FAQ sur ChatGPT Work pour les administrateurs

ChatGPT Work intègre la technologie de Codex à ChatGPT pour traiter des tâches de longue durée en plusieurs étapes. Il peut recueillir des éléments de contexte dans les discussions, les fichiers, les ressources de l’espace de travail et les systèmes connectés, utiliser des outils approuvés et produire des résultats prêts à être examinés. Les accès, le contexte disponible, les actions, le comportement réseau et la consommation de crédits varient selon le forfait, les paramètres de l’espace de travail, les autorisations des sources et l’interface utilisée.

Utiliser Work sur plusieurs appareils

Que permet l’accès à l’ordinateur local avec Work Cloud ?

Les membres peuvent poursuivre une conversation cloud éligible d’un appareil à l’autre et utiliser des fichiers ou des outils approuvés sur un ordinateur connecté. Pour connaître la marche à suivre, consultez le guide destiné aux membres : Poursuivre une tâche Work sur plusieurs appareils.

Comment activer cette fonctionnalité ?

Pour activer la fonctionnalité pour les utilisateurs concernés :

1. Activez Work Cloud pour ces utilisateurs. L’option Autoriser l’accès à l’ordinateur local se trouve sous Work Cloud. Il n’est pas nécessaire d’activer Utiliser Codex localement dans l’application de bureau ChatGPT.

2. Vérifiez les règles de base applicables au cloud dans Agent Security.

3. En tant que propriétaire de l’espace de travail, ouvrez Paramètres de l’espace de travail > Autorisations et rôles, puis activez Autoriser l’accès à l’ordinateur local. Suivez les étapes de vérification des politiques et de consentement qui s’affichent pour votre espace de travail. Vous pouvez migrer les politiques avant la configuration. Vérifiez-les avant le déploiement. La procédure de confirmation de l’accès n’exige pas de créer de politiques. Consultez Accès à l’ordinateur local pour Work Cloud et les dots pour connaître les conditions de configuration et d’éligibilité propres à chacun.

Si enforce_residency est activé dans au moins une politique cloud, l’option Autoriser l’accès à l’ordinateur local est désactivée pour Work comme pour les dots. Cette protection ne configure pas la résidence des données de l’espace de travail et ne désactive pas à elle seule Work Cloud ou les dots.

Peut-on utiliser cette fonctionnalité si les politiques sont distribuées uniquement par MDM ?

Configurez dans Agent Security les exigences d’entreprise prises en charge pour l’exécution locale. Lorsque l’accès à l’ordinateur local avec Work Cloud est activé, les conteneurs cloud de Work n’appliquent pas ces exigences. Le système de gestion des appareils mobiles (MDM) les distribue aux appareils.

Pour l’exécution locale, les exigences distribuées par MDM et les anciennes exigences relatives aux appareils gérés priment sur celles d’Agent Security. Agent Security prime à son tour sur le fichier d’exigences système de l’appareil. Cet ordre de priorité local n’étend pas l’application des exigences d’entreprise aux conteneurs cloud de Work. Ceux-ci continuent d’utiliser les politiques Work Cloud existantes.

Que faire si nous utilisons déjà des politiques cloud ?

Utilisez Agent Security dans la console d’administration pour gérer les politiques et la configuration. Cette rubrique remplace Politiques et configuration. Agent Security sera accessible à tous, indépendamment de l’accès à l’ordinateur local avec Work Cloud.

Les politiques existantes, leurs affectations et leur ordre de priorité sont conservés. Vérifiez vos politiques existantes dans Agent Security. L’accès à l’ordinateur local avec Work Cloud s’active séparément. Consultez Agent Security pour savoir comment effectuer la migration.

Utilisez l’API de gestion des politiques pour gérer les paramètres Global. Pour gérer les paramètres Local ou Codex Cloud, utilisez l’interface Agent Security. Les workflows existants qui gèrent les paramètres Global via l’API restent disponibles après la migration. Testez vos scripts et vos intégrations Terraform, puis vérifiez que les affectations et l’ordre de priorité des politiques sont inchangés.

Quels hooks sont pris en charge lorsque Work Cloud accède à l’ordinateur local ?

Lorsque la politique gérée et les hooks distants sont activés, Work avec accès à l’ordinateur local et les dots prennent en charge les hooks MCP de la section Global. Un hook de commande configuré sur l’ordinateur connecté ne s’exécute que dans un workflow pris en charge qui se déroule entièrement en local. Consultez Hooks avec orchestration cloud pour connaître les gestionnaires et les événements pris en charge, ainsi que le comportement en cas d’échec.

Quelle politique est prioritaire ?

Au sein d’une même politique, l’ordre de priorité décroissant est le suivant : dérogation d’environnement propre au système d’exploitation → dérogation d’environnement commune à tous les systèmes d’exploitation → Global. Une politique de priorité supérieure l’emporte toujours sur une politique de priorité inférieure, même si cette dernière est plus spécifique. Certaines exigences suivent des règles de fusion propres à chaque champ.

