Votre employeur britannique peut-il voir votre usage de ChatGPT ?

La réponse courte : ça dépend. Sur un compte ChatGPT personnel, OpenAI ne montre pas vos conversations à votre employeur. Vous seul les voyez. Un manager ne peut pas les lire à distance. Mais l'appareil et le réseau changent tout. Si vous utilisez un ordinateur ou un Wi-Fi de l'entreprise, l'employeur peut voir bien plus. Il peut voir que ChatGPT a été ouvert, quand, et parfois ce que vous avez tapé. Au Royaume-Uni, cette surveillance est encadrée par la loi. Voyons les deux cas de figure, puis la parade simple.

Compte perso : OpenAI ne montre rien à votre employeur

Commençons par la bonne nouvelle. Sur un compte ChatGPT personnel, vos conversations vous appartiennent. OpenAI ne les expose pas à votre employeur. Vous êtes le seul à voir votre historique.

Un manager ne peut pas lire directement les chats d'un autre. Il n'existe pas de bouton « voir les conversations de mon équipe ». La seule exception : si vous partagez vous-même un chat, via un lien. Là, vous ouvrez volontairement la porte. Sans ce geste, votre chat perso reste privé côté OpenAI.

Appareil ou réseau pro : là, ça change tout

Le problème n'est pas OpenAI. C'est le poste de travail. Sur un appareil ou un réseau géré par l'entreprise, l'employeur dispose d'outils de surveillance. Et ces outils voient l'activité, même sur un compte ChatGPT perso.

Concrètement, l'employeur peut voir que ChatGPT a été utilisé. Il peut voir quand, et quel site a été visité. Dans certaines configurations, il peut même voir ce que vous avez tapé ou collé. Plusieurs technologies rendent ça possible.

• La sécurité des postes (endpoint) : un agent installé sur l'ordinateur observe l'activité.
• La surveillance du navigateur : elle enregistre les sites ouverts et parfois la saisie.
• Le filtrage web (proxy) : il journalise les adresses visitées, dont chat.openai.com.
• Les agents DLP (« Data Loss Prevention ») : ils repèrent la donnée sensible qui sort.
• L'enregistrement d'écran : dans certains réglages, il capte l'écran en direct.

Un mot sur le DLP. C'est un système qui empêche la fuite de données. Il inspecte ce qui quitte l'entreprise. Un copier-coller vers ChatGPT peut donc être vu, voire bloqué. Retenez la règle simple : sur un poste pro, traitez ChatGPT comme votre e-mail pro. Supposez que tout peut être enregistré.

Ce que la loi britannique impose à l'employeur

Au Royaume-Uni, l'employeur ne peut pas surveiller comme il veut. Deux textes encadrent la pratique. Le UK GDPR, c'est la version britannique du règlement sur les données. Le Data Protection Act 2018, c'est la loi qui l'accompagne. Ensemble, ils fixent les règles.

Le régulateur britannique s'appelle l'Information Commissioner's Office, ou ICO. Le 3 octobre 2023, il a publié un guide dédié : « Employment practices and data protection: monitoring workers ». Ce texte précise ce qu'un employeur doit vérifier avant de surveiller son personnel. Voici les points clés.

D'abord, une base légale. L'employeur doit choisir une base au titre du UK GDPR avant de surveiller. Il en existe six. En pratique, l'intérêt légitime est la plus utilisable. Le consentement, lui, pose problème au travail. Pourquoi ? Parce que le rapport de force est déséquilibré. Un salarié ne dit pas vraiment « non » à son patron.

Ensuite, la transparence et la proportionnalité. L'ICO insiste : la surveillance doit être nécessaire, proportionnée et transparente. Dans la plupart des cas, l'employeur doit informer les salariés avant de surveiller. Il doit expliquer la nature, l'étendue et les raisons, dans une note de confidentialité accessible. Cette note doit indiquer la base légale et les durées de conservation.

La surveillance secrète, elle, est très difficile à justifier. L'ICO la réserve à des cas exceptionnels. Par exemple un soupçon d'activité criminelle ou de faute grave. Ce n'est pas un outil du quotidien. Enfin, il y a le DPIA. C'est une analyse d'impact sur la protection des données. Elle est obligatoire quand la surveillance risque de créer un risque élevé pour les salariés, comme une surveillance systématique. L'ICO recommande d'en faire une par bonne pratique, même quand elle n'est pas strictement requise.

La parade : rien de sensible dans le prompt

La leçon pratique est simple. Sur un système de travail, traitez vos prompts d'IA comme un e-mail pro. Supposez qu'ils peuvent être enregistrés. Donc gardez la donnée sensible ou réglementée hors du prompt.

Le meilleur levier agit à la source. Retirez ou anonymisez les noms, les détails clients et les autres identifiants avant de coller dans un outil d'IA. La logique est mécanique. Moins il y a de données réelles dans le prompt, moins la surveillance a de prise. Et ça marche quel que soit le compte ou l'appareil. Pour l'angle global, hors cadre britannique, voir notre article « Votre employeur peut-il voir votre historique ChatGPT ? ».

1. 1Repérez la donnée sensible dans votre texte : noms, e-mails, dossiers clients.
2. 2Remplacez-la par des jetons réversibles, directement dans le navigateur.
3. 3Envoyez seulement le texte anonymisé à l'IA.
4. 4Restaurez les valeurs réelles dans la réponse, en local.

C'est le rôle d'ONYRI Sanitize. Le moteur détecte les données sensibles et les remplace par des jetons réversibles avant l'envoi. La détection et le mapping restent dans votre navigateur. Seul un texte anonymisé atteint l'outil. Qu'un agent DLP inspecte le flux ou qu'un admin regarde un journal, il n'y trouve que des jetons — pas vos informations réelles.