Contrôles administratifs

Un plug-in peut inclure des compétences, des applications et des modèles d'application. L'installation du plug-in et l'accès à l'application sous-jacente sont des contrôles distincts.

Comportement par défaut selon le forfait

ChatGPT Enterprise et Edu

Dans les espaces de travail Enterprise et Edu, les plugins et leurs applications sous-jacentes sont désactivés par défaut. Les administrateurs gèrent l'installation des plugins dans les paramètres de l'espace de travail > plugins et choisissent si un plugin est disponible ou installé pour les rôles éligibles. Lorsqu'ils activent un plugin, les administrateurs peuvent activer l'application sous-jacente depuis les paramètres du plugin, ou activer et configurer séparément chaque application sous-jacente dans les paramètres de l'espace de travail > applications.

La désactivation d'une application sous-jacente bloque la fonctionnalité dépendante de cette application. Cela ne désinstalle pas forcément le plug-in, ni ne supprime forcément les compétences qui ne dépendent pas de cette application.

Les administrateurs Enterprise et Edu peuvent utiliser le contrôle d'accès basé sur les rôles (RBAC) pour l'installation de plugins et l'accès aux applications. Ces contrôles sont évalués séparément  : un membre peut avoir installé un plug-in, mais ne pas être en mesure d'utiliser une application incluse.

ChatGPT Business

Dans Business, les applications et les plug-ins sont activés par défaut. Les administrateurs gèrent l'installation des plugins dans Paramètres de l'espace de travail > Plugins et gèrent chaque application sous-jacente dans Paramètres de l'espace de travail > Applications. La désactivation d'une application bloque toute fonctionnalité de plugin qui en dépend, mais ne désinstalle pas nécessairement le plugin ni ne supprime ses fonctionnalités réservées aux compétences.

RBAC (Contrôle d'accès basé sur les rôles)

Les espaces de travail Enterprise et Edu peuvent assigner des plugins à un ou plusieurs rôles personnalisés. Par défaut, les utilisateurs peuvent accéder aux plugins activés et disponibles pour leur rôle, mais les administrateurs peuvent contrôler quels rôles y ont accès. Si un utilisateur voit un plugin marqué Désactivé par l'administrateur, ceci signifie que ce plugin ou cette application n'est pas disponible pour lui en raison des paramètres de l'espace de travail ou du rôle ; un administrateur de l'espace de travail doit activer l'accès avant que l'utilisateur puisse le connecter.

Les plug-ins qui incluent des applications requises héritent des paramètres de rôle de ces applications. Si le rôle d'un membre ne peut pas accéder à l'application requise, le plugin ne peut pas utiliser la fonctionnalité adossée à cette application pour ce membre. Les contrôles des plugins de l'espace de travail peuvent également déterminer si un plugin est Disponible ou Installé pour un rôle.

Gérer l'accès aux plugins et aux applications

L’accès aux applications permet de contrôler qui peut utiliser une application connectée dans l’espace de travail. Les autorisations des applications déterminent quand ChatGPT demande confirmation avant d’utiliser une application.

Pour gérer qui peut utiliser une application spécifique, accédez à Paramètres de l’espace de travail > Applications, ouvrez le menu de l’application, puis sélectionnez Accès utilisateur. Ensuite, choisissez les rôles qui peuvent accéder à l’application, puis enregistrez vos modifications. Si vous annulez ou fermez sans enregistrer, les paramètres d’accès actuels de l’application restent inchangés.

Pour gérer les applications qu’un rôle peut utiliser :

• Allez à Paramètres de l'espace de travail > Autorisations et rôles.

• Sélectionnez Rôles personnalisés.

• Sélectionnez le rôle que vous souhaitez modifier.

• Faites défiler jusqu'à la section Données connectées.

• Activez l'option Permettre aux membres d'utiliser les plugins et les applications pour autoriser l'utilisation des plugins et des applications pour ce rôle.

• Utilisez Sélectionner pour choisir des applications spécifiques pour ce rôle.

Ajout de nouvelles applications et de nouveaux plugins

Lors de l'activation d'une nouvelle application au niveau de l'espace de travail, les administrateurs sont invités à attribuer les rôles pouvant y accéder. Si l'application prend en charge les contrôles d'actions, les administrateurs peuvent également examiner les actions de l'application avant de la rendre disponible.

