Formation ChatGPT en entreprise : ce que vos salariés doivent savoir

Vos salariés utilisent ChatGPT, Copilot, Gemini ou l'assistant intégré à vos logiciels pour rédiger, résumer ou traduire ? Votre entreprise est alors concernée par l'article 4 du règlement européen sur l'IA, et la Commission européenne prend précisément cet exemple : une entreprise dont les salariés utilisent ChatGPT pour écrire des textes publicitaires ou traduire doit les informer des risques spécifiques, comme les hallucinations. Une « formation ChatGPT » utile n'est donc pas un cours d'astuces de requêtes : c'est une formation aux règles et aux réflexes qui permettent d'utiliser ces outils sans exposer les clients, l'entreprise et les salariés eux-mêmes. Voici ce qu'elle doit couvrir.

Ce que dit le règlement européen

L'article 4 du règlement (UE) 2024/1689 s'applique depuis le 2 février 2025 à toute organisation qui utilise un système d'IA dans son activité. Depuis le 27 juillet 2026, dans sa rédaction issue du règlement (UE) 2026/1744, il demande de prendre des mesures pour favoriser le développement de la maîtrise de l'IA du personnel et des personnes qui utilisent les outils pour le compte de l'entreprise, en tenant compte de leur profil et du contexte, sans obligation de garantir un niveau individuel.

La Commission européenne précise dans ses questions-réponses (mises à jour le 20 octobre 2026) :

• qu'il n'existe pas de format imposé ni de formation type, mais que se contenter de faire lire la notice des outils peut être inefficace ;
• qu'aucun certificat n'est nécessaire : un registre interne des formations suffit ;
• que l'article 4 n'impose pas de mesurer le niveau de chaque salarié ;
• que les autorités nationales supervisent et font respecter cette obligation à partir du 2 août 2026, et qu'une sanction est plus probable en cas d'incident dû à un manque de formation.

Les 6 points qu'une formation doit couvrir

1. Ce qu'est l'outil, et ce qu'il n'est pas

Un assistant comme ChatGPT génère un texte plausible à partir de ce qu'il a appris et de ce qu'on lui demande. Il ne consulte pas une base de faits vérifiés. Il peut donc inventer une source, un chiffre, une règle, une jurisprudence : c'est l'hallucination, le risque que la Commission cite en premier.

2. Les données à ne jamais saisir

La CNIL recommande que les utilisateurs ne soumettent que des informations qu'ils sont autorisés à partager, et qu'on évite autant que possible la saisie de données personnelles dans les services accessibles en ligne. Une formation doit donner une liste concrète : données de santé, données bancaires, numéros d'identification, informations sur les salariés, documents reçus sous accord de confidentialité, tarifs et stratégie. Et rappeler la différence entre un compte professionnel paramétré par l'entreprise et un compte personnel.

3. Vérifier avant d'utiliser

La CNIL recommande de ne jamais reproduire telles quelles les sorties de ces systèmes. Un salarié formé sait vérifier les faits, les chiffres et les références sur la source, adapter le niveau de vérification à l'enjeu, et faire relire ce qui engage l'entreprise (information réglementaire, document contractuel, contenu publié).

4. Ce qui est interdit, et ce qui doit être signalé

Depuis le 2 février 2025, certaines pratiques sont interdites, comme déduire les émotions des salariés sur le lieu de travail. Depuis le 2 août 2026, une image, une vidéo ou une voix générée qui peut passer pour réelle doit être signalée comme telle lorsqu'elle est diffusée (article 50). Les salariés du marketing et de la communication sont en première ligne.

5. Les usages qui touchent des personnes

Trier des candidatures, noter des clients, évaluer des collègues avec un assistant n'est pas un usage anodin : le recrutement, l'évaluation des salariés, le crédit et l'assurance santé figurent parmi les usages « à haut risque » du règlement, et le RGPD encadre déjà les décisions fondées exclusivement sur un traitement automatisé. La formation doit apprendre à reconnaître ces situations et à les signaler avant de les mettre en place.

6. Sécurité et signalement

Un assistant relié à la messagerie peut être trompé par une instruction cachée dans un courriel ; une voix imitée peut servir à une fraude au virement. Les salariés doivent savoir vérifier par un autre canal, ne pas laisser un outil agir seul sur une opération sensible, et à qui signaler une fuite ou une erreur, tout de suite.

Quelle durée, quel format ?

Le texte ne fixe pas de durée. En pratique, une base commune courte pour tous, puis des compléments pour les profils à enjeu, répond à la logique de la Commission, qui admet des niveaux différents selon les publics :

Public	Format raisonnable
Tous les utilisateurs	Formation commune de 1 à 2 heures, avant l'accès aux outils
Marketing, RH, conseillers qui s'appuient sur l'outil face aux clients	Complément métier et procédures
Personne qui pilote (dirigeant, DPO, juriste)	Formation approfondie au règlement et à la gouvernance