Gouvernance des données et contrôle d'accès

Gouverner l’IA comme vous gouvernez vos données

Déployer ChatGPT à l’échelle d’une organisation revient à ouvrir un nouveau canal d’accès à vos données. La gouvernance IA n’est donc pas un chantier séparé : elle prolonge celle que vous appliquez déjà à vos outils métier. Trois piliers la structurent — classification, contrôle d’accès, traçabilité — et aucun ne fonctionne sans les deux autres.

Classer avant de configurer

Avant de toucher à la console d’administration, il faut savoir quelles données vos équipes manipulent et à quel niveau de sensibilité elles se situent. Quatre niveaux suffisent en pratique.

Le niveau 1, public, regroupe les informations déjà disponibles à l’extérieur : plaquettes commerciales, communiqués, documentation produit. Aucune restriction. Le niveau 2, interne, couvre ce qui est destiné aux collaborateurs — comptes rendus, procédures, supports de formation. Ces contenus sont utilisables sur Business et Enterprise, mais jamais depuis un compte personnel.

Le niveau 3, confidentiel, réunit les données clients, les contrats et les informations financières non publiques. L’usage reste possible sur ChatGPT Enterprise uniquement et avec précautions : pas de copie dans les prompts, mais un passage par les intégrations Drive et SharePoint, qui respectent les permissions d’origine.

Le niveau 4, restreint, rassemble les secrets industriels, les données de santé et les données personnelles sensibles au sens du RGPD. Elles ne doivent pas transiter par ChatGPT, Enterprise compris : leur traitement suppose des solutions on-premise ou des API assorties de contrôles supplémentaires.

Où se joue vraiment le contrôle d’accès

ChatGPT Enterprise hérite des permissions de vos systèmes existants, mais ajoute une couche à piloter en propre. L’accès aux modèles se restreint par workspace : réservez GPT-5.6 Sol en raisonnement élevé aux équipes de data science et laissez GPT-5.6 Terra à tout le monde, ce qui sert autant la maîtrise des coûts que celle des usages.

L’accès aux GPTs internes suit la logique du workspace. Un GPT créé dans un espace n’est visible que par ses membres, sauf si vous le publiez à l’échelle de l’organisation — décision qui mérite un arbitrage explicite plutôt qu’un clic distrait.

L’accès aux documents, via les intégrations Drive et SharePoint, reprend les permissions existantes : personne n’atteint par ChatGPT un fichier auquel il n’a pas droit dans le Drive. Cette garantie ne vaut que si vos permissions de partage sont propres au départ.

L’accès aux Shared Projects, enfin, est limité à leurs membres, et toutes les conversations d’un projet leur sont visibles. Un chargé de mission ajouté en cours de route en découvre l’historique complet : ajoutez les gens en connaissance de cause.

Auditer et tracer

Enterprise fournit des logs d’activité détaillés : qui a utilisé quel modèle, quand et combien de fois ; quels documents ont été consultés via les intégrations ; quels GPTs internes sont sollicités et par qui. Les conversations peuvent aussi être exportées à des fins d’audit, sous contrôle administrateur.

Ces logs s’exportent en CSV et s’intègrent à votre SIEM, votre Security Information and Event Management, via l’API d’administration. Les alertes ChatGPT arrivent alors dans la console où votre équipe sécurité travaille déjà, et non dans un tableau de bord que personne ne regarde.

Formaliser la politique

Un document de gouvernance IA tient sur quelques pages et couvre cinq points : le périmètre, c’est-à-dire quels outils IA sont autorisés ; la classification, qui précise quelles données peuvent être utilisées dans chacun ; les responsabilités, réparties entre DSI, DPO, managers et utilisateurs ; la conduite à tenir en cas d’incident, notamment si un collaborateur a saisi des données restreintes ; et la fréquence de revue, trimestrielle au minimum.

Cette répartition n’a rien de théorique. Le DPO valide la conformité RGPD, la DSI gère l’infrastructure — SSO, SCIM, intégrations —, les managers de workspace supervisent l’usage quotidien, et les champions IA, sur lesquels nous reviendrons en leçon 9, relaient les bonnes pratiques dans chaque équipe.

Les GPTs internes appellent un traitement particulier, car ils encapsulent des instructions et parfois des données de référence durables. Avant publication, faites-les passer par quatre étapes.

1. Le créateur documente l’objectif, les instructions et les données de référence du GPT.
2. Le manager de workspace vérifie sa conformité à la politique de gouvernance.
3. La DSI intervient si le GPT accède à des sources de données sensibles.
4. La publication se fait avec un propriétaire identifié, responsable de la maintenance.

À quoi cela ressemble dans une entreprise de 500 personnes

Ce découpage donne à chaque équipe les outils dont elle a besoin sans lui ouvrir les données des autres. Les deux workspaces les plus exposés, Direction et Finance, sont d’ailleurs ceux qui renoncent aux intégrations documentaires : la commodité y cède devant le risque.

Rien de tout cela ne ralentit l’adoption : la gouvernance la sécurise. Une organisation qui déploie ChatGPT sans cadre finira par connaître un incident, et il coûtera bien plus que les semaines passées à poser des règles.

Points clés à retenir

• Classez vos données en quatre niveaux : public, interne, confidentiel (Enterprise avec précautions), restreint (jamais dans ChatGPT).
• Le contrôle d’accès joue sur quatre leviers : modèles autorisés par workspace, visibilité des GPTs internes, permissions héritées de Drive et SharePoint, périmètre des Shared Projects.
• Les logs Enterprise couvrent modèles, documents et GPTs ; ils s’exportent en CSV et s’intègrent à votre SIEM via l’API d’administration.
• Votre document de gouvernance doit fixer périmètre, classification, responsabilités, procédure d’incident et revue trimestrielle.
• Tout GPT publié à l’échelle de l’organisation passe par une validation en quatre étapes et reste sous la responsabilité d’un propriétaire identifié.