Après publication, les modèles d'application suivent le même modèle de gouvernance administrative. Les administrateurs et propriétaires de l'espace de travail examinent le brouillon d'application généré à partir du modèle, le publient lorsqu'il est prêt, puis gèrent l'accès, les autorisations limitées par rôle, les contrôles d'action et les autorisations de l'application depuis Paramètres de l'espace de travail > Applications.

Les espaces de travail éligibles peuvent également disposer de paramètres de l'espace de travail > plugins. Depuis la page de détails d'un plugin, les administrateurs peuvent consulter les compétences incluses, les applications requises, les applications facultatives et la stratégie d'installation du plugin. Pour chaque rôle, Disponible permet aux membres ayant ce rôle d'installer le plugin, tandis que Installé installe le plugin par défaut pour ce rôle.

Si un plugin inclut des applications requises, ces applications doivent être activées pour le rôle concerné. Les applications obligatoires héritent de leur configuration d'application, notamment Accès par rôle, Accès en temps réel, Configuration des actions, Configuration des approbations, Recherche indexée, Autorisation de synchronisation, les restrictions de domaine et les paramètres de synchronisation, le cas échéant. Si une application incluse est désactivée, les administrateurs peuvent voir les commandes Activer, Publier, Modifier la configuration de l'application ou Désactiver, selon l'état de l'application.

Lorsqu'elles sont disponibles, les autorisations d'application remplacent l'ancien contrôle de confirmation d'action. Si le menu Autorisations des applications à l'échelle de l'espace de travail n'affiche pas Ne jamais demander, choisissez une autre valeur par défaut pour l'espace de travail ou définissez Ne jamais demander pour une application spécifique depuis les paramètres Autorisations des applications de cette application. Pour plus de détails sur la configuration, reportez-vous auxmodèles d'application ChatGPT.

Contrôles des actions des applications

RBAC contrôle qui peut utiliser une application. Pour les applications qui prennent en charge le contrôle des actions, le contrôle des actions détermine ce que l'application peut faire. Les autorisations des applications déterminent quand ChatGPT demande l'autorisation aux membres avant d'utiliser une application.

Ces autorisations des applications s'appliquent aux conversations avec ChatGPT. Les agents d'espace de travail utilisent des contrôles propres à chaque agent, définis par le créateur de l'agent, pour déterminer quelles actions d'application sont disponibles et à quel moment les utilisateurs finaux sont invités à les approuver. Pour en savoir plus sur le comportement des agents, consultez :Agents ChatGPT pour l'espace de travail Enterprise et Business.

Dans Contrôle d'actions, les administrateurs peuvent choisir comment les actions actuelles de l'application sont gérées  : en autorisant toutes les actions, en autorisant uniquement les actions en lecture, ou en sélectionnant un ensemble personnalisé d'actions. Si les administrateurs sélectionnent Personnalisé, ils peuvent également choisir comment les actions ajoutées ultérieurement sont gérées en sélectionnant Activer toutes les nouvelles actions, N'activer que les nouvelles actions de lecture ou Désactiver les nouvelles actions.

Certaines applications ne prennent pas en charge le contrôle des actions. Pour ces applications, les administrateurs peuvent gérer l'accès aux applications, mais ils ne peuvent pas choisir des actions individuelles ni définir la manière dont les actions nouvellement ajoutées sont traitées.

Pour les applications qui prennent en charge le contrôle des actions, l'approbation du périmètre du fournisseur ne rend pas automatiquement de nouvelles actions disponibles dans ChatGPT.

Pour modifier les autorisations d'accès accordées aux applications par défaut dans l'espace de travail :

• Ouvrez les Paramètres de l’espace de travail.

• Allez dans Autorisations et rôles > Données connectées.

• Recherchez Autorisations des applications et sélectionnez le paramètre par défaut de l’espace de travail.

Pour définir une autorisation différente pour une application :

• Ouvrez la page d’administration Applications de l’espace de travail.

• Ouvrez le menu d’une application publiée et sélectionnez Autorisations de l’application.

• Choisissez Utiliser la valeur par défaut de l’espace de travail ou sélectionnez une autre autorisation.

• Sélectionnez Enregistrer.

Les options peuvent inclure Toujours demander, Toutes les modifications, Actions importantes et Jamais demander, en fonction de l'espace de travail et de l'application. Avec Actions importantes, une confirmation vous est demandée avant toute action d'application susceptible d'avoir un effet significatif en dehors de ChatGPT, d'exposer des informations sensibles ou d'être difficile à annuler. Certaines actions particulièrement risquées peuvent être bloquées au lieu d'être soumises à approbation.

