Contrôles d’administration

Un plugiciel peut comprendre des compétences, des applications et des modèles d’application. L’installation des plugiciels et l’accès aux applications sous-jacentes sont des contrôles distincts.

Comportement par défaut selon le forfait

ChatGPT Enterprise et Edu

Dans les espaces de travail Enterprise et Edu, les plugiciels et leurs applications sous-jacentes sont désactivés par défaut. Les administrateurs gèrent l’installation des plugiciels dans Paramètres de l’espace de travail > Plugiciels et choisissent si un plugiciel est Disponible ou Installé pour les rôles admissibles. Lorsqu’ils activent un plugiciel, les administrateurs peuvent activer l’application sous-jacente dans les paramètres du plugiciel ou activer et configurer séparément chaque application sous-jacente dans Paramètres de l’espace de travail > Applications.

La désactivation d’une application sous-jacente bloque la fonctionnalité fournie par celle-ci. Elle ne désinstalle pas nécessairement le plugiciel ni ne supprime les compétences qui ne dépendent pas de cette application.

Les administrateurs Enterprise et Edu peuvent utiliser le RBAC pour l’installation des plugiciels et l’accès aux applications. Ces contrôles sont évalués séparément : un membre peut avoir installé un plugiciel sans pouvoir utiliser une application incluse.

ChatGPT Business

Dans Business, les applications et les plugiciels sont activés par défaut. Les administrateurs gèrent l’installation des plugiciels dans Paramètres de l’espace de travail > Plugiciels et chaque application sous-jacente dans Paramètres de l’espace de travail > Applications. La désactivation d’une application bloque toute fonctionnalité du plugiciel qui en dépend, mais ne désinstalle pas nécessairement le plugiciel ni ne supprime ses fonctionnalités fondées uniquement sur des compétences.

RBAC (contrôle d’accès basé sur les rôles)

Les espaces de travail Enterprise et Edu peuvent attribuer des plugiciels à un ou plusieurs rôles personnalisés. Par défaut, les utilisateurs peuvent accéder aux plugiciels activés et offerts pour leur rôle, mais les administrateurs peuvent déterminer quels rôles y ont accès. Si un utilisateur voit un plugiciel marqué Désactivé par l’administrateur, ce plugiciel ou cette application ne lui est pas accessible en raison des paramètres de l’espace de travail ou du rôle. Un administrateur de l’espace de travail doit lui accorder l’accès avant qu’il puisse s’y connecter.

Les plugiciels qui comprennent des applications requises héritent des paramètres de rôle de ces applications. Si le rôle d’un membre ne permet pas d’accéder à l’application requise, le plugiciel ne peut pas utiliser la fonctionnalité fournie par cette application pour ce membre. Les contrôles des plugiciels de l’espace de travail peuvent également déterminer si un plugiciel est Offert ou Installé pour un rôle.

Gérer l’accès aux plugiciels et aux applications

L’accès aux applications détermine qui peut utiliser une application connectée dans l’espace de travail. Les autorisations des applications déterminent quand ChatGPT demande une confirmation avant d’utiliser une application.

Pour gérer qui peut utiliser une application précise, accédez à Paramètres de l’espace de travail > Applications, ouvrez le menu de l’application et sélectionnez Accès utilisateur. Choisissez ensuite les rôles qui peuvent accéder à l’application, puis enregistrez vos modifications. Si vous annulez ou fermez sans enregistrer, les paramètres d’accès actuels de l’application demeurent inchangés.

Pour gérer les applications qu’un rôle peut utiliser :

• Accédez à Paramètres de l’espace de travail > Autorisations et rôles.

• Sélectionnez Rôles personnalisés.

• Sélectionnez le rôle que vous souhaitez modifier.

• Faites défiler jusqu’à la section Données connectées.

• Activez Autoriser les membres à utiliser des plugiciels et des applications pour permettre à ce rôle de les utiliser.

• Utilisez Sélectionner pour choisir des applications précises pour ce rôle.

