ChatGPT en entreprise : cadrer l'adoption sans la subir

La demande arrive presque toujours dans le même ordre. Une direction se demande s'il faut autoriser ChatGPT, alors qu'une partie des équipes s'en sert depuis des mois sur des comptes personnels, avec des documents internes copiés dedans. L'arbitrage porte donc rarement sur l'autorisation. Il porte sur le cadre : quel mode d'accès, quelles données admises en entrée, quels usages écrits noir sur blanc, et quoi observer pour savoir si la dépense produit quelque chose. Les chiffres ci-dessous sont ceux du 9 août 2026, sources ouvertes le jour même, et le plan de travail qui suit tient en trois semaines dans une entreprise de cinquante personnes.

L'usage tourne déjà quand la direction se pose la question

L'usage précède la décision, dans à peu près tous les dossiers que nous ouvrons. Les chiffres publics le confirment à l'échelle des entreprises. En 2025, 18 % des entreprises françaises de 10 salariés ou plus déclarent utiliser au moins une technologie d'intelligence artificielle, contre 10 % un an plus tôt, d'après l'Insee. Le taux atteint 15 % entre 10 et 49 salariés, 31 % entre 50 et 249, et 58 % au-delà de 250. En deux ans, il a été multiplié par trois.

Cette statistique mesure l'entreprise qui déclare un usage organisé, pas le salarié qui ouvre un onglet entre deux réunions. L'écart entre les deux est lui aussi documenté : dans l'enquête que Microsoft et LinkedIn ont menée auprès de 31 000 personnes en 2024, 78 % des utilisateurs d'IA au travail apportent leur propre outil, proportion qui monte à 80 % dans les petites et moyennes entreprises, et 52 % rechignent à admettre qu'ils s'en servent pour leurs tâches les plus importantes.

La première action utile est donc une mesure, pas une note de service. Trois sources donnent une image honnête en une demi-journée : les journaux du proxy ou du pare-feu sur les domaines des assistants, les abonnements personnels remontés en note de frais, et une question posée franchement en réunion d'équipe, sans menace de sanction. Le résultat surprend souvent les directions, surtout dans les métiers qui produisent de l'écrit toute la journée.

Une interdiction posée sans cette mesure déplace l'usage vers le téléphone personnel, hors de toute visibilité, et prive l'entreprise du seul levier qui reste : savoir qui fait quoi avec quelles données. Autant partir du réel et cadrer ce qui existe.

Ce que le plan Business change, et ce qu'il ne change pas

Le plan Business déplace deux choses, le contrat et l'administration, et il n'en déplace pas une troisième que beaucoup lui prêtent. Au 9 août 2026, la page tarifaire d'OpenAI affiche 20 $ par utilisateur et par mois en facturation annuelle, 25 $ en facturation mensuelle, avec un minimum de deux utilisateurs. En échange : un espace de travail administré, l'authentification unique SAML, la facturation centralisée, des contrôles de dépense, et l'engagement de ne pas entraîner les modèles sur les données de l'entreprise par défaut.

La page consacrée à la confidentialité des offres professionnelles est plus instructive par ce qu'elle réserve. OpenAI y liste la maîtrise de la durée de conservation pour les offres Enterprise, Edu et santé, et pas pour Business. Même chose pour la résidence des données dans dix régions, les journaux de conformité, la gestion des clés de chiffrement et le provisionnement automatique des comptes, rangés du côté Enterprise, dont le tarif se négocie au cas par cas.

Deux détails d'exploitation méritent d'être connus avant de signer. Le centre d'aide d'OpenAI indique que les sièges Codex ne sont plus proposés aux nouveaux espaces de travail Business depuis le 24 juin 2026, et qu'à compter du 19 août 2026 tout siège ajouté est facturé au moment de l'ajout, au prorata de la période en cours, au lieu d'apparaître sur une facture ultérieure. Une équipe qui grossit par à-coups verra donc sa facturation bouger plus souvent.

Sources : page tarifaire et page de confidentialité professionnelle d'OpenAI, consultées le 9 août 2026. Le plan Business se lit comme un plancher contractuel, correct pour de la rédaction, de l'analyse de documents publics et du code non sensible. Au-delà, la question se déplace vers l'offre Enterprise ou vers un accès par interface de programmation.

Le calcul à poser avant d'acheter des sièges

Le budget se calcule en trente secondes et il bloque rarement la décision. Trente personnes équipées en facturation annuelle représentent 600 $ par mois, soit 7 200 $ sur l'année pour toute l'équipe. Le poste qui coûte cher arrive plus tard, sous forme de sièges payés pour des gens qui ne s'en servent pas, et de temps passé à rattraper des sorties non contrôlées.

