IA et RGPD : utiliser ChatGPT sans risque pour vos données

Oui, une PME peut utiliser ChatGPT ou un chatbot IA en respectant le RGPD, à condition de décider en amont quelles données entrent dans l’outil, de choisir un fournisseur dont les conditions sont claires et de le documenter. La règle la plus simple : ne saisissez pas de données personnelles ou confidentielles dans un outil grand public, et pour un usage professionnel structuré, passez par une offre avec un contrat adapté et un paramétrage maîtrisé.

Cet article propose une méthode pratique pour les dirigeants de TPE et PME. Il s’appuie sur les positions de la CNIL et du Comité européen de la protection des données (CEPD), et ne remplace pas un avis juridique adapté à votre situation.

Pourquoi l’IA pose-t-elle une question de données personnelles ?

Dès que vous écrivez dans un outil d’IA générative le nom d’un client, un e-mail reçu, un CV ou une note de rendez-vous, vous traitez des données personnelles : toute information qui permet d’identifier directement ou indirectement une personne. Le RGPD s’applique alors à ce traitement, comme pour n’importe quel autre logiciel.

Deux particularités de l’IA méritent attention. D’abord, le texte saisi part chez un fournisseur, souvent hors de votre contrôle direct : l’entreprise utilisatrice reste responsable de l’usage qu’en font ses équipes. Ensuite, selon les réglages et les conditions du service, les échanges peuvent être conservés, relus ou réutilisés pour améliorer le service. Notre lexique donne les définitions de base : données personnelles, données sensibles, anonymisation et pseudonymisation.

Que recommande la CNIL pour utiliser une IA générative ?

La CNIL a publié des questions-réponses sur l’utilisation d’un système d’IA générative et des précisions sur le déploiement d’une IA générative. Dans l’esprit de ces documents, les repères pour une organisation sont les suivants :

les utilisateurs ne devraient soumettre que des informations qu’ils sont autorisés à partager, et éviter les données personnelles ou confidentielles dans les requêtes ;
l’organisation définit ce qui est autorisé et interdit, par exemple par une liste d’usages ;
selon le mode de déploiement (service en ligne, API, hébergement dédié), le degré de maîtrise sur les données change ;
si le fournisseur peut réutiliser les données saisies, il faut décider, au cas par cas, d’interdire toute donnée personnelle ou seulement certaines catégories ;
l’organisme utilisateur engage sa responsabilité en cas de mauvais usage par ses équipes.

Les pages de la CNIL étant mises à jour, relisez-les avant de figer vos règles internes. Le CEPD a de son côté rappelé, dans son rapport du groupe de travail ChatGPT, que les responsables de traitement qui traitent des données personnelles avec ces modèles doivent veiller à la conformité au RGPD.

Quelles données ne jamais saisir dans un outil d’IA grand public ?

Par prudence, évitez de saisir dans un outil d’IA grand public :

les données sensibles au sens du RGPD (santé, opinions, appartenance syndicale, etc.) ;
les dossiers RH : CV, évaluations, arrêts de travail, litiges ;
les informations bancaires, identifiants, mots de passe, clés d’accès ;
des listes de clients ou de prospects avec noms et coordonnées ;
des contrats, devis ou documents couverts par une clause de confidentialité ;
tout document d’un tiers dont vous n’êtes pas autorisé à partager le contenu.

À l’inverse, la plupart des usages sans donnée personnelle ne posent pas de difficulté RGPD : reformuler un texte générique, préparer un plan d’article, générer des idées de titres, expliquer un concept. Pour traiter des textes qui contiennent des noms, pseudonymisez d’abord (« Client A », « Entreprise B ») et vérifiez qu’aucun détail ne permet de retrouver la personne.

Comment utiliser l’IA avec des données clients en toute sécurité ?

Il y a des cas où vous voulez vraiment que l’IA travaille sur des données clients : un chatbot qui répond aux demandes, une automatisation qui trie des e-mails, un assistant qui prépare un devis. La méthode ci-dessous s’applique.