Pour l’exécution locale, les exigences distribuées par MDM et les anciennes exigences relatives aux appareils gérés priment sur celles d’Agent Security. Agent Security prime à son tour sur le fichier d’exigences système de l’appareil.

Lorsque Work Cloud accède à l’ordinateur local, la nouvelle configuration d’entreprise requirements.toml s’applique aux exécuteurs locaux. Elle ne remplace pas les politiques Work Cloud existantes. L’environnement d’exécution cloud ne prend en charge ni les ports d’écoute HTTP/SOCKS gérés ni les proxys qui écoutent sur une adresse autre qu’une adresse de bouclage. La prise en charge des règles relatives aux sockets dépend du chemin d’exécution.

Quelles exigences d’Agent Security s’appliquent à Work Cloud ?

Pour Work avec accès local et les dots, l’orchestrateur cloud partagé applique les règles prises en charge de la politique Global lorsque la politique gérée est activée. Les exigences locales applicables du fichier requirements.toml régissent l’exécution sur un ordinateur connecté. Les conteneurs cloud de Work et les ordinateurs cloud des dots utilisent leur propre configuration d’exécution et leurs propres exigences, à la place de la configuration d’environnement gérée qu’utilisent les autres types d’exécuteurs. Les restrictions d’exécution locale ne s’appliquent pas automatiquement à ces ordinateurs cloud. Vérifiez les autorisations des fonctionnalités cloud et testez séparément l’exécution locale et l’exécution cloud.

Conservez dans Global les paramètres de l’orchestrateur, y compris ceux des approbations et de la recherche web. Lorsqu’ils sont disponibles, utilisez les réglages dédiés aux politiques d’approbation autorisées et aux modes de recherche web autorisés. Utilisez TOML pour les autres champs pris en charge. Consultez la référence de configuration pour connaître la liste des champs et leur portée à l’exécution.

Que se passe-t-il si l’ordinateur local est indisponible ?

Un nouveau tour de conversation éligible peut s’exécuter dans un conteneur cloud qui applique ses propres exigences d’exécution. Les fichiers locaux, les outils locaux et la politique de l’appareil y sont indisponibles. Découvrez ce qui se passe pour les membres lorsque leur ordinateur est hors ligne.

Que se passe-t-il si un administrateur désactive l’accès à l’ordinateur local avec Work Cloud ?

La désactivation de l’accès interrompt les tours de conversation en cours. Pour aider les membres à poursuivre leurs tâches, suivez les instructions de retour en arrière du guide de déploiement. Les politiques de conservation et de suppression des conversations continuent de s’appliquer.

Que deviennent les discussions et les tâches existantes dans les projets lorsque la synchronisation est activée ?

Les tâches existantes conservent leur mode d’origine. Demandez aux membres de démarrer une nouvelle tâche dans le cloud pour utiliser l’accès à l’ordinateur local.

Cela change-t-il le fonctionnement de Codex ?

Non. L’accès à l’ordinateur local avec Work Cloud ne modifie pas la façon dont Codex applique sa configuration. Les conversations qui utilisent cette fonctionnalité n’apparaissent pas dans l’historique de Codex.

La synchronisation convient-elle à un déploiement ZDR ?

Non. L’accès à l’ordinateur local avec Work Cloud ne garantit pas une politique stricte de non-conservation des données. La résidence des données et la résidence de l’inférence couvrent uniquement les contenus éligibles ainsi que les charges de travail, les régions et les configurations prises en charge. Enterprise Key Management (EKM) couvre les contenus stockés pris en charge dans les espaces de travail éligibles. Work ne prend pas en charge la résidence de l’inférence aux Émirats arabes unis. Exécuter une étape sur un ordinateur connecté ne suffit pas à faire du workflow un déploiement ZDR.

Présentation

ChatGPT Work permet de déléguer à ChatGPT des tâches de longue durée en plusieurs étapes. Il peut recueillir des informations auprès de sources connectées, mener un raisonnement en plusieurs étapes, créer des documents, des présentations ou des analyses, puis soumettre les résultats à l’utilisateur pour vérification.

ChatGPT Work est disponible dans les interfaces Web, mobiles et de bureau prises en charge pour les forfaits et les espaces de travail éligibles. Lorsque cette possibilité existe, les propriétaires d’espaces de travail ou les administrateurs habilités peuvent gérer Work Cloud, Work Local et Codex Local au moyen d’autorisations distinctes. Dans les espaces de travail Enterprise et Edu éligibles, le rôle par défaut donne accès à Work, sauf si un administrateur habilité le désactive. Les contrôles du navigateur et du réseau imposent des restrictions supplémentaires à Work Cloud. Sa disponibilité dépend du rôle, du forfait, de l’espace de travail et de la région. Consultez ChatGPT Work et Codex.

Pour en savoir plus sur le modèle d’exécution hébergée et les limites de sécurité, consultez la présentation de ChatGPT Work.

