Un secrétaire de mairie doit rédiger un courrier délicat à un administré. Une chargée de mission doit résumer un rapport de quatre-vingts pages avant le bureau municipal. Dans beaucoup de collectivités, ces tâches passent déjà par ChatGPT ou un autre service grand public, ouvert dans un onglet à côté des applications métier. L'usage de ChatGPT en mairie n'a rien d'exceptionnel : il répond à une charge de travail réelle et à un outil qui rend service.
Le problème ne tient pas à l'IA générative elle-même, mais au cadre dans lequel elle est utilisée. Un compte personnel, ouvert avec une adresse privée, échappe à toutes les règles que la collectivité applique à ses autres outils.
Un usage déjà répandu et peu visible
Les services d'IA générative grand public sont gratuits ou peu coûteux, accessibles depuis n'importe quel navigateur, et ne demandent aucune installation. Les agents territoriaux qui les découvrent dans leur vie privée les adoptent naturellement au bureau, d'autant plus qu'ils travaillent souvent seuls sur des sujets variés.
Cet usage reste rarement visible. Il n'y a pas de logiciel à déclarer, pas de compte à demander à la DSI, et les textes produits sont relus puis recopiés dans les documents de la collectivité. La direction générale, la DSI et le DPO découvrent souvent l'ampleur du phénomène au détour d'une conversation, ou lorsqu'un document comporte une tournure ou une erreur caractéristique.
On parle de shadow AI, par analogie avec le shadow IT : des outils utilisés pour le travail sans avoir été choisis ni validés par l'organisation. Ce n'est pas un signe de négligence. C'est le signe d'un besoin auquel la collectivité n'a pas encore répondu.
Ce qui sort de la collectivité
Pour obtenir une réponse utile, l'utilisateur fournit du contexte : il colle un courriel, joint un rapport, recopie un tableau. Tout ce contenu quitte la collectivité et est traité sur les serveurs du fournisseur, souvent hors de l'Union européenne.
Dans le travail d'une mairie, ce contexte contient fréquemment :
- des données personnelles d'administrés : noms, adresses, situations familiales ou sociales, éléments d'un dossier d'aide ou d'un litige ;
- des données sensibles ou à fort risque : numéro de sécurité sociale, coordonnées bancaires, informations de santé ;
- des données sur les agents territoriaux : évaluations, arrêts maladie, procédures disciplinaires ;
- des documents non publics : projets de délibération avant le conseil, offres de candidats dans une consultation, notes stratégiques pour les élus.
Selon les conditions du service et les réglages du compte, ces échanges peuvent être conservés par le fournisseur et servir à améliorer ses modèles. La collectivité n'a aucune visibilité sur ces paramètres : ils dépendent de chaque utilisateur, de l'offre souscrite et des conditions en vigueur au moment de l'envoi.
Les risques juridiques
Le RGPD : la collectivité reste responsable
Lorsqu'un agent territorial transmet des données personnelles dans le cadre de ses missions, c'est la collectivité qui est responsable du traitement. Or aucun contrat de sous-traitance au sens de l'article 28 du RGPD n'existe entre elle et le fournisseur du compte personnel. Le traitement ne figure pas au registre, sa base légale n'a pas été analysée, et un éventuel transfert hors de l'Union européenne n'a pas été encadré.
En cas de demande d'un administré ou de contrôle de la CNIL, la collectivité ne peut ni dire quelles données ont été transmises, ni à qui, ni pendant combien de temps elles sont conservées.
Le secret et la discrétion professionnels
Les agents publics sont tenus au secret professionnel et à la discrétion professionnelle par le code général de la fonction publique. Transmettre à un tiers des informations relatives à un administré ou à un dossier interne, même pour une simple reformulation, peut constituer un manquement, sans que l'agent territorial en ait conscience.
La qualité des actes et la responsabilité
Un outil généraliste ne connaît ni les usages du service public, ni les textes applicables à jour. Il peut citer un article abrogé, oublier les voies de recours d'une décision ou inventer une jurisprudence. Si le texte est repris sans contrôle suffisant, c'est la collectivité qui en porte les conséquences : acte fragile au contrôle de légalité, courrier inexact, engagement que le service ne peut pas tenir.
