Vos salariés utilisent ChatGPT : ce que l'AI Act vous demande vraiment

ChatGPT, Copilot, Gemini au travail : ce que l'AI Act demande à l'employeur, les usages qui changent tout, et la charte IA à mettre en place.

En bref. Si vos salariés utilisent ChatGPT, Copilot, Gemini ou Mistral pour rédiger, résumer ou traduire, l'AI Act vous concerne, mais il vous demande peu : prendre des mesures pour développer leur maîtrise de l'IA (article 4) et, si vous publiez certains contenus générés, les signaler (article 50). Ces usages courants ne sont pas « à haut risque ». Tout change en revanche si l'outil sert à trier des candidats ou à évaluer des salariés. Le plus utile est donc de savoir qui utilise quoi, de fixer des règles simples et de former vos équipes.

L'AI Act s'applique-t-il quand un salarié utilise ChatGPT ?

Oui. Le règlement distingue deux rôles. Le fournisseur développe l'outil et le met sur le marché : OpenAI pour ChatGPT, Microsoft pour Copilot, Google pour Gemini. Le déployeur est celui qui « utilise un système d'IA sous sa propre autorité », sauf usage personnel non professionnel (article 3, point 4). Une entreprise dont les équipes se servent de ChatGPT pour leur travail est un déployeur.

La Commission européenne l'a dit explicitement dans ses questions-réponses sur la maîtrise de l'IA : une entreprise dont les salariés utilisent ChatGPT, par exemple pour écrire un texte publicitaire ou traduire un document, est concernée par l'article 4. Ses salariés doivent au minimum être informés des risques propres à ces outils, comme les « hallucinations » (des réponses fausses présentées avec assurance).

Peu importe que l'abonnement soit payé par l'entreprise ou non. Le règlement ne traite pas spécifiquement du salarié qui utilise son compte personnel, mais si l'usage sert votre activité, la prudence consiste à le considérer comme le vôtre. C'est aussi la lecture la plus protectrice pour vous.

Pour savoir précisément dans quel rôle vous vous trouvez, voyez notre article L'AI Act, qui est concerné ?.

Ce que vous devez faire, et ce que vous n'avez pas à faire

Pour les usages bureautiques courants, les obligations sont limitées. Le tableau résume la situation au 2 novembre 2026.

Usage par vos salariés	Ce que l'AI Act demande	Depuis quand
Rédiger un mail, résumer un document, traduire, préparer une présentation	Maîtrise de l'IA (article 4)	2 février 2025
Publier un texte généré par IA pour informer le public, sans relecture	Indiquer qu'il a été généré par IA (article 50, § 4)	2 août 2026
Publier une image, une vidéo ou un son réaliste généré par IA	Signaler l'hypertrucage (article 50, § 4)	2 août 2026
Trier des CV, classer des candidats, évaluer la performance d'un salarié	Régime du haut risque (annexe III, point 4)	2 décembre 2027
Analyser les émotions de vos salariés (voix, visage)	Interdit, sauf raisons médicales ou de sécurité (article 5)	2 février 2025

Ce que l'AI Act n'exige pas pour un usage courant de ChatGPT ou Copilot : pas de déclaration à une autorité, pas d'évaluation de conformité, pas de certification, pas de nombre d'heures de formation. Il n'existe pas de « certificat AI Act » officiel.

Que demande exactement l'article 4 ?

Depuis le règlement (UE) 2026/1744 (dit « omnibus »), en vigueur depuis le 27 juillet 2026, l'article 4 demande aux déployeurs de prendre des mesures pour soutenir le développement de la maîtrise de l'IA de leur personnel et des personnes qui utilisent les outils pour leur compte (intérimaires, prestataires, stagiaires). Le texte précise qu'il n'impose pas de garantir un niveau particulier chez une personne donnée.

C'est une obligation de moyens : vous devez agir, et pouvoir montrer que vous avez agi. La Commission ajoute un point pratique : renvoyer vos équipes vers la notice d'utilisation de l'outil ne suffit généralement pas.