Principaux contrôles d’administration

Les administrateurs gèrent ChatGPT Work à plusieurs niveaux :

• Accès à l’espace de travail de l’entreprise : les contrôles d’identité et d’accès régissent l’authentification et l’accès à l’espace de travail. Selon le forfait et la configuration, les administrateurs peuvent gérer le SSO, la vérification de domaine, le provisionnement SCIM, le cycle de vie des utilisateurs et la synchronisation des groupes d’identités. ChatGPT Business n’inclut ni SCIM ni la synchronisation des groupes d’identités. Les utilisateurs peuvent activer l’authentification multifacteur (MFA) d’OpenAI pour leur compte. ChatGPT ne permet pas d’imposer la MFA à tout un espace de travail. Les organisations qui l’exigent doivent imposer le SSO et la MFA via leur fournisseur d’identité. Gérez le SSO et les paramètres d’identité associés dans la console d’administration globale. Consultez Authentification multifacteur.
• Accès à ChatGPT Work dans l’espace de travail : lorsqu’il est disponible, Work Cloud régit l’utilisation hébergée de Work dans les interfaces Web, mobiles et de bureau prises en charge. Work Local régit l’exécution locale de Work dans l’application de bureau. Codex Local contrôle les accès locaux à Codex pris en charge dans l’application de bureau, la CLI et les clients IDE. Les paramètres du navigateur cloud et du réseau restreignent davantage Work Cloud. La possibilité de personnaliser le contrôle d’accès basé sur les rôles (RBAC) et les autorisations disponibles dépendent du forfait et de l’espace de travail.
• Appartenance aux groupes : avec un forfait prenant en charge SCIM, synchronisez les groupes via un fournisseur d’identité pour que les accès soient mis à jour à l’arrivée, au changement de rôle ou au départ des collaborateurs. Consultez Groupes et provisionnement.
• Rôles de l’espace de travail et des membres : les rôles intégrés à Enterprise comprennent les rôles de propriétaire, d’administrateur, de membre et de lecteur des statistiques. Avec les forfaits compatibles, les rôles personnalisés et le RBAC des membres contrôlent l’accès à ChatGPT Work, aux plugins et aux autres fonctionnalités. Lorsque plusieurs types de licences existent, les membres doivent également disposer d’une licence incluant ChatGPT. Une licence limitée à Codex ne donne pas accès à Work. Consultez Rôles et autorisations de l’espace de travail.
• Plugins et applications : la politique relative aux plugins régit leur disponibilité et leur installation. L’accès aux applications, les contrôles des actions et les modalités d’approbation se configurent séparément. Lorsqu’ils sont disponibles, les agents d’espace de travail disposent de leurs propres contrôles. Consultez Contrôles des plugins, Plugins et le livre blanc sur la sécurité des applications.
• Autorisations du système source : un utilisateur ne peut accéder qu’aux contenus et aux actions autorisés dans l’application d’origine pour le compte ou la connexion partagée utilisés. Consultez Contrôles d’administration, sécurité et conformité des applications.
• Approbations et restrictions d’actions : pour les applications qui prennent en charge le contrôle des actions, les administrateurs peuvent autoriser toutes les actions, uniquement les actions en lecture seule ou un ensemble personnalisé. Ils peuvent aussi définir le traitement des actions ajoutées ultérieurement. Les autorisations des applications déterminent séparément quand ChatGPT doit demander une approbation avant d’utiliser une application.
• Crédits : ChatGPT Work et Codex partagent la même tarification, les mêmes crédits et les mêmes limites d’utilisation. Dans les espaces de travail Enterprise et Edu éligibles, les administrateurs peuvent fixer des limites mensuelles par utilisateur à l’aide d’une valeur par défaut pour l’espace de travail, de valeurs par défaut par groupe et de dérogations individuelles. Les utilisateurs peuvent demander une augmentation si l’espace de travail le permet. Business utilise un modèle distinct pour les crédits et le contrôle des dépenses. Consultez Limites d’utilisation et contrôle des dépenses dans ChatGPT.
• Statistiques et rapports : la console d’administration globale et les statistiques de l’espace de travail permettent d’analyser l’adoption et la consommation de crédits. Utilisez l’API de conformité et les interfaces de reporting de Codex pour les événements et les produits couverts par leur documentation. Vérifiez les schémas actuels avant de vous engager sur la couverture de prompts, de fichiers, d’approbations, d’actions, d’erreurs ou d’appels d’outils précis. Consultez Gouvernance.

Accès, données, systèmes et actions des utilisateurs

Comment les accès aux données et aux systèmes ainsi que les actions des utilisateurs sont-ils protégés ?

ChatGPT Work respecte les contrôles d’identité, d’accès et d’autorisation déjà établis dans votre espace de travail ChatGPT. Pour déterminer qui peut utiliser ChatGPT Work, les administrateurs s’appuient sur la gestion des identités, les rôles de l’espace de travail et, avec les forfaits éligibles, le RBAC.

Lorsque cette fonctionnalité est prise en charge, vous pouvez synchroniser les accès avec votre fournisseur d’identité via SCIM et la synchronisation des groupes. Vous gérez ainsi les accès et les autorisations de manière centralisée à l’arrivée, au changement de rôle ou au départ des collaborateurs.

