Utiliser ChatGPT au travail sans précaution peut coûter très cher : amendes CNIL, licenciement, préjudice réputationnel. Entre comptes personnels à risque et offres professionnelles sécurisées, les entreprises et salariés doivent comprendre les enjeux financiers et juridiques pour éviter des dégâts chiffrés en dizaines de milliers d’euros.
ChatGPT au travail : comment une mauvaise utilisation peut coûter cher
Par
Publié le 8 novembre 2026 à 17h14
45%des entreprises ont officiellement déployé l'IA générative en septembre 2026
Un employé municipal charge des CV et des dossiers d'aide à la jeunesse dans ChatGPT gratuit pour gagner du temps. Quelques semaines plus tard, la ville d'Eindhoven découvre la fuite et notifie l'autorité néerlandaise. Résultat : une violation du RGPD, une enquête administrative et des dizaines de milliers d'euros de dégâts réputationnels. Ce scénario s'est produit entre septembre et octobre 2025, et il révèle une réalité méconnue : utiliser ChatGPT au travail sans précaution peut coûter très cher, tant à l'entreprise qu'au salarié.
Quand ChatGPT gratuit devient un gouffre financier pour l'entreprise
Le compte personnel : une bombe à retardement pour les données sensibles
La majorité des utilisateurs de ChatGPT en entreprise recourent à un compte personnel gratuit ou payant (Free, Plus, Pro). Or, ces formules activent par défaut le partage des données pour améliorer les modèles d'OpenAI. Concrètement, tout ce qui est tapé dans l'interface peut servir à entraîner l'intelligence artificielle, même si l'utilisateur désactive cette option dans les paramètres. Une conversation supprimée n'est d'ailleurs pas effacée immédiatement : elle reste stockée jusqu'à 30 jours pour des raisons de sécurité, selon les conditions d'utilisation d'OpenAI.
Pour les entreprises, cela signifie qu'un salarié qui copie-colle des contrats, des marges commerciales ou des coordonnées clients expose l'organisation à une fuite de données. Remplacer un nom par « Client A » ne suffit pas à anonymiser une information si le contexte permet d'identifier la personne concernée. L'article L. 151-1 du Code de commerce protège une information en tant que secret des affaires uniquement si elle fait l'objet de « mesures de protection raisonnables ». Charger ces données dans un outil public sans garantie contractuelle constitue donc une négligence.
Fuite de données, amende CNIL : le vrai coût caché
Le RGPD impose aux entreprises de notifier la CNIL dans les 72 heures suivant la découverte d'une violation de données personnelles. Les amendes peuvent atteindre 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros, selon le montant le plus élevé. En août 2024, l'autorité néerlandaise avait déjà alerté sur des fuites de données médicales et d'adresses clients causées par des salariés utilisant des chatbots publics. Le cas d'Eindhoven, révélé en octobre 2025, confirme que le risque n'est pas théorique.
Au-delà des sanctions financières, les conséquences réputationnelles pèsent lourd. Une entreprise qui perd la confiance de ses clients ou partenaires subit un préjudice économique difficile à chiffrer mais bien réel. Les coûts indirects (audit juridique, communication de crise, renforcement des systèmes de sécurité) s'ajoutent à la facture.
Les responsabilités financières du salarié en cas de sinistre
Qui paie réellement en cas de violation du RGPD ?
L'employeur reste le responsable légal du traitement des données personnelles. Toutefois, le salarié qui enfreint les règles internes ou les obligations de confidentialité peut être sanctionné disciplinairement, allant de l'avertissement au licenciement pour faute grave. Selon Yann-Maël Larher, avocat en droit du travail et du numérique, « ce qui n'est pas interdit est en principe autorisé. Le salarié a le droit d'utiliser l'intelligence artificielle, comme il a eu le droit d'utiliser Internet. Mais l'absence de charte IA ne signifie pas l'absence de règles applicables : les obligations de loyauté, de confidentialité et de sécurité peuvent déjà s'imposer. »
En pratique, un salarié qui cause une violation du RGPD par négligence ou imprudence peut voir sa responsabilité civile engagée. L'entreprise peut se retourner contre lui pour obtenir réparation du préjudice subi, notamment si elle a formalisé une charte interdisant l'usage d'outils non homologués. Le 21 mai 2026, la cour d'appel de Paris a confirmé la suspension de l'usage de ChatGPT au Groupe Moniteur pour défaut de consultation préalable du CSE, illustrant que les entreprises doivent encadrer ces pratiques sous peine de blocage judiciaire.
