Plugins ChatGPT en entreprise : comment les auditer avec l’export CSV d’OpenAI

2. Ce qu’OpenAI annonce

Depuis le 17 août 2026, certains propriétaires et administrateurs d’espaces ChatGPT Enterprise peuvent exporter le catalogue des plugins publics disponibles pour leur organisation. L’opération s’effectue depuis la rubrique d’administration des plugins, en sélectionnant le catalogue public puis l’option « Export CSV ». OpenAI précise que cette possibilité dépend de l’éligibilité de l’espace.

Le fichier téléchargé porte le nom public-plugins-security-review.csv. Il présente notamment le nom et la description du plugin, le nom du développeur, la version, la date d’ajout exprimée en UTC et l’indication de vérification par OpenAI. Il recense aussi le nom et la description des applications incluses ainsi que ceux des compétences Chat associées. Lorsque plusieurs applications ou compétences sont présentes, les valeurs correspondantes sont séparées par des points-virgules.

OpenAI indique que l’export repose sur une photographie du catalogue pouvant dater de 48 heures. Il contient uniquement les plugins publics visibles dans l’espace concerné. Les plugins créés spécialement pour cet espace ne sont pas inclus. La fonctionnalité n’est pas disponible dans les espaces FedRAMP.

3. À qui cette nouveauté peut servir

Cette fonction concerne principalement les organisations disposant d’un espace ChatGPT Enterprise et d’une personne chargée de son administration.

Elle peut intéresser un dirigeant de PME, un responsable informatique, un référent IA, un responsable de la sécurité ou de la conformité. Elle peut également aider un prestataire accompagnant une entreprise dans la définition des outils autorisés.

Le principal problème professionnel traité est celui de l’inventaire. Avant de rendre des plugins accessibles aux collaborateurs, l’organisation dispose d’un tableau qu’elle peut consulter, filtrer et documenter. L’export peut ainsi constituer un point de départ pour identifier les outils susceptibles d’accéder à des services documentaires, des messageries, des calendriers ou d’autres ressources professionnelles.

4. Exemple d’usage en TPE-PME

Hypothèse d’usage DR1, à confirmer par un test dans un espace éligible. Une PME souhaite autoriser quelques plugins à son équipe administrative. L’administrateur exporte le catalogue public, puis ajoute dans une copie de travail des colonnes internes : besoin métier, responsable, données potentiellement concernées, actions envisagées, niveau de risque et décision.

Chaque plugin retenu suit ensuite quatre étapes : vérifier qu’il répond à un besoin professionnel précis ; identifier le développeur, la version et les fonctions annoncées ; contrôler séparément les accès au service connecté et les actions autorisées ; faire valider l’activation par un responsable humain.

Le tableau peut alors devenir un registre de décision daté. Il permet d’expliquer pourquoi un plugin a été autorisé, limité à un groupe pilote ou écarté.

Cet usage reste une proposition éditoriale de DR1. OpenAI ne présente pas l’export comme un outil complet de conformité ni comme un registre automatique des décisions de l’entreprise.

5. Limites et précautions

Le fichier CSV décrit un catalogue public ; il ne certifie pas qu’un plugin est adapté à l’entreprise. La présence d’une métadonnée de vérification OpenAI ne dispense pas d’examiner les données consultées, les actions disponibles et les autorisations du service connecté.

La documentation distingue la disponibilité d’un plugin, l’accès à son application, les permissions associées et les droits détenus dans le service externe. Rendre un plugin disponible ne donne donc pas automatiquement accès aux fichiers ou aux actions du service concerné.

Il faut également tenir compte du décalage possible de 48 heures et de l’absence des plugins créés pour l’espace. Une revue complémentaire demeure nécessaire pour obtenir un inventaire complet.

Avant toute activation, DR1 recommande un test avec un compte disposant uniquement des droits indispensables, en commençant par des actions en lecture seule. Les effets externes, les responsabilités et la procédure de retrait doivent être documentés. La décision finale doit rester humaine.