Comment cadrer ChatGPT en entreprise en Suisse : données, LPD, gouvernance et formation. Exemple indicatif de 4–8 semaines à adapter après cadrage.

TL;DR

ChatGPT en entreprise en Suisse soulève trois questions clés : où vivent les données (LPD/RGPD), qui peut faire quoi (gouvernance), et comment on s'assure que ça marche en sécurité (garde-fous).
Les offres professionnelles proposent des protections et des contrôles différents. Leur adéquation dépend des données traitées, du contrat et de la configuration retenue.
Un risque à traiter est l’envoi de données client sans cadre. Gouvernance, paramètres techniques et contrôle des usages doivent être examinés ensemble.
Exemple indicatif de déploiement : 4–8 semaines, à adapter après cadrage, avec charte d’usage, formation, audit et outillage.

Le contexte 2026 en Suisse

Les assistants IA peuvent aider les collaborateurs sur certaines tâches. Avant leur déploiement, une PME doit inventorier les usages existants et les données susceptibles d’être transmises.

Ce guide propose un cadre de déploiement et de mesure à adapter aux risques et aux besoins de votre entreprise.

Les 3 questions à clarifier avant tout déploiement

Question 1 — Où vivent les données ?

La LPD suisse et, lorsqu’il s’applique, le RGPD demandent d’examiner le traitement réel des données personnelles : finalités, accès, sécurité, conservation, sous-traitants et transferts à l’étranger. Le secret professionnel ou des engagements contractuels peuvent ajouter des contraintes. PFPDT : externalisation et responsabilités.

Pour ChatGPT et l’API OpenAI :

Free et Plus : vérifier les paramètres d’utilisation des conversations pour améliorer les modèles avant tout usage professionnel ; un compte personnel ne remplace pas un cadre d’entreprise.
ChatGPT Business (anciennement Team) : données professionnelles non utilisées pour entraîner les modèles par défaut. Les conversations ne sont pas automatiquement supprimées 30 jours après leur création. Vérifier les règles de conservation de l’espace et les données conservées par les outils connectés. Règles des espaces professionnels.
Business : localisation : la résidence des contenus au repos est en déploiement progressif et doit être confirmée pour l’espace concerné. Elle ne garantit pas une inférence dans la même région ; les copies et journaux anti-abus sont stockés aux États-Unis. Stockage Business.
Enterprise : des contrôles supplémentaires de conservation et de résidence sont proposés ; vérifier leur disponibilité, configuration et périmètre contractuel. Offres professionnelles.
API : non-entraînement par défaut, conservation anti-abus et état applicatif distincts. Les durées, options de résidence et éventuelles conditions de Zero Data Retention dépendent des endpoints et fonctions activés. Contrôles de données API.

Pour les autres fournisseurs :

Claude commercial : non-entraînement par défaut, avec conditions particulières pour le feedback ; stockage aux États-Unis et routage régional possible selon offre/accord. Conservation des conversations et conservation API sont distinctes. Données commerciales, localisation, conservation.
Mistral : hébergement UE par défaut, avec endpoint US et transferts possibles selon fonctionnalité. Vérifier aussi les réglages d’entraînement, la rétention et les limites des fonctions régionales. Localisation Mistral.
Microsoft 365 Copilot : les données professionnelles ne servent pas à entraîner les modèles fondamentaux. Examiner les règles du tenant, Purview, la recherche web, les agents et les modèles tiers activés. Protection et conditions Microsoft.

Conclusion pratique : choisir l’outil selon les données et le cas d’usage, puis vérifier contrat, paramètres et flux réels. Un DPA signé ou un hébergement européen ne suffisent pas à déclarer un déploiement conforme. Pour les données sensibles ou soumises au secret, une analyse spécifique peut conduire à restreindre les données transmises ou à retenir une architecture dédiée ou locale.

Question 2 — Qui peut faire quoi ? (Gouvernance)

Sans cadre explicite, les usages suivants peuvent survenir :

Coller des données client confidentielles dans des prompts
Utiliser leurs comptes personnels, avec des règles et paramètres de traitement distincts
Multiplier les outils (chacun son ChatGPT, Claude, Copilot)
Ne pas savoir comment vérifier les sorties

Une charte d'usage IA tient sur 1 page et couvre :

Outils autorisés : la liste claire (ex : ChatGPT Business via le compte entreprise, Copilot, et c'est tout)
Données autorisées : ce qu'on peut coller (synthèses, données publiques, brouillons), ce qu'on ne peut PAS coller (informations client identifiantes, données financières, contrats, RH)
Cas d'usage encouragés : génération de premiers brouillons, synthèse de documents publics, brainstorming, traduction
Cas d'usage interdits : rédaction d'avis juridiques signés, conseil financier final, décisions impactant un client sans relecture humaine
Validation humaine systématique : aucune sortie IA n'engage la PME sans relecture par un humain qualifié

Question 3 — Comment s'assurer que ça marche en sécurité ?