Concrètement, pour une PME, une démarche raisonnable tient en trois pièces : la liste des outils utilisés, une formation adaptée aux fonctions, et des règles écrites. Nous détaillons ce qui fait preuve dans Article 4 de l'AI Act : ce que l'obligation de formation exige vraiment.

Quels usages de ChatGPT changent la donne ?

Un même outil peut relever de niveaux très différents selon ce que vous en faites. C'est le point que beaucoup d'entreprises découvrent tard.

Le recrutement et la gestion du personnel. L'annexe III, point 4, classe à haut risque les systèmes destinés au recrutement (tri des candidatures, évaluation des candidats) et aux décisions qui touchent la relation de travail : promotion, licenciement, attribution des tâches, suivi et évaluation des performances. Un logiciel RH conçu pour cela entre directement dans cette catégorie.

Et ChatGPT ? L'article 25, paragraphe 1, point c), prévoit qu'une entreprise qui modifie la destination d'un système d'IA de façon à le faire entrer dans le haut risque devient elle-même fournisseur de ce système, avec les obligations qui vont avec. Demander à un assistant généraliste de classer des CV pourrait donc vous faire changer de rôle. L'application de cette règle aux assistants généralistes reste à préciser par les lignes directrices de la Commission : nous vous conseillons de ne pas confier ce type de décision à ChatGPT sans un cadre réfléchi. Ces obligations s'appliqueront à partir du 2 décembre 2027, ce qui laisse le temps de s'organiser. Pour aller plus loin : AI Act et ressources humaines.

Si vous mettez en service un système à haut risque sur le lieu de travail, vous devrez aussi en informer au préalable les représentants du personnel et les salariés concernés (article 26, paragraphe 7). En France, le Code du travail prévoit déjà la consultation du CSE sur l'introduction de nouvelles technologies dans les entreprises d'au moins 50 salariés (article L2312-8).

La publication de contenus. Un salarié qui publie sur votre blog un article d'actualité rédigé par IA, sans relecture, doit indiquer qu'il a été généré par IA. L'obligation tombe si le texte a été relu et qu'une personne en assume la responsabilité éditoriale (article 50, paragraphe 4). Les images ou vidéos réalistes doivent, elles, être signalées. Le détail est dans notre article Chatbot, textes et images IA : ce que l'AI Act vous impose.

Et les données que vos salariés saisissent ?

C'est souvent le vrai sujet, et il ne relève pas de l'AI Act mais du RGPD, que la CNIL contrôle déjà. Dans ses questions-réponses sur l'utilisation de l'IA générative (juillet 2024), la CNIL recommande notamment :

d'encadrer l'usage par une charte qui liste les usages autorisés et interdits ;
de ne jamais saisir de données personnelles ni d'informations confidentielles dans un service grand public ;
d'utiliser une adresse professionnelle plutôt qu'un compte personnel, et de désactiver la réutilisation des conversations quand c'est possible ;
de vérifier les conditions du fournisseur et, pour un service hébergé, de prévoir un contrat qui précise les responsabilités ;
d'associer votre délégué à la protection des données (DPO) si vous en avez un ;
de toujours vérifier les résultats avant de les utiliser.

Les offres « entreprise » (ChatGPT Team ou Enterprise, Microsoft 365 Copilot, Gemini pour Google Workspace) apportent en général plus de garanties sur l'usage des données que les versions gratuites. Vérifiez-le dans le contrat de votre offre plutôt que de le supposer.

Par où commencer : 5 étapes pour une PME

Faites l'inventaire. Demandez à chaque équipe quels outils d'IA elle utilise, y compris ceux qui ne sont pas officiels. Annoncez que le but est d'encadrer, pas de sanctionner : sinon, personne ne répondra franchement. Notre méthode : cartographier les systèmes d'IA de votre entreprise.
Classez les usages. Rédaction et traduction d'un côté ; recrutement, évaluation des salariés et décisions sur des clients de l'autre. Ce second groupe demande un examen à part.
Écrivez une charte d'une page. Outils autorisés, données à ne jamais saisir, relecture obligatoire avant publication ou envoi, personne à contacter en cas de doute.
Formez selon les fonctions. Une sensibilisation pour tous (risques, confidentialité, vérification), un niveau plus poussé pour ceux qui utilisent l'IA chaque jour ou qui encadrent ces usages.
Gardez la trace. Dates des formations, attestations, version de la charte diffusée. C'est ce qui montre votre démarche si on vous la demande un jour.

