Gouvernance des données et contrôle d'accès

Gouverner l’IA comme vous gouvernez vos données

Déployer ChatGPT à l’échelle d’une organisation revient à ouvrir un nouveau canal d’accès à vos données. La gouvernance de l’IA n’est donc pas un chantier séparé : elle prolonge celle que vous appliquez déjà à vos outils métier. Trois piliers la structurent — classification, contrôle d’accès, traçabilité — et aucun ne fonctionne sans les deux autres.

Classer avant de configurer

Avant de toucher à la console d’administration, il faut savoir quelles données vos équipes manipulent et à quel niveau de sensibilité elles se situent. Quatre niveaux suffisent en pratique.

Le niveau 1, public, regroupe les informations déjà disponibles à l’extérieur : plaquettes commerciales, communiqués, documentation produit. Aucune restriction. Le niveau 2, interne, couvre ce qui est destiné aux collaborateurs : comptes rendus, procédures, supports de formation. Ces contenus sont utilisables sur une offre professionnelle — Business, Enterprise ou Edu —, mais jamais depuis un compte personnel.

Le niveau 3, confidentiel, réunit les données clients, les contrats et les informations financières non publiques. L’usage reste possible sur une offre professionnelle, de préférence Enterprise pour sa conservation réglable et ses journaux, et avec précautions : passer par les connecteurs, qui respectent les permissions d’origine, plutôt que de copier les documents dans les prompts.

Le niveau 4, restreint, rassemble les secrets industriels, les données de santé et les données personnelles sensibles au sens du RGPD. Elles ne doivent pas transiter par ChatGPT sans une analyse juridique et de sécurité dédiée ; dans le doute, on les traite hors de l’outil.

Où se joue vraiment le contrôle d’accès

ChatGPT Enterprise hérite des permissions de vos systèmes existants, mais ajoute une couche à piloter en propre. L’accès aux modèles se règle dans les paramètres de l’espace et par rôle : un administrateur peut désactiver un modèle, et l’option Pro, propulsée par GPT-6 Astra, dispose de son propre contrôle d’accès. Réserver les options les plus coûteuses aux équipes qui en ont besoin sert autant la maîtrise des coûts que celle des usages.

La création et le partage de GPTs se règlent eux aussi par rôle, et les groupes servent à choisir qui accède à un GPT partagé. Les GPTs doivent cependant être retirés le 11 décembre 2026 au profit des plugins, ou le 11 février 2027 pour les espaces bénéficiant d’une dérogation : votre gouvernance doit déjà couvrir les plugins et les skills qui les remplacent.

L’accès aux documents, via les connecteurs Google Drive ou SharePoint, reprend les permissions existantes : personne n’atteint par ChatGPT un fichier auquel il n’a pas droit dans la source. Cette garantie ne vaut que si vos partages sont propres au départ.

Un projet partagé, enfin, s’ouvre en accès conversation ou en accès édition, à des personnes ou à des groupes. ChatGPT s’appuie sur tout son contenu — conversations, fichiers, instructions —, si bien qu’une personne ajoutée en cours de route en découvre l’historique : ajoutez les gens en connaissance de cause.

Auditer et tracer

Sur Enterprise et Edu, la Compliance Platform donne accès aux journaux et aux métadonnées de l’espace — audit, authentification, applications, et messages des conversations si le propriétaire l’autorise — pour les verser dans vos outils d’eDiscovery, de prévention des fuites de données ou de SIEM. Les journaux de conformité sont immuables, et les messages des conversations verrouillées y figurent aussi : le code qui verrouille une conversation protège l’accès dans ChatGPT, pas l’accès autorisé par la Compliance Platform.

Les alertes arrivent alors dans la console où votre équipe sécurité travaille déjà, et non dans un tableau de bord que personne ne regarde. Les statistiques d’usage de l’Admin Console complètent ce suivi sans entrer dans le contenu des échanges.

Formaliser la politique

Un document de gouvernance de l’IA tient sur quelques pages et couvre cinq points : le périmètre, c’est-à-dire quels outils d’IA sont autorisés ; la classification, qui précise quelles données peuvent être utilisées dans chacun ; les responsabilités, réparties entre DSI, DPO, managers et utilisateurs ; la conduite à tenir en cas d’incident, notamment si un collaborateur a saisi des données restreintes ; et la fréquence de revue, trimestrielle au minimum.

Cette répartition n’a rien de théorique. Le DPO valide la conformité au RGPD, la DSI gère l’infrastructure — SSO, SCIM, connecteurs —, les administrateurs de l’espace et les gestionnaires de groupe supervisent l’usage quotidien, et les champions IA, sur lesquels nous reviendrons en leçon 9, relaient les bonnes pratiques dans chaque équipe.

Les assistants partagés — GPTs, plugins, skills — appellent un traitement particulier, car ils encapsulent des instructions et parfois des données de référence durables. Avant de les ouvrir largement, faites-les passer par quatre étapes.

1. Le créateur documente l’objectif, les instructions et les données de référence.
2. Un administrateur de l’espace vérifie la conformité à la politique de gouvernance.
3. La DSI intervient si l’assistant accède à des sources de données sensibles.
4. La publication se fait avec un propriétaire identifié, responsable de la maintenance.

À quoi cela peut ressembler

Voici un exemple fictif, pour une entreprise de 500 personnes organisée en groupes.

Ce découpage donne à chaque équipe les outils dont elle a besoin sans lui ouvrir les données des autres. Les deux groupes les plus exposés, Direction et Finance, renoncent aux connecteurs documentaires : la commodité y cède devant le risque. Rien de tout cela ne ralentit l’adoption : la gouvernance la sécurise.

À vous de jouer

Classez dix données de votre quotidien. Listez dix types de données que vos équipes manipulent chaque semaine, attribuez à chacun l’un des quatre niveaux, puis notez pour chaque niveau le réglage qui s’impose : offre, rôle, connecteur, mémoire. Les désaccords qui apparaissent entre la DSI et les métiers sont exactement ceux que votre politique doit trancher.

Sources officielles : Managing workspace settings in ChatGPT Enterprise · ChatGPT Enterprise and Edu models and limits · OpenAI Compliance Platform for Enterprise and Edu customers · Projects in ChatGPT · SharePoint app and setup in ChatGPT (centre d’aide OpenAI)

Points clés à retenir

• Classez vos données en quatre niveaux : public, interne, confidentiel (offre professionnelle, avec précautions), restreint (pas dans ChatGPT sans analyse dédiée).
• Le contrôle d’accès joue sur les modèles par rôle, les assistants partagés, les permissions héritées des connecteurs et le périmètre des projets partagés.
• Sur Enterprise et Edu, la Compliance Platform verse journaux et métadonnées dans vos outils d’eDiscovery, de DLP ou de SIEM.
• Les GPTs seront retirés le 11 décembre 2026 : étendez dès maintenant votre gouvernance aux plugins et aux skills.
• Tout assistant partagé largement passe par une validation en quatre étapes et garde un propriétaire identifié.