ChatGPT pour les administrateurs Google Workspace : Checklist d'approbation
Un guide pratique pour les administrateurs Google Workspace souhaitant évaluer les extensions ChatGPT : portées OAuth, traitement des données, contrôles de la console d'administration et checklist d'approbation.
Jusqu’à présent, chaque guide de ce blog s’adressait aux utilisateurs finaux de l’IA au sein de Google Workspace : le recruteur, le comptable, le chef de projet ou l’assistant de direction. Pourtant, une autre personne, rarement mentionnée, occupe une place centrale dans ce processus.
Les questions concernant ChatGPT pour les administrateurs Google Workspace diffèrent de celles des utilisateurs finaux. Un administrateur ne cherche pas à savoir comment rédiger un meilleur e-mail, mais quelles données une extension peut consulter, où ces données sont stockées et ce qui se passe en cas de problème.
Ce guide explique pourquoi les extensions d’IA nécessitent un processus d’approbation spécifique et détaille les risques à vérifier avant toute autorisation. Il présente également comment la console d’administration Google Workspace gère l’accès aux applications, tout en proposant une checklist que vous pouvez utiliser pour tout outil d’IA que votre équipe souhaite installer, y compris GPT Workspace.
Pourquoi les extensions d’IA nécessitent leur propre politique
Google Workspace dispose déjà de politiques de sécurité pour les e-mails, le partage de fichiers et l’accès aux applications tierces. Par défaut, les extensions d’IA sont intégrées à la revue des “applications tierces”, mais leur comportement diffère des intégrations classiques.
Un connecteur CRM lit des champs spécifiques que vous configurez. Une extension d’IA au sein de Gmail ou de Docs peut potentiellement lire l’intégralité du contenu d’un document ou d’un fil de discussion ouvert lorsqu’un utilisateur l’active.
Il s’agit d’un profil de risque différent, même si l’extension est bien conçue. À mesure que Gemini devient la couche d’IA par défaut dans les applications Google Workspace, les employés le comparent de plus en plus à ChatGPT, Claude et d’autres outils qu’ils utilisent déjà ailleurs.
Certains installent des extensions de navigateur par eux-mêmes avant même que le service informatique ne soit au courant. Ce phénomène, souvent appelé “shadow AI”, explique pourquoi de plus en plus d’organisations formalisent une politique de gouvernance de l’IA dans Google Workspace en 2026, plutôt que de traiter ces outils comme de simples lignes supplémentaires dans une revue d’applications classique.
Sans politique claire, vous vous retrouvez dans l’une de ces deux situations : soit toutes les extensions d’IA sont bloquées par défaut et les équipes perdent en productivité, soit rien n’est contrôlé et le personnel installe tout ce qu’il trouve.
Ce qu’il faut vérifier avant d’approuver une extension d’IA
Avant d’autoriser un outil d’IA dans votre environnement Workspace, cinq questions méritent d’être posées. Ignorer l’une d’entre elles revient à accorder votre approbation sur la base de la confiance plutôt que de la vérification.
Portée de l’accès aux données
Que peut réellement lire l’extension ? Une extension qui ne s’active que dans le document ou le fil de discussion actuel présente un risque très différent de celle qui demande un accès permanent à l’ensemble de votre Drive.
Vérifiez si l’outil demande un accès large et permanent ou un accès limité, basé sur la session et lié à l’application que vous utilisez activement. Plus la portée est restreinte, plus votre exposition est faible en cas de compromission du fournisseur.
Portées OAuth et autorisations
Chaque intégration Google Workspace s’authentifie via OAuth, et les portées (scopes) spécifiques demandées vous indiquent précisément ce qu’elle peut ou ne peut pas faire. Google regroupe ces portées par niveaux de sensibilité, et la console d’administration signale la catégorie de chaque portée demandée.
Lisez la liste des portées avant d’approuver, pas après qu’un utilisateur ait signalé un problème. Un outil qui ne demande que des portées liées à l’interface de Docs, Sheets ou Gmail présente un profil de risque plus faible qu’un outil demandant un accès large au Drive ou au compte, sans justification claire.
Lieu et durée de stockage des données
Posez la question directement au fournisseur : le contenu transite-t-il par leurs serveurs uniquement le temps de la requête, ou est-il stocké ensuite ? S’il est stocké, pour combien de temps et dans quelle région ?
C’est un point crucial pour les revues de sécurité de ChatGPT dans Google Workspace, car les modèles d’IA sous-jacents (GPT, Claude, Gemini) sont généralement exploités par des sociétés distinctes du fournisseur de l’extension. Le contenu de votre organisation peut transiter par l’infrastructure de plusieurs entreprises selon le modèle choisi par l’utilisateur.
Chiffrement en transit et au repos
Confirmez que les données circulant entre Google Workspace, l’extension et le fournisseur de modèle d’IA sont chiffrées en transit. Si le fournisseur stocke quoi que ce soit, même temporairement, demandez si ce stockage est également chiffré au repos.
La plupart des fournisseurs sérieux publient ces informations sur une page dédiée à la sécurité ou à la confiance. Si vous ne trouvez pas ces informations rapidement, considérez cela comme une lacune à signaler, sans que ce soit nécessairement rédhibitoire.
Conformité avec la politique existante de votre organisation
Votre entreprise possède probablement déjà des clauses dans sa politique de traitement des données concernant les sous-traitants tiers, la résidence des données ou l’utilisation acceptable d’outils externes. Évaluez l’extension d’IA par rapport à cette politique existante plutôt que de rédiger de nouvelles règles à partir de zéro.
Si votre organisation est soumise à des engagements HIPAA, RGPD ou SOC 2, confirmez que la posture de conformité du fournisseur correspond aux exigences de votre politique. Faites-le avant de déployer l’outil auprès d’équipes traitant des données réglementées.