Les garde-fous techniques et organisationnels :

Techniques :

Vérifier les règles d’entraînement du plan, les paramètres de partage volontaire et les conditions des outils connectés
Activer la double authentification (MFA) sur les comptes
Définir un suivi proportionné des usages et ses accès, en évitant de collecter inutilement le contenu confidentiel des prompts
Bloquer (via DLP) le copier-coller de certains types de données depuis vos outils internes vers les chatbots

Organisationnels :

Désigner un référent IA en interne (peut être un assistant motivé, pas forcément un DSI)
Réunion mensuelle "ChatGPT Office Hours" : retours d'usage, questions, partages de prompts utiles
Audit semestriel des usages : qui utilise vraiment, quoi, à quel ROI

Exemple indicatif de déploiement (PME 20-100 collaborateurs)

Ce calendrier de 4–8 semaines est un exemple à adapter après cadrage selon les données, les intégrations, les validations et la disponibilité de l’équipe.

Semaine 1-2 — Cadrage

Inventaire des usages actuels (sondage anonyme + interviews 5-10 collaborateurs)
Choix de l'outil officiel (ChatGPT Business ou Copilot M365 selon stack existante)
Rédaction de la charte d'usage (1 page)
Désignation du référent IA interne

Semaine 3-4 — Déploiement et formation

Achat des licences pour la cohorte initiale (10-30% des collaborateurs)
Formation pratique 4h : pas une sensibilisation théorique. On pratique sur leurs vrais cas. Inclure : prompting efficace, vérification des sorties, gestion des hallucinations, cas d'usage métier.
Mise en place des logs et du monitoring

Semaine 5-8 — Adoption et mesure

"Office Hours" hebdo : 30 min de partage entre utilisateurs
Suivi des usages : qui utilise, combien, sur quelles tâches
Première mesure de ROI : heures économisées, qualité des sorties, satisfaction utilisateurs
Itération sur la charte selon les apprentissages

Mois 3+ — Industrialisation

Élargissement de la cohorte
Identification de cas d'usage qui méritent un vrai projet IA (au-delà de ChatGPT en assistant)
Construction d'une bibliothèque de prompts internes par métier

Points de vigilance pour une PME suisse

Réduire le déploiement à l’achat de licences : prévoir aussi le cadrage, la formation, le suivi et les ajustements selon les usages réels.
Ignorer les usages non encadrés : inventorier les outils personnels et définir les usages autorisés, sans présumer que tous les collaborateurs utilisent les mêmes services.
Appliquer la même règle à toutes les données : certaines tâches peuvent être autorisées avec des données publiques ; d’autres doivent être restreintes ou suspendues jusqu’à validation.
Sous-estimer la formation : apprendre à vérifier les réponses, protéger les données et mesurer l’utilité sur des tâches réelles ; la durée de formation dépend du besoin.
Confondre ChatGPT avec un projet IA. ChatGPT c'est l'outil de productivité personnelle. Un projet IA c'est l'automatisation d'un workflow métier. Les deux sont utiles, ce sont des sujets différents.

Cas d’usage à évaluer en PME suisse

Avec ChatGPT Business / Copilot, sans personnalisation custom :

Premiers brouillons de courriers (commerciaux, RH, fournisseurs) : gain à mesurer sur des tâches comparables, relecture comprise
Synthèse de documents publics (rapports, articles, briefs) : vérifier les omissions et l’exactitude de la synthèse
Traduction et adaptation culturelle FR/DE/EN/IT : contrôle humain selon le document et la langue
Brainstorming et génération d’options (titres, accroches, structures de présentation) : sélectionner et vérifier les propositions
Préparation de réunions : ordres du jour, comptes-rendus structurés à partir de notes
Apprentissage de nouveaux outils : explications à vérifier avec la documentation officielle

Avec un projet IA personnalisé (au-delà de ChatGPT) :

Agent IA de qualification de leads sur votre CRM
RAG sur votre base interne (contrats, notes, documents)
Automatisation comptable (extraction de pièces, pré-saisie)
Chatbot multilingue support client connecté à vos données

Les deux sont complémentaires. ChatGPT pour la productivité individuelle, projet IA pour les workflows métier.

FAQ

Mes données ChatGPT sont-elles utilisées pour entraîner OpenAI ? Les offres professionnelles Business et Enterprise n’utilisent pas les données professionnelles pour entraîner les modèles par défaut. Les comptes personnels, le feedback volontaire et les services connectés suivent des règles à vérifier. Documentation OpenAI.

ChatGPT Business est-il automatiquement conforme à la LPD suisse ? Non. L’adéquation dépend des données, des finalités, des accès, de la conservation, des transferts et des obligations de secret. Examiner contrat et configuration ; DPA et résidence des données ne remplacent pas cette analyse. PFPDT.

Combien coûte ChatGPT Business par utilisateur ? Les tarifs, taxes, modalités de facturation et options évoluent. Vérifiez le tarif Business affiché et demandez un devis Enterprise ; ne déduisez pas le prix Enterprise d’un multiple du prix Business. Tarifs officiels.

Vaut-il mieux ChatGPT, Copilot, ou Claude pour ma PME ? Comparez les outils sur les mêmes tâches : qualité avec relecture, intégration à votre environnement, droits d’accès, conservation, résidence et coût total. Un fournisseur européen ou une marque particulière ne garantit pas à lui seul la conformité.

Faut-il bloquer ChatGPT en attendant ? Définissez une règle selon les données et les risques. Suspendre l’envoi de données sensibles ou soumises au secret peut être nécessaire tant que les conditions ne sont pas validées. Les usages sur données publiques peuvent être évalués séparément, avec des outils autorisés et un contrôle humain.

ChatGPT en entreprise en Suisse : LPD, sécurité, déploiement (le vrai guide)