ChatGPT en entreprise et RGPD : protéger vos données

Dans beaucoup d'entreprises, ChatGPT est déjà utilisé, souvent avec des comptes personnels et sans règle commune. La question n'est plus de savoir s'il faut l'utiliser, mais comment le faire sans exposer les données de vos clients, de vos salariés ou de votre entreprise. Voici ce que dit le RGPD, ce qui distingue les offres grand public des offres professionnelles, et les règles simples à mettre en place.

Le vrai risque : ce que l'on saisit

Un assistant comme ChatGPT traite tout ce qu'on lui confie : le texte de la demande, les documents joints, les réponses précédentes. Selon l'offre utilisée et ses réglages, ces contenus peuvent être conservés par l'éditeur et, pour certaines offres grand public, servir à améliorer ses modèles.

Le risque principal n'est donc pas l'outil lui-même, mais les informations qu'on y colle sans y penser : un fichier clients pour « faire une synthèse », un contrat pour « vérifier une clause », un compte rendu d'entretien annuel pour « le reformuler ».

Comptes personnels ou offres professionnelles

OpenAI distingue ses offres grand public (gratuite et abonnements individuels) de ses offres destinées aux entreprises (offres d'équipe et Enterprise, accès par API). Selon les conditions publiées par l'éditeur :

• pour les offres grand public, les conversations peuvent être utilisées pour entraîner les modèles, sauf si l'utilisateur le désactive dans ses paramètres ;
• pour les offres professionnelles, les données ne sont pas utilisées pour l'entraînement par défaut, l'administrateur gère les comptes et les réglages, et un accord de traitement des données (DPA) peut être conclu.

Ces conditions évoluent : vérifiez-les au moment de souscrire et conservez une copie de celles qui s'appliquent à votre contrat. Un point est constant : un salarié qui utilise son compte personnel échappe à tous les réglages de l'entreprise.

Ce que dit le RGPD

Le RGPD s'applique dès qu'une donnée personnelle (nom, e-mail, situation d'un client ou d'un salarié) est traitée avec un outil d'IA. Pour l'entreprise qui l'utilise, cela implique notamment :

• une finalité et une base légale : pourquoi ces données sont-elles traitées, et sur quel fondement ;
• la minimisation : ne transmettre que les données strictement nécessaires, et anonymiser dès que possible ;
• l'encadrement du prestataire : l'éditeur de l'outil agit en sous-traitant, ce qui suppose un contrat conforme (DPA) ;
• les transferts hors de l'Union européenne, qui doivent être encadrés ;
• l'inscription au registre des traitements et l'information des personnes concernées.

La CNIL publie des recommandations sur l'intelligence artificielle, utiles pour vérifier votre démarche. Le règlement européen sur l'IA (AI Act) s'ajoute au RGPD sans le remplacer.

Les informations à ne jamais saisir

Même avec une offre professionnelle, certaines informations ne doivent pas être confiées à un assistant IA sans un cadre précis, validé par la direction :

• les données de santé, les informations sur la vie privée, les opinions ou appartenances syndicales ;
• les données RH nominatives : salaires, évaluations, arrêts, sanctions ;
• les coordonnées et l'historique de vos clients, sous forme de fichiers ou d'exports ;
• les identifiants, mots de passe, clés d'accès et informations bancaires ;
• les documents confidentiels : contrats en cours de négociation, offres de prix, informations financières non publiques, secrets de fabrication.

Pour travailler sur ce type de document, remplacez les noms et les chiffres par des valeurs fictives, ou utilisez une solution hébergée et encadrée pour cet usage.

Les règles pratiques à mettre en place

1. Choisissez une offre professionnelle et ouvrez les comptes au nom de l'entreprise.
2. Vérifiez les réglages : entraînement désactivé, durée de conservation, partage des conversations.
3. Rédigez une charte d'utilisation courte : outils autorisés, données interdites, vérification des réponses. Nous détaillons son contenu dans notre article sur la charte IA en entreprise.
4. Formez les équipes : la plupart des incidents viennent d'une méconnaissance, pas d'une mauvaise intention.
5. Inscrivez l'usage au registre de vos traitements, avec l'éditeur comme sous-traitant.
6. Faites relire les réponses : l'IA peut se tromper avec assurance. Toute information destinée à un client est vérifiée.

Et les autres assistants IA ?

Les mêmes questions se posent pour tous les assistants : Le Chat de Mistral AI, Claude d'Anthropic, Gemini de Google, Microsoft Copilot. Pour chacun, regardez l'offre exacte utilisée, l'usage fait de vos données, le lieu de traitement et l'existence d'un contrat de traitement des données. Un éditeur européen ne dispense pas de ces vérifications, mais peut simplifier la question des transferts hors de l'Union.

Pour les usages les plus sensibles, une autre approche consiste à intégrer l'IA dans vos propres outils, avec un accès par API et des données filtrées en amont, plutôt que de laisser chacun utiliser une interface grand public.

Les erreurs fréquentes

• Interdire l'IA sans proposer d'alternative : les usages continuent, mais sur des comptes personnels.
• Acheter quelques abonnements individuels et croire l'entreprise protégée.
• Coller des exports complets de fichiers clients pour « gagner du temps ».
• Utiliser une réponse de l'IA dans un document client sans la vérifier.
• Oublier d'informer les personnes concernées quand leurs données sont traitées par un outil d'IA.

Conclusion

ChatGPT peut être utilisé en entreprise dans le respect du RGPD, à trois conditions : une offre professionnelle gérée par l'entreprise, des règles claires sur les données que l'on peut saisir, et des équipes formées. Ce cadre ne freine pas les usages : il permet au contraire de les développer sans inquiétude.

Questions fréquentes