Aller au contenu
QDNAApprendre l'IA
EN

Leçon 16 · Avancé · 15 min

Actions et API dans les Custom GPTs : schémas et webhooks

Connecter un Custom GPT à des API : schémas OpenAPI, formats JSON, authentification et déclenchement d'actions externes en milieu d'entreprise.

Objectif
Vous saurez interfacer un Custom GPT avec une API externe en configurant un schéma OpenAPI valide et sécuriser les échanges par clé ou OAuth.
Compétences
Cadrer
Capture d'ecran pas a pas des Actions Custom GPT : (1) editeur de schema OpenAPI, (2) configuration de l'authentification securisee, (3) test d'appel API avec retour HTTP 200.
Illustration générée par IA
En bref.

Les Actions transforment un Custom GPT conversationnel en un véritable agent connecté aux systèmes d'information de l'entreprise. En décrivant vos API selon la norme standardisée OpenAPI 3.0, vous permettez à l'IA de lire des bases de données en direct, d'ouvrir des tickets de support ou d'envoyer des notifications. La sécurité repose sur des protocoles d'authentification stricts et la validation humaine des requêtes.

  1. 1Le fonctionnement des Actions OpenAPI et le format JSON Schema

    Le fonctionnement des Actions OpenAPI et le format JSON Schema dotent ChatGPT de bras opérationnels pour interagir avec le monde extérieur. Lorsqu'un utilisateur pose une question exigeant des données fraîches, le modèle analyse le schéma OpenAPI fourni, identifie la route adaptée, formule la requête HTTP au format JSON et envoie l'appel.

    Dès réception de la réponse du serveur tiers, ChatGPT extrait les champs utiles et les restitue dans un langage naturel impeccable. Pour sécuriser ce pont technique, OpenAI exige que chaque appel soit validé par l'utilisateur ou autorisé de manière permanente pour le domaine concerné.

    Élément du schéma Rôle dans l'Action Exemple concret Erreur fréquente
    servers URL de base de l'API https://api.entreprise.com/v1 Oublier le protocole https:// sécurisé
    paths Route spécifique appelée /tickets/search Erreur de casse ou slash initial manquant
    parameters Variables transmises en entrée query, user_id, status Oublier de déclarer le type string ou integer
    responses Structure JSON renvoyée Code 200 avec schéma objet Schéma incomplet empêchant l'IA de lire la réponse
    Schéma des actions Custom GPT : dialogue utilisateur, appel d'action via schéma OpenAPI, échange JSON sécurisé avec l'API externe et réponse finale.Schéma des actions Custom GPT : dialogue utilisateur, appel d'action via schéma OpenAPI, échange JSON sécurisé avec l'API externe et réponse finale.
    Schéma des actions Custom GPTSchéma généré par IA et relu
  2. 2Connecter un GPT au gestionnaire de tickets d'assistance interne

    Connecter un GPT au gestionnaire de tickets d'assistance interne permet aux collaborateurs de vérifier le statut de leurs demandes sans solliciter l'équipe informatique par message direct.

    Un collaborateur demande : « Où en est mon ticket concernant le remplacement de mon écran ? ».

    Schéma d'action minimal (YAML).

    openapi: 3.0.0
    info:
      title: API Helpdesk Interne
      version: 1.0.0
    servers:
      - url: https://support.novatech-sas.exemple.fr/api
    paths:
      /tickets:
        get:
          operationId: chercherTickets
          summary: Recherche les tickets d'un collaborateur
          parameters:
            - name: email
              in: query
              required: true
              schema:
                type: string
          responses:
            '200':
              description: Liste des tickets trouvés
              content:
                application/json:
                  schema:
                    type: array
                    items:
                      type: object
                      properties:
                        id:
                          type: integer
                        statut:
                          type: string
                        description:
                          type: string
    

    Ce qui change. Le GPT interroge directement la base de support en temps réel et annonce : « Votre ticket #1482 est actuellement en cours de préparation par l'équipe logistique ».

  3. 3Rédiger et tester un schéma d'action d'interrogation simple

    Rédiger et tester un schéma d'action d'interrogation simple vous donne les clés pour concevoir des passerelles entre ChatGPT et vos outils métiers en respectant les principes du Model Context Protocol (MCP).