Le cas Eindhoven : 100 000 euros de dégâts pour une mauvaise pratique
Entre le 23 septembre et le 23 octobre 2025, un contrôle interne de la ville d'Eindhoven a révélé que plusieurs agents avaient chargé des documents contenant des données personnelles (CV, dossiers d'aide à la jeunesse) dans des chatbots publics. L'incident a été notifié à l'autorité néerlandaise le 23 octobre 2025. Bien que le montant exact de l'amende n'ait pas été rendu public, les experts estiment le coût global (amende, audit, communication, renforcement des systèmes) à plus de 100 000 euros.
George Kassar, enseignant et chercheur à l'Ascencia Business School, a interrogé 230 répondants sur l'utilisation de ChatGPT en entreprise. Il observe que « tout leur travail est soudain apparu comme 'entaché', quelle que soit sa qualité réelle. Depuis, chaque livrable déclenche la même question : 'Est-ce que c'est fait avec l'IA ?' » La stigmatisation professionnelle s'ajoute aux risques financiers, fragilisant la carrière des salariés pris en défaut.
Comptes Business vs Free : l'écart de prix cache une différence de sécurité
Pourquoi investir dans un compte professionnel d'OpenAI
Depuis le 1er janvier 2026, l'OpenAI Services Agreement limite l'usage des contenus à la fourniture du service pour les offres Business, Enterprise et API. Ces formules s'engagent par défaut à ne pas entraîner leurs modèles sur les contenus du client, contrairement aux comptes personnels. L'écart de prix est significatif : un compte Free ne coûte rien, un compte Plus revient à 20 dollars par mois, tandis qu'un compte Business ou Enterprise se négocie à plusieurs centaines de dollars par utilisateur et par an selon la taille de l'organisation.
Pourtant, cet investissement protège l'entreprise juridiquement. En cas de fuite, l'employeur peut démontrer qu'il a mis en place des « mesures de protection raisonnables » au sens du Code de commerce et du RGPD. À l'inverse, tolérer l'usage de comptes personnels expose l'organisation à une responsabilité pleine et entière. Selon une étude de l'Observatoire de Greenworking et Ipsos bva publiée en septembre 2026, seuls 45 % des salariés du privé déclarent que leur entreprise a officiellement déployé l'IA générative. Plus inquiétant encore, seulement 33 % des utilisateurs d'IA générative s'en tiennent systématiquement aux outils homologués, ce qui signifie que deux tiers contournent les dispositifs officiels.
Comment protéger son patrimoine professionnel : la charte IA
La formalisation d'une charte IA constitue la première ligne de défense. Elle doit préciser les outils autorisés, les types de données interdites (données personnelles, secrets d'affaires, contrats clients) et les sanctions encourues en cas de manquement. La consultation du CSE est obligatoire avant tout déploiement d'un outil d'IA susceptible de modifier les conditions de travail, comme l'a rappelé l'ordonnance de juillet 2025 suspendant l'usage de ChatGPT au Groupe Moniteur.
Au-delà de la charte, la sensibilisation reste essentielle. George Kassar résume la tension actuelle : « On n'est pas plus serein, on est juste plus productif et plus inquiet. On ne voit pas un comptable cacher qu'il utilise Excel. » L'enjeu consiste à normaliser l'usage de l'IA tout en encadrant les pratiques. Les entreprises qui réussissent cette transition investissent dans la formation, déploient des outils professionnels et instaurent un dialogue transparent avec les salariés.