Contrôles granulaires de Google Drive (synchronisés)

Remarque : les actions Google Docs, Sheets et Slides sont désormais disponibles en tant qu'actions Google Drive. Cela permet d'unifier ces actions dans l'application Google Drive et de simplifier l'utilisation des applications Google. Les applications autonomes Google Docs, Sheets et Slides ne sont plus répertoriées séparément. Les utilisateurs doivent connecter Google Drive pour accéder à Docs, Sheets et Slides.

Pour ChatGPT Enterprise/Edu, ces nouvelles actions unifiées Google Drive sont désactivées par défaut jusqu'à ce qu'un administrateur de l'espace de travail les active. Pour ChatGPT Business, ils sont activés par défaut. Une fois l'activation effectuée, les administrateurs Google espace de travail peuvent être amenés à réautoriser les autorisations Google Drive mises à jour avant que les utilisateurs puissent utiliser ces actions ou que de nouveaux utilisateurs puissent se connecter. Si vous recevez des réclamations de la part de vos utilisateurs indiquant qu'ils ne parviennent pas à se connecter à Google Drive, veuillez vérifier les autorisations Google espace de travail pour Google Drive, Docs, Sheets et Slides, et confirmer que toutes les actions de l'application disposent d'autorisations qui ont été validées, ou désactiver les actions que vous ne souhaitez pas autoriser.

Notez que la fonctionnalité de synchronisation n'est pas affectée par ce changement. *

Restriction de fichier et configuration

Les espaces de travail Enterprise, Edu et Business peuvent :

• Limiter l'application à synchroniser avec des drives partagés ou des dossiers spécifiques

• Exclure des types spécifiques de fichiers de l'indexation

• Choisir entre une configuration rapide (chaque utilisateur authentifie son compte) et un accès contrôlé par l'administrateur (configuration centralisée pour des contrôles détaillés).

Pour plus d'informations concernant l'activation de l'application Google Drive avec synchronisation, veuillez consulter notre article d'aide :Application Google Drive avec synchronisation - configuration en libre-service

RBAC pour Google Drive (synchronisé) pour Enterprise et Edu

Une fois que vous aurez activé l'application Google Drive avec synchronisation, tous les utilisateurs qui avaient accès à la version non synchronisée auront également accès à la version synchronisée. Il n'est actuellement pas possible de définir des autorisations différentes entre les versions synchronisées et non synchronisées.

Si vous avez précédemment configuré une liste d'autorisation pour l'application Google Drive avec synchronisation avant l'introduction desRBAC pour les applications, votre liste d'autorisation a été associée à de nouveaux groupes et rôles RBAC nommés Utilisateurs du connecteur Google Drive et Rôle du connecteur Google Drive.

• Si l'application Google Drive était activée au niveau de votre espace de travail, seuls les utilisateurs figurant sur la liste blanche de synchronisation de l'application conservent désormais leur accès.

• Les utilisateurs qui n'étaient pas sur la liste d'autorisation n'ont plus accès à l'application Google Drive non synchronisée et doivent être réintégrés.

• Les utilisateurs ayant accès à l'application Google Drive avec synchronisation ont désormais accès à l'application Google Drive standard.

Tous les autres rôles et autorisations de l'espace de travail restent inchangés.

Autorisations requises pour Microsoft Outlook (Calendrier et e-mail), Teams et Microsoft SharePoint

Pour activer l'intégration entre ChatGPT et Microsoft Outlook, Teams et SharePoint, il est nécessaire d'accorder des autorisations dans Microsoft Entra ID (anciennement Azure AD) pour chaque service. Consultez nos pages du Centre d'aide pour connaître les autorisations requises  :

• Outlook Email

• Outlook Calendar

• Microsoft Teams

• Microsoft SharePoint

• Microsoft Azure Boards

Chaque page d'application décrit la portée requise pour chaque application. Pour les périmètres actuels, ouvrez l'application dans Paramètres de l'espace de travail > Applications.

Applications personnalisées

Dans les espaces de travail Business, Enterprise et Edu, seuls les propriétaires d'espaces de travail et les utilisateurs ayant le paramètre respectif activé (pour Enterprise/Edu) peuvent activer le mode développeur pour publier et tester des applications personnalisées. Les utilisateurs ayant le rôle de membre n'ont pas la capacité d'ajouter eux-mêmes des applications personnalisées.