Comptez quelques jours de travail, pas un chantier de plusieurs mois. Et c'est un investissement qui rapporte : des équipes formées utilisent mieux ces outils, gagnent plus de temps et font moins d'erreurs.

Que risquez-vous si vous ne faites rien ?

L'article 99 ne prévoit pas de palier d'amende dédié au défaut de maîtrise de l'IA. En revanche, si un incident survient (des données clients versées dans un outil, une décision contestée), l'absence de démarche pèsera dans l'appréciation d'une autorité, et le RGPD s'applique déjà pleinement. En France, les autorités chargées de contrôler l'AI Act sont pressenties (DGCCRF, CNIL, Arcom notamment) mais pas encore formellement désignées : la loi qui doit le faire a été adoptée par le Sénat en février 2026 et attend l'Assemblée nationale. Tout est détaillé dans Sanctions de l'AI Act : ce qu'une PME risque vraiment.

Questions fréquentes

Faut-il interdire ChatGPT dans l'entreprise ?

Non, l'AI Act ne le demande pas. Une interdiction pousse souvent les usages dans l'ombre, sur des comptes personnels, ce qui est pire pour vos données. Il vaut mieux autoriser un outil, fixer des règles et former.

Utiliser Copilot dans Word ou Outlook, est-ce de l'IA au sens de l'AI Act ?

Oui, c'est un système d'IA. Pour de la rédaction ou des résumés, il ne crée pas d'obligation particulière en dehors de l'article 4 : vos utilisateurs doivent savoir s'en servir et connaître ses limites.

Un salarié qui utilise son compte ChatGPT personnel pour le travail, est-ce mon problème ?

En pratique, oui. Le règlement ne traite pas ce cas en détail, mais l'usage sert votre activité, et ce sont vos données qui circulent. Votre charte doit dire quels outils et quels comptes sont autorisés.

Doit-on signaler qu'un mail a été rédigé avec ChatGPT ?

Non. L'obligation de l'article 50 vise les textes publiés pour informer le public sur des sujets d'intérêt public, sans relecture humaine, ainsi que les hypertrucages. Un mail commercial ou interne relu par son auteur n'est pas concerné.

La formation doit-elle être certifiée ?

Non. Le règlement n'exige ni certificat, ni durée, ni programme imposé. Il demande des mesures adaptées à vos outils et aux fonctions de chacun, dont vous gardez la trace.

Pour comprendre l'essentiel en une heure, suivez notre formation gratuite L'IA Act en 60 min. Pour mettre votre entreprise en ordre, inventaire, charte, formation des équipes, la formation Conformité AI Act — la méthode complète (890 €) vous guide pas à pas.

Sources

Règlement (UE) 2024/1689 (AI Act), article 3 points 3 et 4, articles 4, 5 § 1 f), 25 § 1 c), 26 § 7, 50 § 4, 99 et annexe III point 4 — EUR-Lex : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32024R1689 (texte modifié relu sur artificialintelligenceact.eu, EUR-Lex inaccessible le 2 novembre au matin)
Règlement (UE) 2026/1744 (omnibus), nouvel article 4 — EUR-Lex : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ:L_202601744
Commission européenne, AI Literacy – Questions & Answers (mise à jour du 20 octobre 2026) : https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers
CNIL, Les questions-réponses de la CNIL sur l'utilisation d'un système d'IA générative (18 juillet 2024) : https://www.cnil.fr/fr/les-questions-reponses-de-la-cnil-sur-lutilisation-dun-systeme-dia-generative
Code du travail, article L2312-8 (consultation du CSE sur l'introduction de nouvelles technologies) — Légifrance
Assemblée nationale, dossier législatif du projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne (n° 2518), article 24 : https://www.assemblee-nationale.fr/dyn/17/dossiers/DLR5L17N53140
Prix et intitulés des formations vérifiés sur https://ai-act.zenbot.tech le 2 novembre 2026.

Article vérifié le 2 novembre 2026.