Les systèmes sources appliquent les autorisations du compte ou de la connexion partagée approuvée qui sert à effectuer l’opération. Une connexion individuelle utilise les droits de la personne dans le système source. Une connexion détenue par un agent ou partagée peut permettre aux utilisateurs autorisés de l’agent d’accéder, via le compte connecté, à des données ou à des actions auxquelles leur propre compte ne donne pas accès. Limitez la portée de la connexion, les actions disponibles et les utilisateurs autorisés à utiliser l’agent en fonction du besoin métier. Consultez Connexions et autorisations des agents d’espace de travail.

Comment ChatGPT Work accède-t-il aux données et au contexte ?

ChatGPT Work peut utiliser la discussion en cours, les fichiers importés, les ressources de l’espace de travail et les systèmes connectés via des applications approuvées et, le cas échéant, des plugins. Selon les fonctionnalités activées et les autorisations accordées, il peut ainsi accéder à des documents, des dépôts, des tickets, des canaux, des e-mails et des calendriers. Des fichiers antérieurs peuvent être accessibles dans la discussion en cours, dans les projets compatibles, via un accès autorisé à la bibliothèque ou grâce aux références automatiques à la bibliothèque si elles sont activées. Les mémoires enregistrées suivent leurs propres paramètres au niveau de l’espace de travail et de l’utilisateur.

Chaque source de contexte conserve ses propres contrôles : les utilisateurs fournissent le contexte de la discussion, les administrateurs gèrent les ressources de l’espace de travail et les systèmes connectés imposent leurs règles d’authentification et d’autorisation. ChatGPT Work peut uniquement accéder aux informations autorisées pour l’utilisateur ou pour une connexion partagée approuvée.

ChatGPT Work hérite des protections applicables à l’espace de travail ChatGPT. La résidence des données, leur conservation, la journalisation et la disponibilité des fonctionnalités varient selon le forfait, la région, l’interface et le système connecté. Vérifiez les garanties applicables à votre configuration.

Quelles actions à fort impact sont restreintes ou nécessitent une vérification ?

Le risque dépend de l’action. Lire des informations ou préparer un brouillon a généralement moins de conséquences que modifier des données, partager des informations ou intervenir dans des systèmes externes. Combinez les rôles, des autorisations et des identifiants aux droits limités, ainsi que les mécanismes d’approbation pris en charge pour réserver les actions à fort impact à des usages de confiance soumis à vérification.

Les catégories d’actions courantes comprennent :

• Lecture : accéder à des informations issues de sources approuvées, les rechercher ou les résumer sans modifier les données sous-jacentes.
• Rédaction : préparer des documents, des e-mails, des rapports, du code ou d’autres contenus qu’une personne vérifiera avant utilisation.
• Écriture : créer, mettre à jour ou supprimer des éléments dans des systèmes connectés, par exemple des documents, des tickets, des dépôts ou des éléments dans des outils de gestion de projet.
• Partage : envoyer, publier ou mettre des informations à la disposition d’autres personnes, systèmes ou destinations externes.
• Planification : démarrer une tâche à une date ultérieure ou à intervalles réguliers sans qu’un utilisateur ait à lancer chaque exécution.
• Exécution : exécuter du code, des commandes shell, des automatisations du navigateur ou d’autres tâches faisant appel à des outils qui interagissent directement avec des environnements externes.

Pour les actions à fort impact, prévoyez une vérification humaine, des identifiants aux droits limités, un périmètre restreint et des approbations prises en charge. Les actions des plugins restent soumises aux autorisations et aux contrôles de sécurité de chaque intégration.

Conformité

Quels engagements de confidentialité et de protection des données s’appliquent à ChatGPT Work en entreprise ?

ChatGPT Work respecte les engagements de confidentialité, de sécurité et de protection des données applicables à l’espace de travail ChatGPT du client, selon le forfait, la configuration, l’interface, la fonctionnalité et la région. Pour ChatGPT Enterprise, ces engagements comprennent l’exclusion par défaut des données de l’entreprise de l’entraînement des modèles, le chiffrement en transit et au repos, les contrôles d’accès au niveau de l’espace de travail et la journalisation d’audit prise en charge.

Pour Work avec accès local, les garanties de résidence s’appliquent uniquement aux contenus éligibles ainsi qu’aux charges de travail, aux régions et aux configurations prises en charge. EKM couvre les contenus stockés pris en charge dans les espaces de travail éligibles. Work ne prend pas en charge la résidence de l’inférence aux Émirats arabes unis. Cette fonctionnalité ne garantit pas une politique stricte de non-conservation des données. Les dots font l’objet d’exclusions distinctes en version bêta et ne prennent en charge ni la résidence des données ni celle de l’inférence. Consultez les conditions de compatibilité et les exigences relatives aux données. La couverture au titre de la loi HIPAA et du contrat de partenariat commercial (Business Associate Agreement) dépend des fonctionnalités utilisées et du contrat applicable.

