L’IA fantôme dans les collectivités : les agents utilisent déjà ChatGPT. Et maintenant ?
En bref
Les agents qui passent un courrier dans ChatGPT ou font résumer un compte rendu par un outil gratuit le font parce que cela marche et parce qu’il n’y a pas d’alternative. Un outil public sans contrat ne remplit pas les conditions fixées par la CNIL. Une interdiction seule déplace l’usage vers le téléphone personnel. Ce qui marche : mesurer, fixer des règles claires et offrir en quelques semaines un environnement à soi au moins aussi bon.
La réalité
Posez la question en réunion d’équipe et la moitié des mains se lèvent. Raccourcir une note au maire, adoucir un e-mail à un habitant en colère, traduire une question d’élu, résumer un règlement : tout passe par des outils publics, souvent sur un compte personnel, parfois avec le nom et l’adresse d’un habitant dedans. Pas par mauvaise volonté, mais parce que cela marche. Ce que cela signifie juridiquement : ChatGPT est-il conforme au RGPD ?
Les recommandations de la CNIL sur l’IA fixent la barre : finalité déterminée, base légale, minimisation, information des personnes, pas de réutilisation des saisies pour l’entraînement, sous-traitant encadré par contrat. Un chatbot public sur un compte personnel ne remplit rien de tout cela. Le gouvernement néerlandais a fait réaliser en 2024 une AIPD sur Microsoft 365 Copilot, a relevé quatre risques élevés et n’a déclaré un déploiement responsable possible qu’en septembre 2025, après des corrections de Microsoft. C’est le niveau d’exigence.
Mesurer d’abord
- Réseau et proxy. Le trafic vers les domaines d’IA connus montre combien et depuis quels services. Pas de noms, seulement des chiffres.
- Demander. Une courte enquête anonyme : quels outils, pour quoi, à quelle fréquence, avec quelles données. Les gens sont honnêtes quand ce n’est pas un interrogatoire.
- Regarder les productions. Les documents portant les marques stylistiques d’un modèle de langage se repèrent facilement. Cela montre où l’IA est déjà dans le processus métier.
Le résultat est en général : bien plus d’usage que prévu, concentré à la communication, aux affaires juridiques, au cabinet et à l’accueil.
Puis trois règles
| Règle | Ce qu’elle signifie |
|---|---|
| Aucune donnée personnelle ni document confidentiel dans les outils publics | Pas de noms, d’adresses, de dossiers, de projets de décision ni de notes internes. C’est le RGPD et le droit de la fonction publique, pas un règlement intérieur. |
| Les outils publics seulement pour du matériel public | Réécrire un communiqué ou résumer un rapport publié est acceptable, jusqu’à ce qu’il y ait un environnement à soi. |
| Tout ce qui est professionnel dans l’environnement de la collectivité | Dès qu’il existe, l’exception tombe et la règle devient applicable. |
Reliez les règles à une courte formation par rôle ; voir Maîtrise de l’IA dans une collectivité, par rôle. Et inscrivez-les dans la politique de sécurité des systèmes d’information ; voir Sécurité de l’information et IA dans les collectivités.
Et une alternative qui est meilleure
La règle ne tient que si l’alternative est au moins aussi bonne que ce que les gens utilisent aujourd’hui : rapide, dans le navigateur, avec leurs propres documents à portée. C’est exactement ce qu’un environnement à soi peut offrir et qu’un outil public ne peut pas : les règlements, les délibérations et le dossier comme sources, avec des réponses qui y renvoient. Voir Déployer un assistant IA dans une collectivité.
werqly fournit cet environnement sous forme de nœud dédié, dans vos locaux ou dans werqly Cloud, avec des modèles open-weight et werqly AI Control pour les rôles, les sources et la journalisation. Le déploiement prend des semaines, pas des trimestres, et l’interdiction des outils publics peut alors réellement entrer en vigueur. Voir L’IA pour les collectivités.
Questions fréquentes
Questions sur ce sujet
Les agents publics peuvent-ils utiliser ChatGPT ?
Pour du matériel public sans données personnelles, ce n’est pas interdit, mais les recommandations de la CNIL posent des conditions qui excluent en pratique les outils publics sans contrat pour un usage professionnel. Avec des données personnelles ou des documents confidentiels, c’est une violation du RGPD.
Une interdiction fonctionne-t-elle ?
Seulement s’il y a une alternative. Sans alternative, l’usage migre vers le téléphone personnel, où vous ne le voyez plus. Mesurez d’abord, fixez trois règles claires et offrez un environnement à vous en quelques semaines.
Microsoft Copilot est-il alors autorisé ?
Le gouvernement néerlandais a relevé quatre risques élevés en décembre 2024 ; après des corrections de Microsoft, un déploiement responsable est jugé possible depuis septembre 2025, à condition que configuration, charte et usage conscient soient au rendez-vous. Cela demande la même AIPD et les mêmes règles que toute autre application.
Comment faire passer les agents vers l’environnement de la collectivité ?
Rendez-le meilleur : leurs propres documents comme sources, des réponses avec références, la même rapidité. Prenez les premiers utilisateurs dans les services où l’usage fantôme était le plus élevé ; ils savent ce qui leur manque.
Sources
- CNIL — Intelligence artificielle : recommandations et fiches pratiques
- Gouvernement néerlandais — AIPD et FRAIA Microsoft 365 Copilot (décembre 2024, néerlandais)
Cet article est une information générale, pas un conseil juridique. Les règles et les recommandations évoluent ; en cas de doute, consultez les sources citées ou votre juriste ou DPO.