Définissez la finalité en une phrase : pourquoi traitez-vous ces données avec l’IA ? Si vous ne pouvez pas l’écrire simplement, le projet n’est pas prêt.
Limitez les données à ce qui est nécessaire (principe de minimisation). Un chatbot de prise de rendez-vous n’a pas besoin du dossier complet du client.
Choisissez une base légale et vérifiez qu’elle est cohérente avec ce qui a été annoncé aux personnes (contrat, intérêt légitime, consentement selon les cas).
Encadrez le fournisseur par contrat : lorsque l’éditeur traite des données pour votre compte, il est sous-traitant et un contrat doit en fixer les conditions. La CNIL détaille ce sujet dans sa fiche sur la gestion de la sous-traitance.
Vérifiez la réutilisation : le fournisseur utilise-t-il vos données pour entraîner ses modèles ? Peut-on le désactiver ? Où sont-elles hébergées, combien de temps sont-elles conservées ?
Informez les personnes : mentions d’information sur le site, dans le chatbot et dans vos documents. Voir la fiche CNIL sur l’information des personnes et la transparence.
Inscrivez le traitement dans votre registre et réalisez une analyse d’impact (AIPD) si le traitement présente un risque élevé.
Gardez un humain dans la boucle pour les envois et les décisions qui touchent une personne.

Quelle différence entre ChatGPT grand public, offre professionnelle et solution sur mesure ?

Critère	Compte grand public	Offre professionnelle	Solution intégrée à vos outils
Qui l’utilise	Un salarié, avec un compte personnel	L’entreprise, avec contrat et comptes gérés	L’entreprise, via un prestataire
Contrôle de l’entreprise	Faible	Moyen : paramètres, administrateurs	Plus élevé : périmètre de données défini
Données personnelles	À éviter	Possibles si le contrat et les réglages l’autorisent	Possibles si finalité et accès sont cadrés
Point d’attention	Usages « sauvages » invisibles	Lire les conditions de réutilisation	Contrat de sous-traitance, droits d’accès, journalisation
Charge de mise en place	Aucune	Modérée	Plus élevée

Aucune de ces options n’est conforme ou non conforme par nature : tout dépend de l’usage, des données et des garanties contractuelles. Ne vous fiez pas à un argument commercial du type « conforme RGPD » sans demander ce qu’il recouvre.

Quelles questions poser à un éditeur ou à un prestataire d’IA ?

Où les données sont-elles traitées et hébergées, et par quels sous-traitants ?
Mes données servent-elles à entraîner vos modèles ? Est-ce désactivable par contrat ?
Quelle durée de conservation, et comment supprimer les données à la demande ?
Comment gérer les demandes d’accès ou d’effacement d’un client ?
Quelles mesures de sécurité (chiffrement, contrôle d’accès, journaux) sont en place ?
Que se passe-t-il en cas d’incident de sécurité, et sous quel délai m’en informez-vous ?
Quel accès ai-je aux conversations pour les contrôler et les corriger ?

Les réponses doivent figurer dans le contrat ou la documentation, pas seulement dans un échange oral.

Peut-on laisser l’IA décider seule d’un dossier client ?

Le RGPD encadre les décisions entièrement automatisées ayant des effets juridiques ou affectant la personne de manière significative. La CNIL explique, dans sa page profilage et décision entièrement automatisée, qu’il s’agit de décisions prises sans aucune intervention humaine, et que les personnes disposent de droits (être informées, contester, demander un réexamen par un humain). Dans une PME, cela concerne par exemple le refus automatique d’un dossier, d’une candidature ou d’une demande de crédit client. Pour un chatbot qui oriente vers un service, le risque est faible ; pour un tri qui écarte des personnes, prévoyez toujours une validation humaine réelle.

Un exemple fictif : un cabinet de services qui veut résumer ses e-mails clients

Cet exemple est fictif et ne décrit pas un cas réel.

