Le probleme : utiliser ChatGPT en entreprise est un risque #
Chaque jour, des millions d’employes utilisent ChatGPT pour rediger des emails, resumer des documents, generer des rapports. Cela semble anodin. Mais selon un rapport de 2025, 77 % des employes collent des donnees d’entreprise dans des services d’IA comme ChatGPT — et 82 % le font avec des comptes personnels, hors de tout controle de l’entreprise.
Ce phenomene s’appelle shadow AI : l’utilisation non autorisee d’outils d’intelligence artificielle sur le lieu de travail. Et les degats peuvent etre considerables.
Le cas Samsung : du code source divulgue dans ChatGPT #
En 2023, trois ingenieurs Samsung ont colle dans ChatGPT :
- Du code source proprietaire de semi-conducteurs pour chercher un bug
- Du code confidentiel pour resoudre des problemes d’equipements
- L’integralite d’un enregistrement de reunion interne pour en generer le compte rendu
Resultat : Samsung a interdit tous les outils d’IA generative sur ses appareils et reseaux d’entreprise. Ils ne sont pas les seuls : JP Morgan, Goldman Sachs, Apple, Deutsche Bank, Bank of America ont fait de meme.
RGPD et ChatGPT : ce que risque votre entreprise #
L’amende de 15 millions en Italie #
En decembre 2024, l’autorite italienne de protection des donnees a inflige a OpenAI une amende de 15 millions d’euros — la premiere sanction significative au monde pour une entreprise d’IA generative. Les violations constatees :
- Aucune base juridique pour le traitement des donnees personnelles utilisees pour entrainer ChatGPT
- Absence de notification de la violation de donnees de mars 2023
- Information insuffisante : uniquement en anglais et trop vague
- Aucune verification de l’age pour empecher l’acces aux mineurs
Ce qui se passe quand un employe colle des donnees dans ChatGPT #
Du point de vue du RGPD, l’entreprise reste responsable — meme si l’employe a agi sans autorisation. Coller des donnees personnelles (de clients, d’employes, de patients) dans ChatGPT sans base juridique constitue une violation du RGPD imputable au responsable du traitement.
Les consequences possibles :
- Obligation de notification a l’autorite de controle dans les 72 heures (art. 33 RGPD)
- Sanctions pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial
- Atteinte a la reputation incalculable
Le probleme du transfert de donnees vers les Etats-Unis #
ChatGPT traite les donnees sur une infrastructure americaine. Le Data Privacy Framework UE-USA a ete confirme en 2025, mais l’organisation NOYB de Max Schrems a deja annonce un recours devant la Cour de justice de l’UE. Si le cadre est invalide — comme ce fut le cas pour le Privacy Shield en 2020 — tout transfert de donnees personnelles vers OpenAI deviendrait potentiellement illegal.
Reglement sur l’IA : les nouvelles obligations pour les PME #
Le reglement europeen sur l’intelligence artificielle (AI Act, Reg. UE 2024/1689) est entre en vigueur le 1er aout 2024 avec une application progressive :
| Date | Ce qui change |
|---|---|
| Fevrier 2025 | Interdiction des pratiques d’IA inacceptables + obligation de maitrise de l’IA pour tous |
| Aout 2025 | Obligations pour les modeles d’IA a usage general (GPAI) |
| Aout 2026 | Obligations completes pour les systemes d’IA a haut risque, transparence, supervision humaine |
L’obligation de maitrise de l’IA est deja en vigueur #
Depuis le 2 fevrier 2025, toute entreprise utilisant des outils d’IA doit garantir que son personnel possede un “niveau suffisant de maitrise de l’IA”. Cela vaut pour tout le monde — de la PME de 5 salaries a la multinationale.
Le risque ne vient pas de l’outil, mais de l’usage #
Le meme ChatGPT peut etre :
- Risque minimal : pour rediger des brouillons d’emails ou faire du brainstorming
- Haut risque : pour selectionner des candidats, evaluer la solvabilite, ou prendre des decisions qui impactent les personnes
Si vous utilisez l’IA pour des decisions concernant des personnes, des obligations lourdes s’appliquent : evaluation d’impact, supervision humaine, enregistrement dans la base de donnees dediee de l’UE.