Les services connectés ont leurs propres exigences en matière de conservation, de journalisation, d’accès, de résidence et de conformité. Lorsque ChatGPT Work utilise des plugins, des dépôts ou des systèmes tiers, évaluez à la fois les contrôles de l’espace de travail ChatGPT et ceux du système connecté.

Pour les activités de Codex, les contrôles d’entreprise peuvent s’étendre aux environnements de développement, aux dépôts, aux outils configurés et aux activités associées. En complément des contrôles de l’espace de travail, consultez le guide de déploiement pour les administrateurs et la rubrique Gouvernance.

Quelles données sont stockées, conservées ou supprimées ?

La conservation et la suppression des données de ChatGPT Work dépendent du forfait de l’espace de travail ChatGPT, des paramètres d’administration et des fonctionnalités utilisées. Les règles de conservation peuvent varier selon les informations auxquelles ChatGPT Work accède. Les conversations et les fichiers éligibles de la bibliothèque suivent les paramètres applicables de l’espace de travail. Les fichiers de projet, les fichiers importés temporairement, les mémoires enregistrées, les événements de conformité, les données d’applications synchronisées et les enregistrements de systèmes tiers peuvent suivre des règles de conservation et de suppression distinctes. Consultez les politiques de conservation des discussions et des fichiers.

ChatGPT Work peut produire du contenu de discussion, des fichiers importés ou générés, des artefacts et des métadonnées d’exécution. Les discussions Codex peuvent également produire des métadonnées de dépôt ou d’environnement, des sorties de commandes, des diffs et des journaux. Consultez la documentation à jour du produit et de l’API de conformité pour connaître précisément les catégories de données, les durées de conservation et les procédures de suppression.

Vérifiez les exigences de conservation dans l’espace de travail ChatGPT et dans les systèmes d’entreprise connectés afin que les politiques de gouvernance des données, de conformité et de conservation des enregistrements de votre organisation s’appliquent à chaque système.

Observabilité

Quelles données d’utilisation les administrateurs et les propriétaires peuvent-ils consulter ?

Les statistiques des produits et les journaux de conformité renseignent les administrateurs et les propriétaires sur différents aspects de l’activité. La console d’administration globale présente les données disponibles sur l’adoption de ChatGPT et de Codex et sur la consommation de crédits. La ventilation par utilisateur, produit, agent ou modèle dépend de l’interface d’analyse et de l’espace de travail. Pour les espaces de travail éligibles, l’API de conformité donne accès aux enregistrements de conversations ChatGPT qu’elle couvre, y compris pour les activités Work prises en charge dans le cloud. La couverture dépend du produit, de l’interface, des autorisations, du point de terminaison disponible et du schéma d’événements documenté. Consultez les statistiques de l’espace de travail et l’API de conformité.

Les prompts, les résultats, les fichiers, les actions et les appels d’outils sont-ils journalisés ?

Pour les espaces de travail Enterprise et Edu éligibles, la plateforme de journaux de conformité donne accès aux prompts des utilisateurs de Work et aux réponses des agents. Les appels aux applications connectées sont journalisés séparément. Les espaces de travail éligibles peuvent accéder aux fichiers actifs de la bibliothèque via les points de terminaison de l’API de conformité dédiés à la bibliothèque qui sont pris en charge. Ces enregistrements ne constituent pas une piste d’audit exhaustive de toutes les opérations sur des fichiers hébergés, commandes shell, interactions avec le navigateur, invocations d’outils ou approbations. Vérifiez les événements et les produits actuellement couverts dans la documentation de l’API de conformité accessible après authentification.

La plateforme de journaux de conformité conserve les données pendant 30 jours. Si votre organisation exige une conservation plus longue, exportez les enregistrements en continu vers un système approuvé de recherche de preuves électroniques, de prévention des pertes de données ou de gestion des informations et événements de sécurité (SIEM), ou vers un lac de données approuvé. Consultez le guide de la plateforme de conformité OpenAI.

L’activation de l’accès à l’ordinateur local avec Work Cloud modifie les événements reçus par votre collecteur OpenTelemetry (OTel) existant. Votre exécuteur local peut toujours exporter les événements d’exécution pris en charge. Les événements d’orchestration cloud ne sont pas transmis à votre collecteur OpenTelemetry existant.

Utilisez l’API de conformité pour accéder aux enregistrements cloud pris en charge. Modifier le point de terminaison du collecteur ne rétablit pas la réception des événements d’orchestration cloud. Les enregistrements de l’API de conformité ne remplacent pas tous les événements de l’ancien flux OpenTelemetry. Consultez Vérifier la couverture d’OpenTelemetry et de l’audit.

Peut-on détecter rapidement les comportements inhabituels, les échecs ou les pics d’utilisation ?

Les statistiques de l’espace de travail, les journaux de conformité et les outils de surveillance connectés aident les administrateurs à examiner l’utilisation et à enquêter sur les activités prises en charge dans ChatGPT, Work et Codex. Selon l’interface de reporting choisie, les indicateurs peuvent porter sur les utilisateurs actifs, les messages pris en charge, l’activité des applications, l’utilisation des agents, les événements d’authentification ou d’administration et la consommation de crédits. Les journaux exportés peuvent servir à la recherche de preuves électroniques, à la prévention des pertes de données, au SIEM, aux audits et aux investigations. La qualité de la détection dépend du forfait, des événements couverts, de leur attribution, de l’actualité des données et des règles configurées.