Gérer les extensions d’IA dans la console d’administration Google Workspace
Google Workspace offre aux administrateurs deux leviers principaux pour contrôler les applications tierces. Les outils basés sur ChatGPT suivent exactement le même processus de revue que toute autre intégration que votre organisation valide déjà.
Le premier levier concerne les paramètres des applications Marketplace, situés sous “Applications” dans la console d’administration. Vous pouvez y autoriser toutes les applications, restreindre les installations à une liste blanche approuvée par l’administrateur, ou exiger que chaque application soit soumise à approbation avant toute installation par un utilisateur.
Le second levier concerne les contrôles d’API et l’accès aux applications, situés sous “Sécurité”. C’est ici que les portées OAuth entrent directement en jeu, vous permettant de classer les applications tierces comme approuvées, limitées ou bloquées, et de définir des règles à l’échelle de l’organisation sur les portées qu’une application est autorisée à demander.
Pour la plupart des organisations évaluant une extension d’IA pour la première fois, une séquence pratique fonctionne bien : installez l’extension dans un compte bac à sable (sandbox) ou une unité organisationnelle de test, examinez précisément les portées OAuth demandées lors de la configuration, puis décidez de l’autoriser à l’échelle de l’organisation, de la restreindre à des groupes spécifiques, ou de la bloquer le temps d’obtenir plus d’informations.
Si vous décidez d’autoriser une extension, vous pouvez généralement la déployer sur des unités organisationnelles spécifiques plutôt que sur l’ensemble de l’entreprise. Cela permet de piloter l’outil avec un département, comme l’équipe financière ou de recrutement, avant d’élargir l’accès.
Checklist d’approbation pour les extensions d’IA
Utilisez cette liste pour GPT Workspace ou tout outil d’IA similaire demandé par vos équipes :
- Revue des portées : Listez chaque portée OAuth demandée et confirmez que chacune correspond à une fonctionnalité réellement utilisée par l’outil.
- Rétention des données : Obtenez une réponse écrite sur la durée de conservation du contenu après la fin d’une requête.
- Lieu de stockage : Confirmez la région ou le pays où se trouvent l’infrastructure du fournisseur et ses éventuels sous-traitants.
- Chiffrement : Vérifiez le chiffrement en transit et, le cas échéant, au repos.
- Fournisseurs de modèles : Identifiez les modèles d’IA auxquels l’outil se connecte (OpenAI, Anthropic, Google, autres), car chacun possède ses propres conditions de traitement des données.
- Déploiement par l’administrateur : Confirmez si l’outil prend en charge l’installation à l’échelle de l’organisation via la Marketplace, plutôt que d’exiger une installation individuelle par chaque employé.
- Visibilité d’audit : Vérifiez si la console d’administration journalise les installations, l’utilisation et les changements de permissions de cette application comme pour les autres applications Marketplace.
- Procédure de révocation : Confirmez que vous pouvez révoquer l’accès à l’échelle de l’organisation en une seule action si nécessaire.
Une fois approuvé, ne considérez pas cette décision comme permanente. Revoyez l’utilisation chaque trimestre, surtout si de nouveaux départements demandent l’accès.
Une vue de l’utilisation par département vous aide à anticiper deux choses : les départements qui adoptent discrètement un outil non approuvé, et ceux pour lesquels vous avez donné votre accord mais qui n’utilisent pas réellement l’outil, ce qui signale un besoin de formation plutôt que d’accès supplémentaire.
Comment GPT Workspace répond à ces questions
GPT Workspace est-il sûr pour les administrateurs ? La réponse honnête dépend de la tolérance au risque de votre organisation, mais voici comment l’outil a été conçu par rapport aux points soulevés.
GPT Workspace s’authentifie via le protocole standard Google OAuth et demande des portées liées à l’application spécifique que vous utilisez : Docs, Sheets, Slides, Gmail ou Drive. Il ne demande pas d’accès global à l’ensemble de votre compte Workspace par défaut.
L’extension est conçue pour traiter le contenu des documents et des e-mails uniquement pendant la durée de la session active, plutôt que de créer une copie persistante du contenu de votre organisation sur ses serveurs. Comme elle permet aux utilisateurs de choisir entre GPT, Claude et Gemini pour une tâche donnée, le modèle traitant réellement la requête dépend de celui que l’utilisateur sélectionne, et les conditions de traitement des données de ce fournisseur s’appliquent alors.
Pour les organisations souhaitant un contrôle centralisé, GPT Workspace peut être déployé via la Google Workspace Marketplace au niveau administrateur plutôt que par des installations individuelles. Cela vous donne les mêmes options d’autorisation, de restriction ou de blocage décrites plus haut, appliquées à une seule application plutôt qu’à un patchwork d’extensions installées individuellement.
Rien de tout cela ne remplace votre propre revue. Lisez la documentation de confidentialité actuelle sur gpt.space et passez-la au crible de la checklist ci-dessus avant de l’approuver, comme vous le feriez pour tout outil demandant l’accès aux données de votre organisation.
Essayez GPT Workspace avec votre équipe
Voici la version pratique de la prise de décision pour les administrateurs Google Workspace concernant ChatGPT : pilotez à petite échelle, vérifiez les détails par écrit, puis déployez auprès des équipes demandeuses.
Si vos équipes de recrutement, de finance ou de direction demandent l’IA dans Gmail, Docs et Sheets, un projet pilote contrôlé est une étape logique. Installez GPT Workspace dans une unité organisationnelle de test, passez-le au crible de la checklist ci-dessus et décidez ensuite s’il convient d’élargir l’accès.