clairement les usages autorisés et les usages interdits ». Dans un cabinet, cela n'exige pas dix pages. Huit lignes, validées par la direction, annexées au règlement intérieur et rappelées à l'arrivée de chaque collaborateur :

• Les outils autorisés sont nommés ; les autres ne le sont pas.
• L'accès se fait avec l'adresse professionnelle, jamais depuis un compte personnel.
• La réutilisation des conversations par le fournisseur est désactivée dans les paramètres, et cette désactivation est revérifiée une fois par an.
• N'entrent jamais dans une requête : nom, coordonnées, numéro de contrat, numéro de sécurité sociale, coordonnées bancaires, données de santé, pièce d'identité, document reçu d'un client.
• Aucun texte produit par l'IA n'est envoyé à un client ou à une compagnie sans relecture et validation par la personne qui signe.
• L'IA ne formule ni conseil, ni engagement de garantie, ni promesse de tarif : la recommandation reste celle du conseiller, formalisée dans le dossier.
• Un doute se pose au référent désigné, dont le nom figure sur la charte.
• Un incident — donnée collée par erreur, réponse aberrante envoyée — se signale le jour même, sans sanction pour celui qui le signale.

Cette dernière ligne fait plus pour la conformité que les sept autres réunies. Une interdiction sèche ne supprime pas l'usage, elle le rend invisible : le collaborateur qui a collé un dossier par réflexe ne le dira jamais s'il pense y perdre son poste. Et une charte sans alternative crédible produit le même effet, parce que le gain de temps est réel et que personne n'y renonce sur simple consigne.

Former, et vérifier que la formation a servi

La CNIL attend des utilisateurs finaux qu'ils connaissent le fonctionnement et les limites du système, les usages autorisés et interdits, et qu'ils gardent le réflexe d'évaluer de façon critique les réponses obtenues. Cette exigence recoupe l'obligation de maîtrise de l'IA posée par le règlement européen, détaillée dans notre article sur ce que l'AI Act change pour un cabinet de courtage.

Une session d'une heure, deux fois par an, suffit si elle est concrète : montrer une réponse fausse mais parfaitement écrite sur une question de délai de résiliation, faire relire une clause inventée de toutes pièces, demander à chacun de citer une tâche qu'il confierait à l'outil et une qu'il refuserait. Gardez la feuille d'émargement : c'est la seule preuve de formation qu'un cabinet produira facilement le jour où le superviseur ou l'autorité de protection des données pose la question.

Deux vérifications annuelles complètent le dispositif. La première porte sur les paramètres des comptes autorisés, qui changent au gré des mises à jour des services. La seconde est un tour de table honnête : quels outils sont réellement utilisés, y compris ceux qui ne figurent pas sur la liste. C'est en général là que le cabinet découvre l'extension de navigateur que personne n'avait déclarée.

Questions fréquentes

Peut-on interdire purement et simplement l'IA générative au cabinet ?

Juridiquement oui, pratiquement non. L'interdiction sans alternative déplace l'usage vers les téléphones personnels, où le cabinet ne voit plus rien et ne trace plus rien. Mieux vaut autoriser un outil nommé, sur compte professionnel, avec une liste écrite de ce qui ne doit jamais y être saisi.

Un abonnement payant suffit-il à rendre l'usage conforme ?

Non. Une offre professionnelle améliore souvent les paramètres de confidentialité, mais elle ne remplace ni le contrat de sous-traitance quand des données personnelles sont traitées, ni l'inscription du traitement au registre, ni l'information des personnes concernées. La question n'est pas le prix de l'abonnement mais la nature des données que vous y faites entrer.

Faut-il informer les clients que le cabinet utilise l'IA ?

Si des données personnelles sont traitées par un système d'IA, l'information relève du RGPD et prend place dans la politique de confidentialité du cabinet. Par ailleurs, une personne qui interagit directement avec un système conversationnel doit savoir qu'elle ne parle pas à un humain, sauf lorsque cela est manifeste au vu du contexte.

Que faire si un collaborateur a déjà collé un dossier client dans un service grand public ?

Documenter l'incident : date, outil, nature des données, compte utilisé. Supprimer la conversation et l'historique lorsque le service le permet, désactiver la réutilisation des données, puis apprécier le risque pour les personnes concernées afin de décider s'il y a lieu de notifier une violation de données. Le registre des violations se tient dans tous les cas, même en l'absence de notification.

Une charte d'usage est-elle opposable aux salariés ?

Elle le devient si elle suit la procédure applicable au règlement intérieur ou si elle est intégrée aux documents contractuels et portée à la connaissance de chacun contre signature. Faites-la relire par votre conseil social avant diffusion : une charte affichée sans formalisme se plaide mal le jour où elle sert de fondement à une sanction.