ChatGPT enregistre votre écran : faut-il l'autoriser en entreprise ?

OpenAI vient de présenter Computer History, une fonction de l'application ChatGPT pour Mac qui enregistre l'activité de l'utilisateur : logiciels ouverts, sites consultés, documents affichés à l'écran. Ces captures alimentent une mémoire consultable et une frise chronologique des journées de travail. Retrouver « ce fichier ouvert mardi » se résume alors à poser la question. Le gain de confort est réel. Mais dès que l'outil s'installe sur les postes d'une entreprise, la question change de nature. Voici ce qu'il faut vérifier, et comment l'encadrer, avant de cliquer sur « activer ».

Computer History : ce que la fonction fait concrètement

Le principe est simple à décrire. Une fois la fonction activée, l'application ChatGPT observe ce qui se passe à l'écran : les applications utilisées, les pages web visitées, les documents ouverts. Elle en extrait le contenu utile, le mémorise, puis le restitue sous deux formes. Une mémoire que l'on interroge en langage courant : « retrouve le devis que j'ai modifié la semaine dernière ». Et une frise chronologique qui reconstitue le déroulé d'une journée, application par application.

L'idée a un précédent. Microsoft avait annoncé Recall, un dispositif comparable pour Windows, en mai 2024. La levée de boucliers des chercheurs en sécurité avait forcé l'éditeur à repousser le lancement de près d'un an, le temps de chiffrer la base de données et de rendre la fonction désactivée par défaut. Ce précédent enseigne une chose : un outil qui enregistre l'écran en continu crée, par construction, un dépôt de données extrêmement sensible. Toute la question est de savoir qui peut le lire, et dans quelles conditions.

Sur le papier, le bénéfice se mesure. Plusieurs études, dont celles du cabinet McKinsey, estiment qu'un salarié passe près de deux heures par jour à chercher de l'information : un document égaré, un échange enfoui dans une boîte mail, une page consultée puis perdue. Un assistant qui se souvient de tout attaque directement ce gisement de temps.

Un écran professionnel ne montre jamais que votre travail

Prenons une entreprise de quinze personnes. Sur l'écran d'un commercial, au fil d'une seule journée, défilent la grille tarifaire interne, un devis de 38 000 euros en cours de négociation, l'échange tendu avec un client mécontent, et parfois, ouvert deux minutes par erreur, le tableau des rémunérations partagé par la direction. Un outil qui enregistre l'activité capte tout cela sans distinction. Il ne sait pas, par lui-même, qu'une page relève du confidentiel.

S'ajoutent les données qui ne vous appartiennent pas. Les coordonnées d'un client affichées dans le logiciel de facturation, le dossier médical transmis par un salarié au service paie, le contrat d'un partenaire ouvert en réunion : autant d'informations sur des tiers qui n'ont jamais consenti à figurer dans la mémoire d'un assistant. C'est ce point précis qui fait passer le sujet du confort individuel à la responsabilité de l'entreprise.

Ce que dit le RGPD quand un outil enregistre l'écran

En droit, l'employeur qui déploie un tel outil devient responsable du traitement des données enregistrées. Plusieurs obligations en découlent, et aucune n'est optionnelle. Informer les salariés de manière claire et préalable : un enregistrement d'activité à leur insu est illicite. Pouvoir justifier la proportionnalité du dispositif, aussi : la CNIL sanctionne les surveillances jugées excessives, et l'amende de 32 millions d'euros infligée à Amazon France Logistique début 2024 pour la surveillance de ses salariés a fixé le ton. Reste la documentation : inscrire le traitement au registre, et mener une analyse d'impact si les données captées sont sensibles.

Une question technique conditionne toute l'analyse : où vivent les enregistrements ? Stockés uniquement sur le Mac de l'utilisateur, ils restent exposés au vol de l'appareil ou à un logiciel malveillant, mais le périmètre est connu. Transmis aux serveurs d'OpenAI pour être analysés, ils sortent de l'entreprise, et il faut alors examiner le contrat : durée de conservation, localisation, usage éventuel pour entraîner les modèles. La documentation d'OpenAI répond à ces questions, plan par plan, et les réponses diffèrent sensiblement entre un compte personnel et un abonnement professionnel. Peu d'utilisateurs la lisent avant d'activer.

La marche à suivre avant d'activer, étape par étape

Un déploiement raisonnable tient en cinq étapes, et la première ne coûte rien.

1. Lire la fiche technique de la fonction. Quatre points à noter noir sur blanc : ce qui est enregistré, où c'est stocké, combien de temps, et qui peut y accéder (l'utilisateur seul, un administrateur, OpenAI).
2. Décider d'une position d'entreprise. Interdit pour l'instant, autorisé sous conditions, ou pilote encadré : peu importe le choix, tant qu'il est explicite. Le pire scénario est l'absence de position, chacun activant dans son coin.
3. Configurer les exclusions. Ce type d'outil permet en général d'exclure des applications ou des sites de l'enregistrement. La liste minimale : banque en ligne, logiciel de paie, messagerie de direction, dossiers clients sensibles.
4. Informer l'équipe par écrit et mettre à jour le registre des traitements. Une page suffit, mais elle doit exister avant l'activation, pas après.
5. Tester sur un ou deux postes pendant un mois. Mesurer le temps réellement gagné, relire ce que la mémoire a retenu, puis décider d'étendre ou d'arrêter.

Comptez une demi-journée de travail pour l'ensemble, exclusions comprises. C'est peu au regard de ce qu'un enregistrement mal maîtrisé peut coûter.

Les angles morts qui coûtent cher

Le premier piège se situe en dehors de la fonction elle-même : les comptes personnels. Beaucoup de salariés utilisent déjà ChatGPT sur leur poste professionnel avec un compte ouvert à leur nom. Si l'un d'eux active Computer History, l'activité de l'entreprise part dans un espace que personne n'administre. Aucun paramétrage central ne protège de cela. Seule une règle claire, communiquée à l'équipe, le fait.

Deuxième angle mort : les écrans partagés. En visioconférence, l'outil enregistre aussi ce que les autres montrent. Le document confidentiel d'un client projeté en réunion entre dans la mémoire du participant qui a activé la fonction, sans que personne n'y pense.

Troisième piège, plus insidieux : le test qui s'éternise. On active « pour essayer », on oublie, et six mois plus tard le poste contient un journal complet de l'activité, jamais relu, jamais purgé. Une date de fin d'essai posée dans l'agenda règle le problème en dix secondes.

Décider en connaissance de cause

Computer History rendra probablement service : la recherche d'information dévore assez d'heures pour que la promesse soit prise au sérieux. Rien n'oblige pour autant à choisir entre tout interdire et tout laisser passer. Une position claire, mise par écrit et communiquée à l'équipe, couvre l'essentiel du risque. Le paramétrage des exclusions fait le reste.

Si vous souhaitez cadrer ce sujet pour vos postes de travail, ou plus largement définir des règles d'usage de l'intelligence artificielle dans votre entreprise, Autensai peut vous accompagner. Le plus simple est d'en parler : prendre rendez-vous.