La sécurité des systèmes d'information
Les comptes personnels échappent à l'authentification de la collectivité. Ils restent actifs après un départ, ne bénéficient pas de l'authentification forte de l'annuaire, et leur historique peut contenir des mois de documents internes.
Interdire ne suffit pas
Face à ces risques, la première réaction est souvent d'interdire, par une note de service ou en bloquant les sites concernés sur le réseau. Cette réponse a des limites.
- Le besoin demeure. Les agents territoriaux qui gagnaient du temps continuent de chercher à en gagner, sur leur téléphone ou depuis leur domicile.
- L'usage devient clandestin. Ce qui était visible et discutable devient caché, et donc impossible à accompagner.
- Le blocage est contournable. De nouveaux services apparaissent chaque mois, et l'IA générative s'intègre progressivement aux outils bureautiques et aux moteurs de recherche.
- La collectivité se prive d'un levier. Rédaction, synthèse et analyse de documents sont des tâches sur lesquelles l'IA fait réellement gagner du temps à des équipes souvent sous tension.
Une interdiction peut être utile de façon transitoire, le temps de choisir un outil. Elle ne constitue pas une politique durable.
Un outil officiel, des règles, une trace
La réponse qui fonctionne consiste à rendre l'usage légitime et encadré. Elle repose sur trois éléments.
Un outil officiel au moins aussi pratique
Si l'outil de la collectivité est plus lent, plus restreint ou moins utile que le service grand public, il ne sera pas adopté. Il doit offrir des modèles performants, accepter les documents de travail courants, et proposer des assistants adaptés aux usages du service public : délibérations, courriers avec voies de recours, réponses aux usagers, notes aux élus. Chacun doit pouvoir s'y connecter avec son compte habituel.
Des règles claires et connues
Une charte d'utilisation précise ce qui peut être confié à l'IA, les données qui ne doivent jamais être transmises, et le principe de relecture humaine : l'utilisateur reste responsable du document final. Elle se rédige avec le DPO, la DSI et les représentants du personnel, et se présente aux élus. Le guide charte d'utilisation de l'IA en collectivité détaille les rubriques à prévoir.
Des contrôles automatiques et une traçabilité
Une charte seule repose sur la vigilance de chacun. L'outil doit vérifier les données sensibles avant l'envoi, retirer les données personnelles quand le service le justifie, et conserver une trace des usages pour pouvoir en rendre compte. C'est ce qui permet au DPO et à la DSI de garantir le respect des règles plutôt que de l'espérer.
Questions fréquentes
Un agent territorial a-t-il le droit d'utiliser ChatGPT pour son travail ?
Aucun texte n'interdit en soi l'usage d'un outil d'IA générative. Ce sont les règles existantes qui s'appliquent : secret et discrétion professionnels, protection des données personnelles, règles de sécurité de la collectivité. Avec un compte personnel, la collectivité ne peut pas garantir leur respect, d'où l'intérêt d'un outil officiel et d'une charte.
Désactiver l'historique ou l'entraînement dans ChatGPT suffit-il ?
Ces réglages réduisent certains usages des données par le fournisseur, mais ils dépendent de chaque utilisateur, ne sont pas vérifiables par la collectivité et ne créent aucun lien contractuel entre elle et le fournisseur. Le document est de toute façon transmis hors de la collectivité.
Faut-il sanctionner un agent territorial qui a utilisé son compte personnel ?
Tant que la collectivité n'a ni fixé de règle ni proposé d'alternative, la priorité est d'informer et d'équiper plutôt que de sanctionner. Une fois l'outil officiel et la charte en place, les règles sont connues de tous et peuvent être appliquées.
Une petite commune peut-elle se doter d'un outil officiel ?
Oui. Un portail hébergé en France ne demande aucune installation, et la dépense se pilote par utilisateur. Les communes peuvent aussi s'équiper à l'échelle de l'intercommunalité ou d'un syndicat informatique.
À lire aussi : l'IA générative dans les collectivités territoriales, le guide complet. Tous les guides sont réunis sur la page Guides.