L'erreur classique consiste à acheter des licences pour tout le monde le premier jour, parce que le tarif au siège rend le geste indolore. Trois mois après, une partie des comptes n'a jamais dépassé la deuxième conversation, personne ne sait dire quel travail a réellement changé, et le renouvellement se discute à l'aveugle. La séquence qui tient mieux commence par une cohorte de dix à quinze personnes sur deux métiers volontaires, avec un objectif écrit et une date de bilan.

Le choix des métiers compte plus que le nombre de sièges. Les équipes qui produisent de l'écrit structuré et répétitif, les fonctions support qui traitent des documents entrants, les développeurs, obtiennent un résultat visible en quelques jours. Les métiers dont la valeur tient à un jugement rare, à une négociation ou à une relation, en tirent beaucoup moins à court terme. Si aucun cas d'usage n'est identifié avant l'achat, le sujet à traiter est en amont, et notre article sur la façon de démarrer un premier chantier IA couvre cette étape.

Écrire le périmètre avant d'ouvrir les licences

Le périmètre tient sur une page et il se rédige avant la première connexion. La CNIL recommande de partir des besoins concrets, de définir une liste d'usages autorisés et une liste d'usages interdits, de ne pas confier de décision au système, et de former les utilisateurs finaux au fonctionnement comme aux limites de l'outil avant de leur en donner l'accès. La même autorité recommande aussi de ne pas fournir de données personnelles au système, et considère qu'une solution installée sur vos propres serveurs devient préférable dès que l'usage prévu porte sur des documents sensibles ou stratégiques.

Cette formation n'est plus une bonne pratique facultative. L'article 4 du règlement européen sur l'intelligence artificielle impose aux organisations qui déploient des systèmes d'IA de garantir un niveau suffisant de maîtrise de l'IA chez les personnes qui les utilisent pour leur compte, en tenant compte de leurs connaissances et du contexte d'utilisation. Une PME de quarante personnes n'a pas besoin d'un programme de formation certifiant, elle a besoin d'une session d'une heure documentée et d'une trace écrite.

Dans les faits, un périmètre lisible tient en quatre listes courtes : les usages encouragés avec un exemple par métier, les données jamais admises en entrée (données de santé, éléments d'un dossier RH nominatif, code sous contrat de confidentialité, secrets d'authentification), les décisions qui restent humaines, et le nom de la personne à qui on pose une question en cas de doute. Les chartes de dix pages écrites par un cabinet extérieur finissent rangées sans être lues. Le sujet de fond, articulation entre RGPD et règlement européen, est traité dans notre article sur la gouvernance de l'IA en entreprise.

Les connecteurs révèlent l'état réel de vos droits d'accès

Brancher l'assistant sur la messagerie, le stockage de fichiers et les outils métier rend visible en quelques minutes tout ce que vos partages de fichiers laissent traîner depuis des années. Le principe technique tient en une phrase : l'assistant hérite des droits de la personne qui pose la question. Il n'ouvre aucune porte fermée. Il rend en revanche instantanément trouvable tout ce qui était théoriquement accessible et pratiquement enfoui, ce qui n'est pas le même régime de confidentialité.

Sur les projets où nous branchons ces connecteurs, l'étape qui prend du temps n'est presque jamais la configuration. C'est l'inventaire des partages trop larges accumulés depuis des années : le dossier de la direction partagé à toute l'organisation en 2021 pour dépanner quelqu'un, l'export de paie déposé dans un espace commun, le tableau des salaires oublié dans un dossier de campagne de recrutement. Une recherche en langage naturel remonte cela en trois secondes, sans intention particulière de la part de celui qui pose la question.

La séquence saine consiste à passer en revue les partages ouverts à toute l'organisation avant d'activer le moindre connecteur, à restreindre les espaces RH, juridique et financier, puis à activer les sources une par une avec un temps d'observation entre chacune. Le détail des intégrations possibles et de leurs limites figure dans notre article sur la manière de connecter ChatGPT à vos outils métier.

Mesurer autre chose que le nombre de licences activées

Le taux d'activation des comptes ne dit rien de la valeur produite, et c'est pourtant l'indicateur que remontent la plupart des tableaux de bord. Dans son étude 2026, menée auprès de 20 000 travailleurs utilisant l'IA dans dix pays, Microsoft observe que 66 % d'entre eux disent consacrer plus de temps à du travail à forte valeur, que 86 % traitent la sortie de l'IA comme un point de départ dont ils restent responsables, et que les usagers les plus avancés ne représentent que 16 % du panel.