Ajouter de nouvelles applications et de nouveaux plugiciels

Lorsqu’ils activent une nouvelle application dans l’espace de travail, les administrateurs sont invités à attribuer les rôles qui peuvent y accéder. Si l’application prend en charge les contrôles des actions, les administrateurs peuvent aussi examiner ses actions avant de la rendre accessible.

Une fois publiés, les modèles d’application suivent le même modèle de gouvernance administrative. Les administrateurs et propriétaires de l’espace de travail examinent l’ébauche d’application générée par le modèle, la publient lorsqu’elle est prête, puis gèrent l’accès, les autorisations par rôle, les contrôles des actions et les autorisations de l’application dans Paramètres de l’espace de travail > Applications.

Les espaces de travail admissibles peuvent aussi proposer Paramètres de l’espace de travail > Plugiciels. Sur la page de détails d’un plugiciel, les administrateurs peuvent examiner les compétences incluses, les applications requises et facultatives ainsi que la Politique d’installation du plugiciel. Pour chaque rôle, Disponible permet aux membres ayant ce rôle d’installer le plugiciel, tandis que Installé l’installe par défaut pour ce rôle.

Si un plugiciel comprend des applications requises, celles-ci doivent être activées pour le rôle concerné. Les applications requises héritent de leur configuration, notamment Accès selon le rôle, Accès en temps réel, Configurer les actions, Configurer les approbations, Recherche indexée, Autorisation de synchronisation, les restrictions de domaine et, lorsqu’ils sont disponibles, les paramètres de synchronisation. Si une application incluse est désactivée, les administrateurs peuvent voir les contrôles Activer, Publier, Modifier la configuration de l’application ou Désactiver, selon l’état de l’application.

Lorsqu’elles sont disponibles, les autorisations des applications remplacent l’ancien contrôle de confirmation des actions. Si le menu Autorisations des applications de l’espace de travail n’affiche pas Ne jamais demander, choisissez une autre valeur par défaut ou définissez Ne jamais demander pour une application précise dans ses paramètres Autorisations des applications. Pour connaître les détails de configuration, consultezModèles d’application ChatGPT.

Contrôles des actions des applications

Le RBAC détermine qui peut utiliser une application. Pour les applications qui prennent en charge le Contrôle des actions, celui-ci détermine ce que l’application peut faire. Les Autorisations des applications déterminent quand ChatGPT demande une confirmation aux membres avant d’utiliser une application.

Ces autorisations d’application s’appliquent aux conversations ChatGPT. Les agents d’espace de travail utilisent les contrôles propres à chaque agent, définis par son créateur, pour déterminer quelles actions d’application sont disponibles et quand les utilisateurs finaux doivent les approuver. Pour en savoir plus sur le comportement des agents, consultez :Agents d’espace de travail ChatGPT pour Enterprise et Business.

Dans Contrôle des actions, les administrateurs peuvent choisir comment traiter les actions actuelles de l’application : autoriser toutes les actions, seulement celles en lecture ou un ensemble personnalisé. Si les administrateurs sélectionnent Personnalisé, ils peuvent aussi choisir comment traiter les actions ajoutées ultérieurement en sélectionnant Activer toutes les nouvelles actions, Activer uniquement les nouvelles actions en lecture ou Désactiver les nouvelles actions.

Certaines applications ne prennent pas en charge le Contrôle des actions. Pour ces applications, les administrateurs peuvent gérer l’accès, mais pas choisir les actions individuelles ni la façon de traiter les nouvelles actions.

Pour les applications qui prennent en charge le Contrôle des actions, l’approbation des étendues du fournisseur ne rend pas automatiquement les nouvelles actions accessibles dans ChatGPT.

Pour modifier l’autorisation d’application par défaut de l’espace de travail :

• Ouvrez les Paramètres de l’espace de travail.

• Accédez à Autorisations et rôles > Données connectées.

• Repérez Autorisations des applications et sélectionnez la valeur par défaut de l’espace de travail.

Pour définir une autre autorisation pour une application :

• Ouvrez la page d’administration Applications de l’espace de travail.

• Ouvrez le menu d’une application publiée et sélectionnez Autorisations des applications.