Une hausse inattendue de l’utilisation ou de la consommation de crédits, une activité inhabituelle d’un utilisateur ou d’un agent, des erreurs de fonctionnement récurrentes ou certains événements d’authentification ou d’administration peuvent justifier une vérification. Consultez les schémas applicables aux statistiques, à la conformité et aux journaux d’audit pour confirmer les indicateurs disponibles.

Pour Codex, les statistiques et l’API d’analyse fournissent les indicateurs d’adoption et d’activité pris en charge. Les organisations qui utilisent des clients Codex locaux peuvent activer les exports OpenTelemetry pour des événements tels que les requêtes API, les erreurs, les métadonnées des prompts, les décisions d’approbation des outils et leurs résultats. Le contenu des prompts est masqué, sauf si vous activez explicitement et séparément otel.log_user_prompt = true. Consultez Surveillance et télémétrie. Cette télémétrie locale de Codex ne fournit pas d’export OpenTelemetry pour ChatGPT Work sur le Web.

Gouvernance

Comment les administrateurs peuvent-ils contrôler les accès, les autorisations et les politiques ?

La gouvernance s’exerce à trois niveaux distincts et complémentaires :

• Les contrôles d’accès à ChatGPT Work déterminent qui peut utiliser Work et si la synchronisation des fils de discussion locaux est disponible.

• Les contrôles des agents d’espace de travail déterminent qui peut créer, publier, partager, planifier ou configurer des agents réutilisables et des connexions partagées, lorsque ces fonctionnalités sont disponibles.

• Agent Security regroupe les règles de base applicables à l’échelle du cloud aux contrôles Work et Codex pris en charge. Pour Work avec accès local et les dots, les règles prises en charge de la politique Global s’appliquent à l’orchestration cloud lorsque la politique gérée est activée. Les exigences d’exécution locale régissent l’ordinateur connecté. Les ordinateurs cloud utilisent leur propre configuration d’exécution et leurs propres exigences. Codex conserve son mode de configuration existant.

La configuration gérée encadre les comportements d’exécution pris en charge. Elle ne donne pas accès à l’espace de travail, ne remplace pas le RBAC et ne révoque pas l’accès d’un utilisateur à l’espace de travail. Ces trois niveaux ne constituent pas une interface unique et uniforme de gestion des politiques ChatGPT Work. Les statistiques et les journaux de conformité apportent des informations supplémentaires sur les produits et les événements couverts par leur documentation.

Pour les clients Codex locaux pris en charge, les administrateurs d’entreprise peuvent appliquer une configuration gérée et des profils d’autorisations. Ces contrôles des clients locaux ne donnent pas accès à ChatGPT Work hébergé et ne remplacent pas les autorisations de l’espace de travail qui régissent cet accès.

Peut-on limiter l’accès par groupe, rôle, espace de travail ou fonctionnalité ?

Oui. Avec les forfaits Enterprise et Edu éligibles qui prennent en charge un RBAC personnalisé pour les membres, vous pouvez limiter l’accès aux fonctionnalités de ChatGPT Work à l’aide des rôles de l’espace de travail, des groupes d’identités et des autorisations définies par les administrateurs. ChatGPT Business utilise les contrôles applicables à l’espace de travail, mais n’inclut ni RBAC personnalisé pour les membres ni synchronisation des groupes via SCIM. Attribuez les fonctionnalités prises en charge en fonction des besoins métier et des politiques de votre organisation. Consultez le guide du RBAC et cette démonstration du RBAC.

Lorsque le RBAC personnalisé est disponible, les organisations peuvent déterminer quels utilisateurs peuvent accéder à ChatGPT Work, gérer les paramètres de l’espace de travail, configurer les plugins approuvés ou utiliser les fonctionnalités prises en charge des agents d’espace de travail. Dans les espaces de travail Enterprise et Edu éligibles, les limites d’utilisation mensuelles permettent d’accompagner un déploiement progressif grâce à une valeur par défaut pour l’espace de travail, à des valeurs par défaut par groupe et à des dérogations individuelles.

Les accès aux systèmes connectés restent régis séparément. À l’aide des autorisations de l’espace de travail, des paramètres des plugins et des contrôles du système source, réservez les plugins, les identifiants partagés, les dépôts et les actions permettant l’écriture aux seules personnes qui en ont besoin. Pour les clients Codex locaux pris en charge, la configuration gérée peut restreindre davantage les fonctionnalités d’exécution locale. Work hébergé respecte les contrôles de l’espace de travail et ceux propres au produit.

Comment contrôler les limites de l’environnement d’exécution et de l’accès réseau ?