Trois indicateurs suffisent pour trancher au bout d'un trimestre. Le délai de production d'un livrable identifié à l'avance, mesuré avant et après, sur le même type de dossier. Le taux de reprise, c'est-à-dire la part des sorties qui repartent en correction lourde. Et le nombre de cas d'usage documentés puis partagés entre équipes, qui est le meilleur signal d'une adoption qui se propage toute seule.

Un point du même rapport de l'Insee mérite d'être pris au sérieux par les directions : parmi les entreprises qui n'utilisent pas l'IA, 71 % déclarent ne pas en voir l'utilité et 54 % évoquent un manque d'expertise, et plus de la moitié des entreprises utilisatrices se disent freinées par ce même manque. Le budget de formation pèse donc plus lourd que le budget de licences. Quand les volumes traités grimpent, la facture d'usage devient à son tour un sujet, que nous détaillons dans notre article sur la maîtrise des coûts d'un usage LLM.

Quand ChatGPT arrête d'être le bon outil

Quatre signaux indiquent qu'un espace de travail ChatGPT a atteint sa limite, et ils apparaissent une fois que l'outil est entré dans les habitudes. Le premier est le volume : quand la même tâche est répétée des centaines de fois par mois, la faire exécuter à la main dans une conversation coûte du temps humain pour rien. Le deuxième est l'intégration : le besoin d'écrire dans un outil métier, de déclencher une action, de suivre un dossier de bout en bout dépasse ce qu'un assistant conversationnel fait proprement.

Le troisième signal tient à la nature des données. Un dossier de santé, une pièce d'un contentieux, des éléments couverts par un accord de confidentialité strict ou une exigence d'hébergement en France appellent une autre architecture, avec un fournisseur choisi pour sa localisation et un journal des accès. Le quatrième est la traçabilité : le besoin de rejouer une décision, de savoir quelle version du modèle et quelles sources ont produit telle réponse, ne se satisfait pas d'un historique de conversation.

Passé ces seuils, l'accès par interface de programmation ou une chaîne de traitement hébergée devient la voie économique, avec des agents IA branchés sur vos outils plutôt qu'un assistant généraliste ouvert à tous. Le chemin de sortie, ses déclencheurs et ses pièges sont décrits dans notre retour sur la migration vers une chaîne IA maîtrisée. Si vous hésitez entre étendre les licences et bâtir quelque chose de plus intégré, un cadrage d'une heure suffit en général à trancher, et vous pouvez contacter Noxcod pour le poser à plat.

Questions fréquentes

Peut-on interdire ChatGPT dans son entreprise ?

Juridiquement oui, par une consigne inscrite dans la charte informatique. Techniquement, un blocage réseau ne couvre ni le téléphone personnel ni le poste en télétravail hors VPN. Une interdiction sans alternative pousse l'usage vers des canaux invisibles, avec les mêmes données collées dans les mêmes outils. Fournir un accès administré, avec un périmètre écrit, protège davantage l'entreprise qu'une interdiction que personne ne peut faire respecter.

Le plan Business suffit-il pour être en règle avec le RGPD ?

Il apporte des garanties contractuelles utiles, notamment l'absence d'entraînement sur les données de l'entreprise par défaut, mais il ne fait pas la conformité à votre place. Restent à votre charge le registre des traitements, l'information des personnes, la base légale, l'analyse d'impact quand elle s'impose, et le périmètre des données admises en entrée. La maîtrise de la durée de conservation, elle, n'est listée par OpenAI que sur les offres Enterprise, Edu et santé.

Faut-il passer à l'offre Enterprise pour cinquante personnes ?

Rarement au démarrage. Le tarif se négocie, le cycle de vente prend des semaines et les fonctions qui la distinguent, provisionnement automatique des comptes, résidence des données, gestion des clés, journaux de conformité, ne servent que si vous avez déjà une politique interne qui les exploite. Un espace Business bien cadré, suivi pendant deux trimestres, donne les arguments chiffrés pour négocier ensuite.

Que faire des abonnements personnels déjà payés par les salariés ?

Les recenser d'abord, puis les basculer sur l'espace de travail de l'entreprise. Un abonnement personnel utilisé pour du travail place des documents internes sous un contrat conclu par le salarié, et l'entreprise perd tout accès à l'historique le jour où la personne part. Le remboursement en note de frais aggrave la situation puisqu'il vaut acceptation tacite, sans aucune des garanties d'un espace administré.

Combien de temps pour cadrer l'adoption ?

Trois semaines suffisent dans une entreprise de cinquante personnes. Une semaine pour mesurer l'usage existant et choisir la cohorte de départ, une semaine pour écrire le périmètre et tenir la session de formation, une semaine pour ouvrir les accès et vérifier les partages de fichiers avant d'activer les connecteurs. Le bilan chiffré se pose à trois mois, pas avant, le temps que les usages se stabilisent.