Un cabinet de services souhaite faire résumer les e-mails clients pour préparer ses rendez-vous. Première idée : copier-coller les messages dans un assistant grand public. Après lecture des règles, l’équipe renonce : les messages contiennent des noms, des situations personnelles et parfois des pièces jointes. Elle choisit une automatisation connectée à sa messagerie, avec un fournisseur sous contrat, un périmètre limité aux e-mails entrants de certains dossiers, une conservation courte des résumés et une relecture avant tout envoi. Les clients sont informés dans les conditions générales et la politique de confidentialité. Le registre des traitements est mis à jour.

Quelle charte d’usage de l’IA mettre en place ?

Une page suffit pour commencer :

Outils autorisés (liste nominative) et outils interdits.
Données interdites dans les outils grand public (liste ci-dessus).
Obligation de relire tout contenu avant envoi à un client ou publication.
Mention des sources quand une information factuelle est utilisée.
Signalement : à qui indiquer une erreur ou une fuite possible, et sous quel délai.
Révision de la charte à chaque nouvel outil.

Elle se complète avec les exigences du règlement européen sur l’IA : voir notre article sur l’AI Act pour les PME. Pour vos usages quotidiens, le guide d’utilisation de l’IA en entreprise donne des exemples de tâches adaptées.

Comment WebAiLab peut aider

Pour cadrer un projet de chatbot, d’assistant ou d’automatisation avec vos données, nous commençons par recenser les données concernées et les validations humaines. Voyez nos services de chatbots intelligents et d’automatisation IA, ou l’audit IA et automatisation. La conformité reste une analyse propre à chaque entreprise : n’hésitez pas à la faire valider par votre délégué à la protection des données ou un conseil.

En résumé

Le RGPD s’applique dès que vous saisissez des données personnelles dans un outil d’IA.
Évitez les données personnelles et confidentielles dans les outils grand public ; pseudonymisez si besoin.
Pour un usage professionnel, formalisez finalité, minimisation, contrat avec le fournisseur, information des personnes et sécurité.
Demandez par écrit comment le fournisseur réutilise, héberge et supprime les données.
Gardez une validation humaine pour les décisions qui touchent une personne.
Une charte d’une page et une courte sensibilisation évitent la plupart des erreurs.

FAQ

ChatGPT est-il conforme au RGPD ?

Aucun outil n’est conforme « en soi » : la conformité dépend de l’usage, des données saisies, des réglages et du contrat. Lisez les conditions du fournisseur et la documentation de votre offre, et évitez les données personnelles dans un compte grand public.

Puis-je copier un e-mail client dans une IA ?

Si l’e-mail contient des données personnelles, c’est un traitement soumis au RGPD. Pseudonymisez, ou utilisez un outil encadré par un contrat avec votre entreprise et dont vous maîtrisez les réglages.

Faut-il informer mes clients que j’utilise une IA ?

Le RGPD impose d’informer les personnes sur les traitements de leurs données, y compris sur les destinataires et les finalités. Si un chatbot leur répond, le règlement européen sur l’IA prévoit en outre de les informer qu’elles échangent avec un système d’IA.

Un chatbot sur mon site collecte-t-il des données personnelles ?

Oui dès qu’un visiteur écrit son nom, son e-mail, son téléphone ou une description de sa situation. Prévoyez un message d’information, une conservation limitée et un contact humain.

Une analyse d’impact (AIPD) est-elle obligatoire ?

Elle est requise lorsque le traitement est susceptible d’engendrer un risque élevé pour les personnes. Pour un chatbot FAQ sans donnée sensible, ce n’est généralement pas le cas ; pour des données sensibles ou un profilage important, la question se pose. En cas de doute, demandez conseil.

Qui est responsable en cas de fuite de données via un outil d’IA ?

L’entreprise qui décide de l’usage reste responsable du traitement, même si elle utilise un prestataire. Le contrat avec le sous-traitant précise ses obligations, mais ne vous décharge pas de vos propres devoirs.