Les limites de sécurité de ChatGPT Work dépendent de la tâche. Une conversation standard en mode Chat, un workflow connecté, une tâche planifiée et une discussion Codex peuvent s’exécuter dans des environnements différents, avec des autorisations, des outils et des accès réseau distincts.

Gérez chaque environnement d’exécution à l’aide des contrôles qui lui sont applicables. Work Cloud régit l’utilisation hébergée de Work dans les interfaces Web, mobiles et de bureau prises en charge. Work Local régit l’exécution locale de Work dans l’application de bureau. Codex Local contrôle les accès locaux à Codex pris en charge dans l’application de bureau, la CLI et les clients IDE. Les autorisations réseau du navigateur et du shell restreignent davantage Work Cloud. La recherche, les applications, les plugins, les agents d’espace de travail disponibles et les autorisations des systèmes sources conservent des contrôles distincts. La configuration gérée et les politiques d’exécution locale applicables régissent uniquement les usages locaux qu’elles prennent en charge. Ces contrôles ne sont pas interchangeables.

Codex exécute les tâches locales de l’application de bureau ChatGPT, de la CLI et de l’IDE sur l’ordinateur de l’utilisateur, avec le bac à sable du système d’exploitation et des politiques d’approbation. Dans le cloud, Codex exécute les discussions dans des environnements isolés gérés par OpenAI. Pour les clients locaux pris en charge, les administrateurs d’entreprise peuvent utiliser des exigences gérées pour encadrer les profils d’autorisations, les approbations, l’accès au système de fichiers et au réseau, les serveurs MCP, les hooks, les règles relatives aux commandes et les autres comportements d’exécution pris en charge.

Utilisation et coûts

Comment l’utilisation de ChatGPT Work influe-t-elle sur les dépenses au fil du temps ?

ChatGPT Work et Codex partagent la même tarification, les mêmes crédits et les mêmes limites d’utilisation. Pour les contrats éligibles fondés sur les crédits, comparez l’utilisation cumulée de Chat et de Work par les collaborateurs à l’enveloppe de crédits partagée de l’espace de travail. La consommation varie selon le modèle, les réglages de raisonnement ou de vitesse applicables, les entrées et sorties traitées, ainsi que les outils ou fonctionnalités éligibles.

Consommer des crédits prévus au contrat n’augmente pas automatiquement votre facture. Le montant facturé dépend du solde de crédits, des tarifs contractuels, de l’éligibilité du compte aux dépassements et du plafond de dépassement configuré pour l’espace de travail. Pour des exemples de prévision, les limites effectives par utilisateur, la portée des rapports et les modalités de facturation, consultez ChatGPT Work : utilisation et coûts.

Les coûts varient souvent le plus pour les workflows qui s’exécutent fréquemment, récupèrent ou traitent de grandes quantités d’informations, appellent plusieurs outils ou applications, relancent des opérations après un échec ou produisent des artefacts volumineux. Surveillez notamment le coût des tâches planifiées ou récurrentes, du traitement de fichiers volumineux, des recherches étendues dans les sources de l’entreprise, des appels répétés aux applications et des discussions Codex qui traitent des dépôts, exécutent des commandes ou utilisent des environnements cloud. Les déclencheurs API des agents d’espace de travail peuvent également accroître l’utilisation lorsqu’ils sont disponibles.

Utilisez les contrôles de dépenses, les statistiques d’utilisation et les rapports pour suivre ces usages dans le temps. Examinez l’utilisation selon les critères disponibles dans l’interface d’analyse actuelle, puis ajustez les limites ou le périmètre du déploiement en fonction de la valeur métier. Les statistiques agrégées ne permettent pas d’attribuer un coût exact à chaque workflow.

Les statistiques de l’espace de travail, les journaux de conformité et les outils de surveillance connectés peuvent aider les administrateurs à examiner l’utilisation et à enquêter sur les activités prises en charge. La capacité à détecter un comportement risqué ou inhabituel dépend du forfait, de la couverture des journaux, de l’attribution des événements, de l’actualité des données et des règles configurées dans vos systèmes de surveillance.

Quelles limites d’utilisation, alertes et plafonds sont disponibles ?

Les espaces de travail Enterprise et Edu éligibles disposent de limites mensuelles par utilisateur et de contrôles de dépenses à l’échelle de l’espace de travail pour les usages facturés en crédits :

• Suivez la consommation de crédits : consultez les rapports de consommation disponibles dans la console d’administration globale et dans les paramètres de l’espace de travail.
• Fixez une limite mensuelle par défaut : définissez une limite de crédits par utilisateur qui s’applique par défaut à l’espace de travail.
• Appliquez des limites propres à chaque groupe : attribuez aux groupes des limites mensuelles par défaut par utilisateur qui correspondent à leurs workflows, à leurs responsabilités ou à leur phase de déploiement.
• Définissez des dérogations individuelles : attribuez une limite différente à un utilisateur sans modifier la valeur par défaut pour l’ensemble du groupe.
• Examinez les demandes d’augmentation : si les demandes sont activées, les utilisateurs peuvent demander une limite mensuelle plus élevée. L’approbation crée une dérogation individuelle.
• Maîtrisez les dépenses globales de l’espace de travail : configurez séparément les alertes de consommation de crédits et le plafond de dépassement dans la console d’administration globale. Les alertes informent leurs destinataires. Le plafond de dépassement limite les usages éligibles une fois les crédits prévus au contrat épuisés.
• Exportez les données d’utilisation : les administrateurs Enterprise éligibles peuvent accéder aux données de consommation de crédits via l’API unifiée des coûts pour produire des rapports internes ou assurer un suivi.

