« Dans notre cabinet de huit personnes, plusieurs collègues collent déjà dans ChatGPT des e-mails de clients, des devis et des tableaux avec noms et adresses, pour gagner du temps. Certains utilisent la version gratuite, d'autres un compte Plus personnel. Avons-nous le droit, et qu'est-ce qu'on risque ? »
La situation, telle qu'on la raconte à une IA
Pas comme ça. Avec un compte gratuit ou Plus personnel, les conversations peuvent servir à entraîner les modèles d'OpenAI, sauf réglage contraire, et aucun contrat ne lie votre entreprise au fournisseur. Pour traiter des données de clients, il faut une offre professionnelle (ChatGPT Business, Enterprise ou l'API), qui n'entraîne pas les modèles par défaut et permet de signer un contrat de sous-traitance. Il faut ensuite respecter le RGPD : un but précis, le minimum de données, des règles écrites pour l'équipe. Le plus sûr reste de retirer ce qui identifie les personnes avant de coller quoi que ce soit.
Qu'est-ce qu'une donnée « personnelle » dans un fichier client ?
Le RGPD vise toute information se rapportant à une personne physique identifiée ou identifiable¹ : nom, adresse e-mail, téléphone, adresse postale, numéro de client, mais aussi un détail qui permet de reconnaître quelqu'un dans un texte libre. Les coordonnées de vos interlocuteurs chez des clients professionnels en font partie. Les informations sur une entreprise elle-même (raison sociale, chiffre d'affaires) ne sont pas des données personnelles, mais elles peuvent être confidentielles, par contrat notamment.
ChatGPT gratuit, Plus ou Business : qu'est-ce qui change ?
Toutes les offres de ChatGPT ne traitent pas vos données de la même façon. Voici ce qu'indique OpenAI :
| Offre | Les conversations servent-elles à entraîner les modèles ? | Contrat avec votre entreprise |
|---|---|---|
| ChatGPT Free, Go, Plus, Pro (comptes individuels) | Oui par défaut, sauf si l'utilisateur le désactive dans ses réglages ; les discussions temporaires ne servent pas à l'entraînement² | Conditions grand public, sans contrat de sous-traitance |
| ChatGPT Business et Enterprise | Non, par défaut³ | Contrat de sous-traitance proposé⁴ |
| API (pour un outil ou un agent sur mesure) | Non, par défaut ; des journaux de surveillance des abus sont gardés jusqu'à 30 jours⁵ | Contrat de sous-traitance proposé⁴ |
Où vont les données ? OpenAI propose de les stocker en Europe pour ChatGPT Enterprise et pour l'API, sous conditions ; pour ChatGPT Business, cette option est en cours de déploiement et n'est pas encore ouverte à tous⁵⁶.
Les autres assistants suivent une logique proche. Chez Anthropic, les conversations des offres Claude Free, Pro et Max ne servent à l'entraînement que si l'utilisateur l'accepte dans ses réglages, et elles sont alors conservées cinq ans ; les offres Team, Enterprise et l'API relèvent de conditions commerciales, que ce réglage ne concerne pas⁷. Mistral AI, entreprise française, indique héberger les données dans l'Union européenne par défaut, avec des transferts temporaires possibles selon les fonctions, et utiliser par défaut les conversations de son offre grand public pour l'entraînement, sauf refus de l'utilisateur⁸.
Ce que le RGPD demande, même avec un bon abonnement
Une offre professionnelle règle la question du contrat, pas celle de l'usage. Le RGPD demande aussi¹ :
- Un but précis, compatible avec celui pour lequel les données ont été collectées : résumer l'e-mail d'un client pour lui répondre n'est pas la même chose que faire analyser tout le fichier clients pour une prospection (article 5).
- Le minimum de données : ne collez que ce qui est utile à la tâche (article 5).
- Un contrat de sous-traitance avec le fournisseur, qui traite les données pour votre compte (article 28).
- Des transferts encadrés si les données quittent l'Union européenne (chapitre V).
- L'information de vos clients : votre politique de confidentialité doit indiquer les destinataires, ou catégories de destinataires, de leurs données (article 13).
