Claude, ChatGPT, Mistral en PME : les risques et comment les encadrer

L'IA générative est entrée dans les PME sans projet ni budget. Un commercial résume une proposition avec ChatGPT, une assistante demande à Claude de reformuler un e-mail, un développeur colle du code dans Mistral pour trouver une erreur. Chaque geste fait gagner dix minutes. Chacun peut aussi envoyer hors de l'entreprise un contrat, un fichier client ou un secret de fabrication.

Selon le Microsoft Work Trend Index 2024, 75 % des salariés des métiers de bureau utilisent l'IA générative au travail, 78 % de ceux qui l'utilisent apportent leurs propres outils, et 52 % hésitent à reconnaître qu'ils s'en servent pour leurs tâches les plus importantes. Le sujet n'est donc plus de savoir si vos équipes utilisent ces outils, mais dans quelles conditions.

Quels sont les risques de Claude et ChatGPT pour une PME ?

Les risques viennent rarement de l'outil lui-même. Ils viennent de ce qu'on y met, du compte avec lequel on s'en sert et de la confiance qu'on accorde à ses réponses.

Les données envoyées sortent de l'entreprise. ChatGPT (OpenAI), Claude (Anthropic), Grok (xAI), Gemini (Google) et Mistral sont des services en ligne. Ce que vous tapez, et les documents que vous joignez, sont traités sur les serveurs de l'éditeur. Selon la version et les réglages, ces échanges peuvent être conservés, relus par des équipes de modération ou servir à améliorer les modèles. Un compte rendu collé avec un numéro de sécurité sociale oublié en bas de page, c'est une donnée personnelle transmise à un tiers.

Le Shadow AI : des comptes personnels hors de tout contrôle. Le Shadow AI, c'est l'usage d'outils d'IA avec des comptes personnels, sans validation de l'entreprise. Personne ne sait quels documents sont partis, ni où. Nous détaillons ce risque dans notre article Shadow AI : le risque invisible qui menace votre entreprise.

Les réponses fausses présentées avec assurance. Ces outils peuvent inventer une référence juridique, un chiffre ou une clause avec le même aplomb qu'une réponse juste. Sur un sujet juridique, fiscal ou contractuel, une réponse non vérifiée devient une erreur signée par l'entreprise.

Comptes volés et mots de passe. Un compte ChatGPT ou Claude garde l'historique des conversations. S'il est protégé par un mot de passe réutilisé ailleurs, tout cet historique est exposé. Selon le Microsoft Digital Defense Report 2024, plus de 99 % des attaques contre les identités sont des attaques par mot de passe : l'authentification à plusieurs facteurs reste la première protection.

Claude, ChatGPT, Mistral, Grok : versions gratuites et versions entreprise

Le même outil n'offre pas les mêmes garanties selon la version utilisée.

• Versions gratuites et personnelles : aucun contrat entre l'éditeur et votre entreprise, aucune visibilité pour vous sur ce qui est envoyé, réglages laissés au choix de chaque salarié.
• Versions professionnelles (équipe, entreprise) : engagement de l'éditeur de ne pas utiliser vos échanges pour entraîner ses modèles, gestion centralisée des comptes, journalisation selon les offres. C'est le minimum dès que l'outil touche des données de l'entreprise.
• Mistral : éditeur français, avec des offres qui permettent un hébergement en Europe ou dans votre propre infrastructure pour les usages les plus sensibles.
• Grok : moins répandu en entreprise ; les mêmes règles s'appliquent avant de l'autoriser.

Une version entreprise protège ce que l'éditeur fait de vos données. Elle ne vous dit pas ce que vos salariés y envoient : c'est le rôle de la charte d'usage et du filtrage, décrits plus bas.

Ce que disent les règles : RGPD, AI Act, NIS2

RGPD. Envoyer une donnée personnelle (client, salarié, patient) à un outil d'IA est un traitement de données : il faut une base légale, un contrat avec le prestataire et, en cas de fuite, une notification à la CNIL dans les 72 heures. Les sanctions peuvent atteindre 4 % du chiffre d'affaires annuel mondial. La CNIL a reçu 5 629 notifications de violations de données personnelles en 2024, environ 20 % de plus qu'en 2023 (rapport annuel 2024 de la CNIL).

AI Act (règlement européen sur l'IA). Depuis le 2 février 2025, une entreprise qui utilise des outils d'IA doit prendre des mesures pour favoriser la maîtrise de l'IA par son personnel (article 4, reformulé en 2026 par le règlement omnibus sur l'IA). Les obligations propres aux systèmes « à haut risque » (tri de CV, évaluation de la solvabilité, par exemple) s'appliqueront à partir du 2 décembre 2027. Les sanctions les plus lourdes atteignent 35 millions d'euros ou 7 % du chiffre d'affaires mondial.

NIS2. La directive européenne NIS2 étend les obligations de cybersécurité à de nombreuses entreprises moyennes de secteurs jugés critiques. En France, la loi qui la transpose (projet de loi Résilience) n'était pas encore définitivement adoptée en octobre 2026. Même si votre PME n'est pas directement concernée, vos clients qui le sont vous demanderont des garanties sur votre sécurité, y compris sur vos usages de l'IA. Pour vous préparer : notre guide pratique de conformité NIS2 pour les PME.