Les utilisateurs peuvent consulter leur propre consommation et, si l’option est activée, demander davantage de crédits. Ils ne peuvent pas modifier les limites qui leur sont attribuées. Consultez Gérer les limites d’utilisation et les dépassements et la démonstration des contrôles de dépenses.

Gestion des incidents et révocation des accès

Comment les administrateurs peuvent-ils retirer un accès ou interrompre une activité ?

Lors du retrait d’un utilisateur ou de l’examen d’un incident, les administrateurs peuvent avoir à retirer un accès, désactiver des applications, révoquer des identifiants partagés, suspendre des tâches planifiées ou révoquer des identifiants Codex.

Plusieurs mesures de révocation sont possibles :

• Retirez à l’utilisateur l’accès à l’espace de travail ou au groupe. Pour les utilisateurs gérés via SCIM, retirez l’accès auprès du fournisseur d’identité. Sinon, une synchronisation ultérieure risque de provisionner à nouveau l’utilisateur.
• Désactivez ou restreignez le plugin ou l’application concernés.
• Révoquez une connexion partagée, un bot ou un compte de service dans l’interface qui le gère. Les propriétaires et les administrateurs de l’espace de travail peuvent révoquer séparément les jetons d’accès Codex de l’espace de travail.
• Demandez au propriétaire de l’agent d’espace de travail ou à un administrateur de l’espace de travail d’en retirer la publication ou de le supprimer.
• Désactivez la tâche planifiée concernée ou, le cas échéant, le déclencheur API de l’agent d’espace de travail.
• Pour les accès à Codex, révoquez séparément le jeton d’accès, la connexion au dépôt et l’accès à l’environnement cloud concernés. La configuration gérée ne permet pas de révoquer les accès.

Ressources complémentaires pour vos équipes

Actions recommandées aux administrateurs

• Déterminez qui a besoin de ChatGPT Work. Identifiez les utilisateurs ou les groupes concernés et les tâches qu’ils doivent accomplir, puis accordez-leur l’accès via les paramètres d’espace de travail et de rôle pris en charge.
• Définissez les rôles et les autorisations. Dans Autorisations et rôles, accordez l’accès à ChatGPT Work aux utilisateurs ou groupes concernés. Vérifiez tous les rôles attribués pour confirmer leurs droits effectifs.
• Vérifiez les plugins et les sources de données. ChatGPT Work est particulièrement utile lorsqu’il dispose d’un contexte métier approuvé provenant de fichiers, d’e-mails, de calendriers, de Slack ou d’un CRM. Vérifiez les plugins activés, les utilisateurs qui y ont accès et l’adéquation des politiques des applications avec les tâches que les utilisateurs sont censés déléguer.
• Précisez les cas d’usage appropriés. Orientez les utilisateurs vers ChatGPT Work pour les tâches à forte valeur ajoutée qui comportent plusieurs étapes, comme la recherche, la synthèse, l’analyse, la création de fichiers, la mise à jour de workflows ou la production de livrables réutilisables. Utilisez Chat pour les questions rapides, les reformulations simples ou la recherche d’idées.
• Configurez les contrôles de crédits et d’utilisation. ChatGPT Work peut consommer plus de crédits qu’une conversation standard en mode Chat, car les tâches peuvent durer plus longtemps. Configurez les valeurs par défaut de l’espace de travail et des groupes, ainsi que les dérogations individuelles. Aidez les utilisateurs à choisir le modèle et le niveau d’effort adaptés à chaque tâche.
• Identifiez les premiers workflows à forte valeur ajoutée. Commencez par des livrables bien définis et faciles à vérifier, comme des notes de synthèse pour les clients, des rapports récurrents, des synthèses de recherche, des mises à jour de tableaux de suivi ou des documents et présentations finalisés.
• Préparez les référents et les équipes d’assistance. Fournissez d’abord les ressources de déploiement aux référents, aux responsables de la formation et aux équipes d’assistance pour qu’ils puissent répondre aux questions, recueillir les retours et montrer comment déléguer efficacement.
• Expliquez ce qui doit être vérifié ou approuvé. Demandez aux utilisateurs de vérifier les résultats et les affirmations importantes avant de les utiliser ou de les partager, et d’approuver les actions susceptibles d’avoir des conséquences importantes avant leur exécution.
• Suivez l’adoption et ajustez le déploiement. Après le déploiement, examinez l’utilisation, les retours, la consommation de crédits et les tâches déléguées. Appuyez-vous sur ces constats pour ajuster les accès, les consignes, la formation et le périmètre des prochaines phases du déploiement.