La CNIL va dans le même sens. Avec un service en ligne ou une API, « la maîtrise du système est alors quasi exclusivement dans les mains du fournisseur », rappelle-t-elle : il faut éviter autant que possible d'y saisir des données personnelles, encadrer l'usage par une charte interne, former les utilisateurs et interdire certaines données confidentielles⁹.
Les données à ne jamais coller
- Les données de santé : ce sont des données sensibles au sens de l'article 9 du RGPD¹. Pour des données de patients s'ajoutent le secret médical et l'obligation de confier leur hébergement à un hébergeur certifié HDS (article L1111-8 du code de la santé publique)¹⁰. Sans cette certification de l'outil, n'y mettez pas de données de patients.
- Les autres données sensibles : origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, vie ou orientation sexuelle, données génétiques ou biométriques¹.
- Les données bancaires, mots de passe et codes d'accès : en cas de fuite, le dommage est immédiat.
- Ce qui relève d'un secret professionnel (avocat, expert-comptable, médecin) ou d'une clause de confidentialité signée avec le client.
Anonymiser ou pseudonymiser avant de coller
Remplacer « Mme Martin, 12 rue des Lilas » par « la cliente A » s'appelle pseudonymiser. C'est utile, mais la CNIL rappelle que des données pseudonymisées restent des données personnelles : on peut encore les rattacher à quelqu'un. Seule l'anonymisation, qui rend toute identification impossible en pratique et de façon irréversible, fait sortir les données du champ de la protection des données¹¹.
En pratique : retirez noms, adresses, e-mails, téléphones et numéros de client ; ne gardez que les colonnes utiles d'un tableau ; méfiez-vous des détails rares (un métier, une petite commune, une date) qui suffisent parfois à reconnaître quelqu'un.
Les règles à donner à votre équipe
Vos salariés utilisent sans doute déjà ces outils. Mieux vaut fixer des règles écrites que laisser chacun décider :
- Les outils autorisés, avec un compte professionnel au nom de l'entreprise, jamais un compte personnel.
- Ce qu'on peut y mettre, ce qui est interdit, et comment pseudonymiser.
- Les réglages à vérifier : entraînement désactivé, historique, partage de conversations.
- Qui prévenir en cas de doute ou d'erreur.
Cette charte va avec une formation : depuis le 2 février 2025, le règlement européen sur l'IA demande aux entreprises qui utilisent ces outils de prendre des mesures pour développer la maîtrise de l'IA de leur personnel¹².
Le RGPD va-t-il changer ?
La Commission européenne a proposé le 19 novembre 2025 un « omnibus numérique » qui modifierait plusieurs textes, dont le RGPD. Au 8 novembre 2026, la proposition est toujours en cours d'examen, sans texte adopté¹³. Le RGPD s'applique donc tel qu'il est : ne bâtissez pas vos pratiques sur une réforme qui n'existe pas encore.
Ce qui dépend de votre cas
Selon votre métier (santé, droit, expertise comptable, assurance), des règles professionnelles s'ajoutent au RGPD. Un traitement à grande échelle ou portant sur des données sensibles peut exiger une analyse d'impact (article 35)¹. Dans ces cas, faites-vous accompagner par votre délégué à la protection des données ou par un avocat.
Et chez Prestalgo ?
La formation à l'IA, à partir de 2 000 € HT, apprend à vos équipes ce qu'on peut confier à un assistant et ce qu'il ne faut jamais y coller, sur leurs vrais cas de travail. L'audit RGPD, à partir de 500 € HT, vérifie ce que vos outils, y compris d'IA, font des données personnelles, avec un rapport qui classe les écarts par priorité. Et pour un agent IA, nous vérifions, pour chaque outil retenu, où les données sont traitées et ce que le fournisseur a le droit d'en faire. Les prix sont sur la page Tarifs.
Questions fréquentes
Des salariés ont déjà collé des données clients dans un compte gratuit : que faire ?