    Pour vous exercer sans exposer de système de production, voici la spécification d'un annuaire interne d'entreprise (société fictive NovaTech SAS) :

    [Spécification API Annuaire Interne - NovaTech SAS (Environnement de test)]
    GET https://annuaire.novatech-sas.exemple.fr/api/collaborateurs?nom={nom}
    Réponse JSON type :
    [
      {"id": 412, "nom": "Sophie Martin", "service": "Expérience Client & Opérations", "email": "s.martin@exemple.fr", "bureau": "B-204"}
    ]
    

    Le bouton « Charger l'exercice » du composeur préremplit l'objectif avec le prompt de départ faible :

    « Interroge l'API interne pour afficher le statut des tickets ouverts. »

    À partir de ce point de départ, complétez le prompt avec le composeur pour concevoir l'assistant d'annuaire. Définissez le rôle, configurez le schéma OpenAPI en lecture seule (GET /collaborateurs), imposez l'extraction ciblée (nom, service, bureau) et intégrez la règle de sécurité MCP essentielle : toute action d'écriture ou de modification (POST, DELETE) exige impérativement une validation humaine explicite (Human-in-the-Loop) avant d'être exécutée.

    Collez votre schéma dans l'onglet « Actions » de l'éditeur de GPT et cliquez sur le bouton « Tester » dans le panneau de prévisualisation.

    Grille d'auto-évaluation : (a) le schéma OpenAPI est validé sans erreur de syntaxe ; (b) la méthode GET est reconnue sans paramètre destructif ; (c) l'appel de test renvoie la structure JSON conforme.

    Ouvrir le composeur de prompt

  4. 4Exposer des endpoints modifiant des données sensibles sans confirmation humaine préalable

    Exposer des endpoints modifiant des données sensibles sans confirmation humaine préalable peut conduire à des suppressions ou créations involontaires dans vos bases de production.

    Si vous configurez une action DELETE pour supprimer des comptes clients, une consigne mal interprétée ou une hallucination du modèle pourrait déclencher la suppression irréversible d'un enregistrement critique.

    Correction : réservez les Actions autonomes aux opérations de lecture (GET). Pour toute écriture ou modification (POST, DELETE), configurez l'API pour exiger une double confirmation ou utilisez des environnements de préproduction.

    Règle à retenir : ne donnez jamais de droits d'écriture destructifs à une IA sans validation humaine obligatoire dans le flux.

  5. 5Quiz

    Trois questions, correction immédiate. Le retour explique chaque option.

    1. Quel format standardisé sert à déclarer les actions d'un GPT ?

    2. Pourquoi ChatGPT demande-t-il une confirmation « Toujours autoriser / Autoriser » avant d'appeler une Action ?

    3. Quelle méthode HTTP est généralement réservée aux actions qui modifient ou créent des données ?

  6. 6Preuve de maîtrise

    Rédigez un extrait de schéma OpenAPI 3.0 minimal décrivant une route d'interrogation de statut et commentez son utilité pour votre GPT.

    Badge AvancéCette leçon compte pour le badge AvancéVoir les quatre badges

    Critères

Pour aller plus loin

Retrouvez les définitions de action-api et json-schema. Poursuivez vers la leçon 17 : Chaîner les prompts et automatiser les workflows. Pour explorer les paramètres techniques de développement, étudiez OpenAI Playground et paramétrage fin.

Questions fréquentes

Qu'est-ce qu'une Action dans un Custom GPT ?

Une Action permet à ChatGPT d'appeler une API web externe pour récupérer des données en temps réel (lecture) ou déclencher une opération informatique (écriture).

Quel format est exigé pour déclarer les Actions ?

OpenAI exige la spécification OpenAPI 3.0 au format YAML ou JSON, décrivant les endpoints, les paramètres attendus et les réponses possibles.

Comment sécuriser l'accès à l'API de mon entreprise ?

Les Actions supportent l'authentification par clé API (Header ou Bearer) et par protocole OAuth 2.0 pour lier le compte de chaque utilisateur en toute sécurité.

Sources