• Choisissez Utiliser la valeur par défaut de l’espace de travail ou sélectionnez une autre autorisation.

• Sélectionnez Enregistrer.

Selon l’espace de travail et l’application, les options peuvent comprendre Toujours demander, Toute modification, Actions importantes et Ne jamais demander. Actions importantes demande une confirmation avant les actions d’application qui pourraient avoir un effet notable hors de ChatGPT, exposer des renseignements sensibles ou être difficiles à annuler. Certaines actions particulièrement risquées peuvent être bloquées plutôt que soumises à une approbation.

Contrôles précis de Google Drive (synchronisé)

Remarque : Les actions Google Docs, Sheets et Slides sont maintenant offertes comme actions Google Drive. Elles sont ainsi regroupées dans l’application Google Drive, ce qui simplifie l’utilisation des applications Google. Les applications autonomes Google Docs, Sheets et Slides ne sont plus affichées séparément. Les utilisateurs doivent connecter Google Drive pour accéder à Docs, Sheets et Slides.

Dans ChatGPT Enterprise/Edu, ces nouvelles actions Google Drive unifiées sont désactivées par défaut jusqu’à ce qu’un administrateur de l’espace de travail les active. Dans ChatGPT Business, elles sont activées par défaut. Après leur activation, les administrateurs Google Workspace pourraient devoir autoriser de nouveau les portées Google Drive mises à jour avant que les utilisateurs puissent employer ces actions ou que de nouveaux utilisateurs puissent se connecter. Si vos utilisateurs signalent qu’ils ne peuvent pas se connecter à Google Drive, vérifiez les autorisations de portée Google Workspace pour Google Drive, Docs, Sheets et Slides. Confirmez également que toutes les actions de l’application ont des portées autorisées, ou désactivez les actions que vous ne souhaitez pas autoriser.

La fonctionnalité de synchronisation n’est pas touchée par ce changement.

Restriction des fichiers et configuration

Les espaces de travail Enterprise, Edu et Business peuvent :

• Limiter l’application avec synchronisation à certains dossiers ou disques partagés.

• Exclure certains types de fichiers de l’indexation.

• Choisir entre Configuration rapide (chaque utilisateur authentifie son compte) et Accès contrôlé par l’administrateur (configuration centralisée pour des contrôles granulaires).

Pour en savoir plus sur l’activation de l’application Google Drive avec synchronisation, consultez notre article d’aide :Application Google Drive avec synchronisation — configuration libre-service

RBAC pour Google Drive (synchronisé) dans Enterprise et Edu

Lorsque vous activez l’application Google Drive avec synchronisation, tous les utilisateurs qui avaient accès à la version non synchronisée obtiennent aussi accès à la version synchronisée. Il n’est actuellement pas possible de définir des autorisations différentes pour les versions synchronisée et non synchronisée.

Si vous aviez configuré une liste d’autorisation pour l’application Google Drive avec synchronisation avantl’introduction du RBAC pour les applications, votre liste a été associée à de nouveaux groupes et rôles RBAC nommés Utilisateurs du connecteur Google Drive et Rôle du connecteur Google Drive.

• Si l’application Google Drive était activée dans votre espace de travail, seuls les utilisateurs figurant sur la liste d’autorisation de l’application avec synchronisation conservent maintenant leur accès.

• Les utilisateurs qui ne figuraient pas sur la liste d’autorisation n’ont plus accès à l’application Google Drive non synchronisée et doivent être ajoutés de nouveau.

• Les utilisateurs ayant accès à l’application Google Drive avec synchronisation ont maintenant aussi accès à l’application Google Drive standard.

Tous les autres rôles et toutes les autres autorisations de l’espace de travail demeurent inchangés.

Autorisations Microsoft requises pour les applications

Certaines actions des applications Outlook Email, Outlook Calendar, Microsoft Teams et SharePoint nécessitent des autorisations Microsoft Graph qu’un administrateur Microsoft Entra doit accorder à l’organisation. Le propriétaire ou l’administrateur d’un espace de travail ChatGPT et l’administrateur Microsoft Entra peuvent être deux personnes différentes. Communiquez donc avec la personne qui peut accorder le consentement à l’échelle de l’organisation.