Arrêtez la pratique, supprimez les conversations concernées et désactivez l'entraînement sur ces comptes. Demandez-vous ensuite s'il s'agit d'une violation de données au sens du RGPD : si elle présente un risque pour les personnes, elle doit être notifiée à la CNIL, en principe dans les 72 heures après que vous en avez eu connaissance (article 33). Dans tous les cas, gardez une trace écrite de votre analyse.
ChatGPT est-il conforme au RGPD ?
La question se pose mal : aucun outil n'est conforme en soi. C'est votre usage qui l'est ou non, selon l'offre choisie, le contrat signé, les données que vous y mettez et l'information donnée à vos clients. Le même outil peut être utilisé correctement par une entreprise et de façon fautive par une autre.
Peut-on installer une IA sur nos propres serveurs ?
Oui, avec des modèles ouverts installés sur un serveur que vous maîtrisez : les données ne partent pas chez un fournisseur, ce que la CNIL juge en général plus sûr pour des données personnelles ou sensibles. En contrepartie, il faut un serveur assez puissant, et quelqu'un pour l'installer, le sécuriser et le maintenir.
Notre association peut-elle utiliser ChatGPT avec le fichier de ses adhérents ?
Les mêmes règles s'appliquent : le RGPD vise toute organisation qui traite des données personnelles, quels que soient sa taille et son statut. Attention aussi à la nature de l'association : la liste des adhérents d'une association politique, religieuse ou syndicale peut révéler à elle seule une donnée sensible.
Le mode « discussion temporaire » suffit-il ?
Il évite que la conversation serve à l'entraînement et qu'elle reste dans l'historique, mais il ne crée aucun contrat entre votre entreprise et le fournisseur. Pour des données de clients, il ne remplace pas une offre professionnelle.
Sources
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), articles 4, 5, 9, 13, 28, 33 et 35 et chapitre V, EUR-Lex, consulté le 8 novembre 2026 : eur-lex.europa.eu
- OpenAI, « How your data is used to improve model performance », centre d'aide, consulté le 8 novembre 2026 : help.openai.com
- OpenAI, « Business data privacy, security, and compliance », consulté le 8 novembre 2026 : openai.com
- OpenAI, « Enterprise privacy at OpenAI » (contrat de sous-traitance pour ChatGPT Business, Enterprise et l'API), consulté le 8 novembre 2026 : openai.com
- OpenAI, « Data controls in the OpenAI platform », documentation de l'API, consulté le 8 novembre 2026 : developers.openai.com
- OpenAI, « Data residency and inference residency for ChatGPT » et « Where your ChatGPT Business content is stored », centre d'aide, consultés le 8 novembre 2026 : help.openai.com et help.openai.com
- Anthropic, « Updates to Consumer Terms and Privacy Policy », 28 août 2025, consulté le 8 novembre 2026 : anthropic.com
- Mistral AI, « Where do you store my data or my Organization's data? » (mis à jour le 12 août 2026) et « Do you use my user data to train your Artificial Intelligence models? », centre d'aide, consultés le 8 novembre 2026 : help.mistral.ai et help.mistral.ai
- CNIL, « Les questions-réponses de la CNIL sur l'utilisation d'un système d'IA générative », 18 juillet 2024, consulté le 8 novembre 2026 : cnil.fr
- Code de la santé publique, article L1111-8, Légifrance, consulté le 8 novembre 2026 : legifrance.gouv.fr
- CNIL, « L'anonymisation de données personnelles », 19 mai 2020, consulté le 8 novembre 2026 : cnil.fr
- Règlement (UE) 2024/1689 du 13 juin 2024 sur l'intelligence artificielle, version consolidée du 27 juillet 2026 (modifié par le règlement (UE) 2026/1744), articles 4 et 113, EUR-Lex, consulté le 8 novembre 2026 : eur-lex.europa.eu
- Parlement européen, Observatoire législatif, procédure 2025/0360(COD), « Simplification du cadre législatif en matière de numérique – train de mesures omnibus sur le numérique », consulté le 8 novembre 2026 : oeil.europarl.europa.eu
Alexandre Gougeon, fondateur de Prestalgo, développeur full stack depuis 2015. Prestalgo fait tourner et maintient les applications de SAUVLife, Youngs Job et Groume.