Comme pour les autres applications, les utilisateurs finaux doivent s'authentifier auprès de chaque application avant leur première utilisation.

Pour obtenir un aperçu général du mode développeur, des applications personnalisées et des connecteurs MCP dans ChatGPT, veuillez consulter notre article :Mode d'emploi du mode développeur et des applications personnalisées dans ChatGPT

Pour une procédure technique détaillée sur la création d'un connecteur MCP personnalisé, veuillez consulter notre documentation :Créer des applications MCP personnalisées Remarque* :Veuillez noter que les applications personnalisées ne sont pas vérifiées par OpenAI et sont destinées uniquement à une utilisation par les développeurs. Vous ne devriez ajouter des applications personnalisées à votre espace de travail que si vous connaissez et faites confiance à l'application sous-jacente.En savoir plus. *

• Les applications peuvent permettre aux utilisateurs finaux de partager des données, qui peuvent inclure des informations médicales protégées (PHI), avec des tiers. Veuillez vous assurer que votre utilisation des applications est conforme à vos obligations en vertu de la loi HIPAA.*

---

Sécurité et conformité

Sécurité

Nous protégeons vos données à l'aide d'un chiffrement conforme aux normes de l'industrie, tant pendant leur transfert que lorsqu'elles sont stockées. Les tokens OAuth sont stockés à l'aide de pratiques de gestion des clés robustes et auditées. Une fois qu'une application est activée, chaque utilisateur autorise son propre compte, et ChatGPT n'accède qu'au contenu dans les limites des autorisations existantes de cet utilisateur, telles que les autorisations en lecture seule.

OpenAI met en œuvre des tests continus, une surveillance et des techniques d'atténuation à plusieurs niveaux afin de réduire le risque d'injection de prompt. Pour une protection supplémentaire, les conversations qui utilisent des applications ont un accès réseau verrouillé afin de conserver les données entre OpenAI et les outils spécifiques auxquels vous vous connectez. Des contrôles d'accès stricts garantissent que ChatGPT ne voit que ce à quoi chaque utilisateur est autorisé à accéder, et toutes les données restent cryptées pendant leur transfert et leur stockage.

OpenAI utilise-t-il les informations des applications pour entraîner ses modèles ?

Pour les clients de ChatGPT Business, Enterprise et Edu, nous n'utilisons pas les informations provenant des applications pour entraîner nos modèles. Consultez notrepage confidentialité pour les entreprises pour en savoir plus sur la gestion des données professionnelles.

Les données de chat et de recherche approfondie sont traitées de manière transitoire et ne sont pas indexées. L'application avec synchronisation des données est indexée afin d'accélérer les réponses, tout en respectant vos paramètres d'entraînement.

Stockage et résidence des données

Toutes les applications avec synchronisation sont prises en charge pour les espaces de travail avec résidence des données aux États-Unis, en Europe (EEE + Suisse) et au Japon. Les applications Google Drive et GitHub avec synchronisation sont également prises en charge dans toutes lesrégions de résidence des données actuellement prises en charge.

Pour les applications avec synchronisation qui ne sont pas prises en charge pour la résidence des données dans votre région, l'index de recherche synchronisé est stocké dans les centres de données Azure d'OpenAI aux États-Unis.


Applications non synchronisées : les applications sont compatibles avec la résidence des données, mais il est important de noter que les applications connectées sont des services tiers et que les données envoyées à une application connectée sont soumises aux politiques de résidence des données propres à cette application.

En d'autres termes, si vous êtes une organisation avec une résidence des données en Europe, OpenAI limitera le stockage du contenu des clients à l'Europe jusqu'à ce que les requêtes et les prompt soient envoyées à une application connectée. Veuillez vous assurer que vos applications connectées respectent également toutes les exigences de résidence des données que vous pourriez avoir.

Conformité

Les conversations des utilisateurs, y compris celles utilisant n'importe quelle application, sont déjà disponibles dans l'API de conformité (Compliance).

De plus, tous les appels d'application sont consignés dans le cadre de laplateforme OpenAI Compliance Logs.

Pour en savoir plus :API de conformité pour les clients Enterprise.

Sécurité granulaire de Google Drive (synchroniser)

En plus de l'authentification OAuth, les propriétaires des espaces de travail Business, Enterprise et Edu peuvent utiliser la délégation à l'échelle du domaine (DWD).