Sanctions du reglement sur l’IA #
| Violation | Sanction maximale |
|---|---|
| Pratiques interdites | 35 millions d’euros ou 7 % du chiffre d’affaires |
| Systemes a haut risque | 15 millions d’euros ou 3 % du chiffre d’affaires |
| Informations erronees aux autorites | 7,5 millions d’euros ou 1 % du chiffre d’affaires |
Pour les PME, la sanction est toujours calculee sur le montant le plus bas entre la somme fixe et le pourcentage du chiffre d’affaires. Mais meme le plus bas peut etre significatif.
La solution : l’IA privee #
L’IA privee resout le probleme a la racine : les donnees ne quittent jamais le perimetre de l’entreprise.
Au lieu d’envoyer des donnees a des serveurs americains, un systeme d’IA privee fonctionne sur une infrastructure controlee — europeenne, on-premise, ou dans le datacenter de votre prestataire certifie. Les modeles de langage (LLM) sont executes localement, les documents restent la ou ils sont, et aucune donnee ne finit dans l’entrainement de modeles tiers.
Ce qui change avec l’IA privee #
| ChatGPT (cloud) | IA privee | |
|---|---|---|
| Ou vont les donnees | Serveurs USA (OpenAI) | Infrastructure controlee |
| Entrainement sur vos donnees | Possible (offre gratuite) | Jamais |
| Conformite RGPD | Complexe, risquee | Native |
| Conformite AI Act | Responsabilite de l’utilisateur | Integree des la conception |
| Transfert hors UE | Oui | Non |
| Controle des acces | Limite | Complet |
| Piste d’audit | Partielle | Complete |
Comment fonctionne PRISMA, la plateforme d’IA privee de HTX #
Chez HTX, nous avons construit PRISMA — une plateforme d’IA privee concue pour les entreprises qui traitent des donnees sensibles.
Ou opere PRISMA #
PRISMA peut operer au sein du Data Center du BIC Incubatori FVG, l’incubateur certifie de la Region Friuli Venezia Giulia. Infrastructure dediee, connectivite redondante, securite physique et logique. Pour les charges necessitant une puissance superieure, nous nous appuyons sur TriesteValley HPC, le cluster de calcul haute performance equipe de GPU NVIDIA.
Ce que fait PRISMA #
- Chat IA d’entreprise : un assistant IA qui repond uniquement sur la base de vos documents internes (RAG — Retrieval Augmented Generation)
- Text-to-SQL (MANTA) : posez des questions en langage naturel a vos bases de donnees, obtenez des reponses precises sans ecrire de code
- Classification IA (KOI) : des modeles entraines sur vos donnees pour classer, categoriser, decider — en toute transparence et sous supervision humaine
- Aucune donnee ne sort : tout reste sur une infrastructure europeenne, sous votre controle
Pourquoi Trieste #
HTX opere au sein du pole scientifique de Trieste — la ville europeenne ayant la plus forte densite de chercheurs par habitant (37 pour 1 000 travailleurs). En avril 2025 est ne ici l’AGORAI Innovation Hub, le partenariat entre Generali et Google Cloud pour l’IA. Notre ecosysteme comprend SISSA, ICTP, l’Universite de Trieste, Fincantieri, illycaffe'.
Que faire maintenant : 5 etapes pour votre entreprise #
- Faites un audit des outils d’IA utilises par vos employes — y compris ceux non autorises
- Classez les usages par niveau de risque selon le reglement sur l’IA (minimal, limite, eleve)
- Lancez la formation a la maitrise de l’IA — elle est obligatoire depuis fevrier 2025
- Redigez une politique d’entreprise sur l’utilisation de l’IA definissant ce qui est permis et ce qui ne l’est pas
- Evaluez une solution d’IA privee qui maintient les donnees sous votre controle
Vous souhaitez en savoir plus ? #
Si vous voulez comprendre comment l’IA privee peut fonctionner dans votre entreprise — sans risques RGPD, sans transferts hors UE, sans shadow AI — ecrivez-nous. Nous vous repondons sous 24 heures.
Cet article a ete redige par l’equipe de HTX — Human Technology eXcellence. Nous concevons des systemes d’intelligence artificielle privee pour la sante et l’industrie, depuis notre datacenter a Trieste.