Examiner les autorisations dans ChatGPT

Pour chaque application Microsoft activée :

1. Connectez-vous à ChatGPT en tant que propriétaire ou administrateur de l’espace de travail.

2. Accédez à Administration → Applications, puis sélectionnez Activées.

3. Ouvrez le menu d’options de l’application, puis sélectionnez Gérer l’application.

4. Sélectionnez Autorisations Microsoft.

5. Examinez chaque autorisation Microsoft Graph et les actions ChatGPT indiquées sous celle-ci. À venir signifie qu’une action est incluse aux fins d’examen préalable des autorisations, mais qu’elle n’est pas encore offerte. Approuvée signifie que l’autorisation était comprise dans le dernier processus d’approbation réussi effectué dans ChatGPT pour cette application et cet espace de travail.

6. Sélectionnez uniquement les autorisations que votre organisation souhaite inclure dans la demande. Les autorisations et les actions offertes peuvent varier selon l’application. Si votre organisation ne souhaite pas accorder une autorisation, ne l’incluez pas dans la demande et laissez désactivées toutes les actions qui en dépendent.

Effectuer la demande dans Microsoft Entra

1. Sélectionnez Examiner les autorisations dans Microsoft Entra. Si Microsoft Entra ne s’ouvre pas, autorisez les fenêtres contextuelles pour ChatGPT et réessayez.

2. Connectez-vous avec un compte d’administrateur Microsoft Entra autorisé à accorder le consentement à l’échelle de l’organisation.

3. Vérifiez que la bonne organisation et l’application vérifiée ChatGPT / OpenAI, L.L.C. sont affichées.

4. Examinez la demande d’autorisation sélectionnée. L’écran de confirmation de Microsoft Entra ne comporte pas de cases à cocher pour chaque autorisation : sélectionnez Accepter pour accorder l’ensemble des autorisations sélectionnées ou Annuler pour ne rien modifier.

5. Retournez dans ChatGPT et vérifiez que le processus d’approbation est terminé.

Répétez l’examen pour chaque application Microsoft activée. Les autorisations Microsoft sont accordées au locataire Entra et à l’application OpenAI, tandis que ChatGPT assure le suivi de l’examen des autorisations pour chaque espace de travail et chaque application.

Après l’approbation des autorisations

L’approbation des autorisations Microsoft n’active pas les actions ChatGPT et ne connecte pas le compte Microsoft d’un utilisateur. Les propriétaires et les administrateurs de l’espace de travail doivent activer séparément les actions qu’ils souhaitent rendre accessibles. Les utilisateurs pourraient également devoir connecter ou reconnecter leur compte Microsoft après la modification des autorisations.

Si une action ne fonctionne toujours pas, vérifiez ce qui suit :

1. L’action est activée dans les paramètres de l’application de l’espace de travail ChatGPT.

2. L’autorisation accordée existe toujours dans Microsoft Entra.

3. La connexion Microsoft de l’utilisateur a été créée ou actualisée avec les autorisations requises.

Si un administrateur Entra modifie ou révoque ultérieurement l’autorisation directement dans Microsoft, examinez-la dans Entra et relancez le processus d’approbation de ChatGPT.

Consultez les pages suivantes du centre d’assistance pour connaître les autorisations requises par chaque application :

• Courriel Outlook

• Calendrier Outlook

• Microsoft Teams

• Microsoft SharePoint

• Microsoft Azure Boards

La page de chaque application décrit les étendues requises par celle-ci. Pour connaître l’association actuelle entre les actions et les autorisations propres au connecteur, utilisez l’écran Autorisations Microsoft de l’application dans ChatGPT.

Applications personnalisées

Dans les espaces de travail Business, Enterprise et Edu, seuls les propriétaires de l’espace de travail et les utilisateurs pour lesquels le paramètre correspondant est activé (dans Enterprise/Edu) peuvent activer le mode développeur afin de publier et de tester des applications personnalisées. Les utilisateurs ayant le rôle de membre ne peuvent pas ajouter eux-mêmes des applications personnalisées.