Comment encadrer l'IA générative sans l'interdire

Interdire ChatGPT ne fonctionne pas : l'usage passe sur le téléphone personnel et devient invisible. Les PME qui s'en sortent disent « oui, voici comment ». Cinq étapes, dans cet ordre.

1. Écrire une charte d'usage. Une page suffit : les données qui ne doivent jamais partir vers une IA externe (identifiants, données clients, contrats, données personnelles, code stratégique), celles qui peuvent partir sous condition, et les outils autorisés selon les métiers.

2. Choisir les outils et les versions autorisés. Un ou deux outils, en version professionnelle, avec des comptes créés par l'entreprise et rattachés à votre annuaire (Microsoft Entra ID ou Google Workspace). Les comptes personnels sont fermés pour un usage professionnel.

3. Filtrer ce qui part vers l'IA. Une charte ne rattrape pas une erreur de copier-coller. Une passerelle placée entre vos équipes et les outils d'IA le fait : c'est le principe de Proxy IA. Avant chaque envoi, elle remplace les données sensibles (noms, SIREN, coordonnées, données bancaires, identifiants techniques) par des valeurs de substitution, applique vos règles par équipe et garde un journal horodaté de chaque demande. Vos équipes continuent d'utiliser ChatGPT, Claude, Mistral ou Copilot ; le fournisseur d'IA ne voit pas les vraies valeurs. Proxy IA est hébergé et traité en France, avec un contrat de sous-traitance RGPD fourni.

4. Former les équipes. Des exemples tirés de votre activité valent mieux qu'un module en ligne générique : ce qui peut partir, ce qui ne doit pas partir, et comment vérifier une réponse. C'est aussi la façon la plus simple de répondre à l'article 4 de l'AI Act.

5. Vérifier les bases de sécurité. Authentification à plusieurs facteurs sur tous les comptes, droits d'accès revus, sauvegardes testées. Un audit de sécurité informatique dit par où commencer.

Et l'IA au service de la cybersécurité ?

L'IA sert aussi à se défendre : les outils de détection sur les postes et dans le cloud repèrent un comportement anormal (un poste qui chiffre des dizaines de fichiers, une connexion inhabituelle) et réagissent avant qu'un humain ait lu l'alerte. Pour une PME sans responsable sécurité, c'est un moyen de rattraper une partie du retard. Ces outils ne remplacent ni la charte ni le filtrage : ils protègent le système d'information, pas ce que les salariés envoient volontairement à une IA. Voir notre approche cybersécurité et conformité.

Frequently asked questions

Est-ce dangereux d'utiliser Claude ou ChatGPT en entreprise ?

Pas en soi. Le danger vient des données que les salariés y envoient, des comptes personnels utilisés sans contrôle et des réponses reprises sans vérification. Avec une version professionnelle, une charte d'usage et un filtre sur les données sensibles, une PME peut s'en servir sans exposer ses informations.

Faut-il interdire ChatGPT dans une PME ?

Non. L'interdiction se contourne avec un téléphone personnel et rend l'usage invisible. Il vaut mieux autoriser quelques outils en version professionnelle, dire clairement quelles données ne doivent pas partir et filtrer automatiquement ce qui est envoyé.

Mes données sont-elles utilisées pour entraîner ChatGPT ou Claude ?

Cela dépend de la version et des réglages. Les versions professionnelles s'engagent en général à ne pas utiliser vos échanges pour l'entraînement ; les comptes personnels laissent ce choix à chaque utilisateur. Vérifiez les conditions de l'offre que vous utilisez, et ne comptez pas sur ce seul engagement pour protéger des données sensibles.

Quel budget prévoir pour encadrer l'IA générative ?

Le budget dépend du nombre d'utilisateurs et des outils autorisés. À titre d'exemple, Proxy IA coûte 99 € HT par mois plus 3,50 € HT par utilisateur et par mois, avec un engagement d'un an, soit 414 € HT par mois pour 90 utilisateurs, et 600 € HT de mise en place (formation de 2 heures à distance et première configuration comprises). Les abonnements aux outils d'IA restent à votre charge. Pour faire le point sur votre sécurité avant de commencer, notre diagnostic cyber est un forfait de 1 000 €.

Is my SME affected by NIS2?

Peut-être, si elle travaille dans un des secteurs visés par la directive et dépasse 50 salariés ou 10 millions d'euros de chiffre d'affaires. La loi française de transposition n'était pas encore adoptée définitivement en octobre 2026. Même en dessous des seuils, vos clients concernés vous demanderont des garanties. Notre guide pratique de conformité NIS2 détaille les mesures à prévoir.

Sources : rapport annuel 2024 de la CNIL (avril 2025) ; Microsoft Digital Defense Report 2024 ; Microsoft Work Trend Index 2024 ; règlement (UE) 2024/1689 sur l'intelligence artificielle, modifié par le règlement (UE) 2026/1744 ; directive (UE) 2022/2555 (NIS2) ; état du projet de loi Résilience relevé en octobre 2026.