ChatGPT en cachette au travail : que risque le salarié ?
Un salarié utilise ChatGPT sans prévenir : sanction, responsabilité du patron, règles à poser. Ce que dit la loi et les 5 gestes à faire dès cette semaine.
Oui, un salarié peut risquer une sanction s'il utilise ChatGPT en cachette. Mais ce n'est pas automatique. Tout dépend de ce qu'il a collé dans l'outil, des règles qui existaient et de la gravité du cas. Pour le patron, le risque est aussi réel : c'est l'entreprise qui répond en général d'une fuite de données. La bonne réponse, dans les deux cas, tient en une page de règles claires.
Pourquoi tant de salariés le font en cachette
Personne n'a envie de passer une heure sur un mail ou un compte rendu. Alors on ouvre ChatGPT dans un onglet. On ne le dit pas, par peur d'être mal vu ou de se voir retirer l'outil.
Le problème, c'est que le non-dit crée le risque. Sans règle, le salarié ne sait pas ce qu'il a le droit de coller. Et le patron ne sait pas ce qui part chez un fournisseur américain.
Ce que risque le salarié
Le Code du travail définit une sanction comme toute mesure de l'employeur, autre qu'une simple remarque orale, prise à la suite d'un comportement jugé fautif. Cela va de l'avertissement écrit au licenciement.
Trois règles protègent le salarié :
- La sanction doit être proportionnée. Le conseil de prud'hommes peut annuler une sanction injustifiée ou disproportionnée.
- Le délai est court. Un fait fautif ne peut pas donner lieu seul à des poursuites disciplinaires au-delà de deux mois après que l'employeur en a eu connaissance, sauf poursuites pénales dans ce délai.
- La procédure doit être respectée. Pour un licenciement, par exemple, il faut convoquer le salarié à un entretien préalable.
Le simple fait d'avoir utilisé ChatGPT n'est donc pas, en soi, une faute lourde. Ce qui pèse, c'est ce qui a été saisi. Et s'il n'existait aucune règle ni interdiction, l'employeur aura plus de mal à défendre une sanction sévère. Pour un cas précis, demandez conseil à un avocat en droit du travail ou à l'inspection du travail.
Ce que risque l'entreprise
La CNIL, l'autorité française de protection des données, est claire dans ses questions-réponses sur l'IA générative (page du 18 juillet 2024). C'est en général l'organisme utilisateur qui engage sa responsabilité en cas de mauvais usage de l'IA par son personnel.
Autrement dit : « c'est le salarié qui l'a fait » ne vous protège pas. Si des données personnelles de clients sont collées dans un outil grand public, vous êtes concerné. Pour le détail, lisez notre article IA et RGPD.
Quatre situations, quatre réactions
Ce tableau est un repère de bon sens, pas un avis juridique.
| Ce que le salarié a fait | Niveau de risque | Réaction raisonnable |
|---|---|---|
| Reformulé un mail sans nom ni chiffre | Faible | En parler, poser la règle |
| Résumé un texte public (article, notice) | Faible | Rien, ou un rappel |
| Collé un devis avec le nom et l'adresse d'un client | Moyen | Entretien, rappel écrit des règles |
| Envoyé une liste clients, des données de santé ou un contrat confidentiel | Élevé | Entretien, évaluation du dommage, conseil juridique |
Vous le voyez : la réponse dépend de la donnée, pas de l'outil.
Patron : cinq gestes à faire cette semaine
- Ne cherchez pas un coupable. Demandez à votre équipe à quoi sert l'IA aujourd'hui. Vous allez découvrir de bons usages.
- Dressez la liste des usages permis. Mails, résumés, idées de posts, tableaux : oui. Données de clients, de santé, contrats : non, sauf outil validé.
- Choisissez un outil payant pour l'équipe, avec un compte professionnel. La CNIL déconseille les comptes créés avec des adresses personnelles et conseille de désactiver, si possible, la réutilisation des données par le fournisseur.
- Écrivez une charte d'une page. Notre modèle de charte IA en 6 règles vous donne la trame. Remettez-la à chacun contre signature.
- Formez l'équipe. La CNIL recommande de former les utilisateurs de façon adaptée et de faire des contrôles réguliers.
Un mot sur le règlement intérieur : il n'est obligatoire qu'à partir de 50 salariés. Dans une petite entreprise, la charte remise par écrit fait le travail.
Salarié : que faire si vous l'utilisez déjà ?
Vous n'avez pas besoin d'avouer une faute. Vous pouvez simplement poser la question.
- Arrêtez de coller des données sensibles : noms de clients, coordonnées, chiffres, documents internes. Remplacez-les par « le client A » ou « 1 000 € ».
- Demandez à votre responsable ce qui est permis, de préférence par mail. Vous aurez une trace.
- Proposez un usage utile : « J'ai gagné une heure sur les comptes rendus, voici comment. »
- Gardez une trace de ce qu'on vous a autorisé.
Exemple : dans une clinique vétérinaire de cinq personnes, la secrétaire résume des consignes de soins avec l'IA, en retirant le nom des propriétaires. La gérante l'apprend, lui demande de montrer sa méthode, et en fait la règle pour toute l'équipe. Résultat : le même gain de temps, avec un cadre.
Et YAOKA dans tout ça ?
L'équipe YAOKA forme les dirigeants, les indépendants et leurs salariés à utiliser l'IA au quotidien, avec des exemples tirés de leur métier. Vous apprenez ce qu'on peut confier à l'outil, ce qu'on ne doit jamais y coller, et vous repartez avec une charte prête à adapter. Ainsi, l'IA sort de l'ombre et devient un outil que toute l'équipe peut utiliser sereinement.
Questions fréquentes
Peut-on être licencié pour avoir utilisé ChatGPT au travail ?
Un licenciement n'est pas impossible, mais il n'est pas automatique. La sanction doit être proportionnée à la faute, et un juge peut annuler une sanction jugée disproportionnée. Reformuler un mail sans donnée sensible n'a pas la même gravité que déposer un fichier clients dans un outil gratuit.
Mon employeur peut-il m'interdire d'utiliser ChatGPT ?
Oui, il peut fixer des règles d'usage des outils de l'entreprise, y compris interdire certains outils ou certaines données. Ces règles doivent être claires et portées à votre connaissance. En cas de doute, demandez-les par écrit.
Le patron est-il responsable si un salarié colle des données clients dans ChatGPT ?
Selon la CNIL, c'est en général l'organisme qui utilise l'IA qui engage sa responsabilité en cas de mauvais usage par son personnel. Même si le salarié a agi seul, le chef d'entreprise doit donc pouvoir montrer qu'il a posé un cadre. Une charte et une courte formation sont les premières preuves.
Combien de temps l'employeur a-t-il pour sanctionner ?
Deux mois à partir du jour où il a eu connaissance des faits, sauf si des poursuites pénales ont été engagées dans ce délai. Passé ce délai, un fait fautif ne peut plus, à lui seul, donner lieu à des poursuites disciplinaires. Mieux vaut donc réagir vite et calmement.
Faut-il un règlement intérieur pour encadrer l'usage de l'IA ?
Le règlement intérieur n'est obligatoire qu'à partir de 50 salariés. En dessous, une charte IA courte, remise à chacun contre signature, suffit pour poser les règles. Si votre entreprise est plus grande, faites-vous conseiller sur la procédure à suivre.