Comme pour les autres applications, les utilisateurs finaux doivent s’authentifier eux-mêmes auprès de chaque application avant la première utilisation.

Pour obtenir un aperçu général du mode développeur, des applications personnalisées et des connecteurs MCP dans ChatGPT, consultez notre article :Mode développeur et applications personnalisées dans ChatGPT

Pour obtenir une procédure technique expliquant comment créer un connecteur MCP personnalisé, consultez notre documentation :Création d’applications MCP personnalisées

Remarque : Les applications personnalisées ne sont pas vérifiées par OpenAI et sont destinées uniquement aux développeurs. Vous ne devriez ajouter des applications personnalisées à votre espace de travail que si vous connaissez l’application sous-jacente et lui faites confiance.En savoir plus.

• Les applications peuvent permettre aux utilisateurs finaux de communiquer à des tiers des données pouvant comprendre des renseignements médicaux protégés (PHI). Vous devez vous assurer que votre utilisation des applications respecte vos obligations en vertu de la HIPAA.

---

Sécurité et conformité

Sécurité

Nous protégeons vos données par un chiffrement conforme aux normes de l’industrie en transit et au repos. Les jetons OAuth sont stockés selon de rigoureuses pratiques vérifiées de gestion des clés. Une fois l’application activée, chaque utilisateur autorise son propre compte, et ChatGPT accède uniquement au contenu visé par les autorisations existantes de cet utilisateur, comme les étendues en lecture seule.

OpenAI applique continuellement des techniques de test, de surveillance et d’atténuation multicouche pour réduire le risque d’injection d’invites. Pour une protection accrue, les conversations qui utilisent des applications disposent d’un accès réseau strictement limité afin que les données restent entre OpenAI et les outils précis que vous connectez. Des contrôles d’accès stricts garantissent que ChatGPT ne voit que ce que chaque utilisateur est autorisé à consulter et que toutes les données restent chiffrées en transit et au repos.

OpenAI utilise-t-elle les renseignements provenant des applications pour entraîner ses modèles?

Pour les clients ChatGPT Business, Enterprise et Edu, nous n’utilisons pas les renseignements consultés à partir des applications pour entraîner nos modèles. Consultez notrepage sur la confidentialité pour les entreprises pour savoir comment nous utilisons les données d’entreprise.

Les données de Chat et de recherche approfondie sont traitées temporairement et ne sont pas indexées. Les données des applications avec synchronisation sont indexées pour accélérer les réponses, dans le respect de vos paramètres d’entraînement.

Stockage et résidence des données

Toutes les applications avec synchronisation sont prises en charge pour les espaces de travail avec résidence des données aux États-Unis, en Europe (EEE et Suisse) et au Japon. Les applications Google Drive et GitHub avec synchronisation sont aussi prises en charge dans toutes lesrégions de résidence des données actuellement prises en charge.

Pour les applications avec synchronisation qui ne prennent pas en charge la résidence des données dans votre région, l’index de recherche synchronisé est stocké dans les centres de données Azure d’OpenAI aux États-Unis.


Applications non synchronisées : Les applications sont compatibles avec la résidence des données, mais il est important de noter que les applications connectées sont des services tiers et que les données envoyées à une application connectée sont assujetties aux politiques de résidence des données de celle-ci.

Autrement dit, si votre organisation utilise la résidence des données en Europe, OpenAI limitera le stockage du contenu client à l’Europe jusqu’à ce que les requêtes et les invites soient envoyées à une application connectée. Assurez-vous que vos applications connectées respectent également toutes vos exigences en matière de résidence des données.

Conformité

Les conversations des utilisateurs, y compris celles utilisant une application, sont déjà accessibles dans l’API de conformité.

De plus, tous les appels d’application sont consignés dans laplateforme de journaux de conformité d’OpenAI.

En savoir plus :API de conformité pour les clients Enterprise.

Sécurité granulaire de Google Drive (synchronisé)

En plus de l’authentification OAuth, les propriétaires d’espaces de travail Business, Enterprise et Edu peuvent utiliser la délégation à l’échelle du domaine (DWD).