ChatGPT conforme RGPD : le guide pratique
GRATUIT: Plus de 50 prompts IA prêts à l'emploi pour votre activité
Vous êtes dirigeant d'une PME et vous venez de copier-coller un échange client dans ChatGPT pour rédiger une réponse plus vite. Le résultat est utile, mais une question reste en suspens : qui est responsable des données transmises, OpenAI ou votre entreprise ?
La réponse détermine les mesures à prendre. Un usage de ChatGPT peut être compatible avec le RGPD, mais seulement si vous maîtrisez les données saisies, le canal utilisé et les réglages du compte. La conformité ne repose jamais sur une simple déclaration du fournisseur.
Table des matières
- Pourquoi la conformité RGPD de ChatGPT concerne votre entreprise
- Statut juridique de ChatGPT face au RGPD selon la CNIL
- Les risques concrets de fuite de données avec ChatGPT
- Mesures techniques et organisationnelles pour encadrer l'usage
- Cas d'usage concrets en PME et professions confidentielles
- Checklist pratique pour rendre ChatGPT conforme RGPD
- Aller plus loin et faire vivre la conformité dans la durée
Pourquoi la conformité RGPD de ChatGPT concerne votre entreprise
Un dirigeant peut utiliser ChatGPT pour résumer un courriel, reformuler une réclamation ou préparer une réponse commerciale. Si le texte contient un nom, une adresse électronique, un numéro de contrat ou une information relative à la santé, l'envoi constitue déjà un traitement de données personnelles.
La nationalité de l'outil ne change pas cette règle. La CNIL rappelle qu'un usage de ChatGPT impliquant des données personnelles relève pleinement du RGPD. L'entreprise ou le professionnel qui saisit les données reste responsable du traitement. Il doit donc déterminer la finalité, choisir une base légale, informer les personnes concernées et garantir leurs droits.
La CNIL a ouvert une procédure de contrôle visant ChatGPT le 13 avril 2023, après la réception de cinq plaintes, dont celle du député Éric Bothorel. Dans son plan d'action IA de mai 2023, elle a aussi annoncé l'extension de ses travaux aux IA génératives, aux grands modèles de langage et aux chatbots, avec un accompagnement renforcé des entreprises innovantes. Ces éléments montrent que ChatGPT fait l'objet d'un examen réglementaire spécifique en France, notamment sur la transparence, la base légale, les droits des personnes et les transferts internationaux. La CNIL détaille ce plan d'action consacré à l'intelligence artificielle.
Trois zones de responsabilité à séparer
Pour analyser un usage de ChatGPT conforme au RGPD, séparez clairement trois niveaux :
- Le fournisseur gère son infrastructure, ses mesures de sécurité, ses modalités de conservation et les éventuels traitements qu'il réalise pour son propre compte.
- Votre entreprise décide quelles données elle envoie, pourquoi elle les envoie et combien de temps elle doit les conserver.
- Le paramétrage du compte détermine concrètement si certaines données peuvent être réutilisées, mémorisées ou conservées dans l'environnement de travail.
Règle de direction : la conformité commence avant le prompt. Elle commence au moment où vous décidez qu'une donnée personnelle peut entrer dans l'outil.
Un assistant conversationnel n'est donc pas automatiquement conforme ou non conforme dans l'absolu. Le niveau de risque dépend du type de données, de la finalité, du compte utilisé, des garanties contractuelles et des réglages effectivement appliqués.
Statut juridique de ChatGPT face au RGPD selon la CNIL
La première erreur consiste à chercher une réponse unique à la question « ChatGPT est-il conforme au RGPD ? ». Il faut plutôt examiner le traitement précis et le canal par lequel les données sont transmises.
La CNIL explique que le RGPD peut s'appliquer directement à un modèle d'IA lorsqu'il mémorise ou réutilise des données personnelles issues de son entraînement, ou lorsqu'il est possible de faire restituer ces informations par des moyens raisonnablement susceptibles d'être mis en œuvre. Le sujet ne concerne donc pas uniquement l'interface visible par l'utilisateur.
OpenAI peut agir pour son propre compte concernant les données liées aux comptes et aux services qu'il gère. Dans un usage professionnel encadré, il peut aussi intervenir comme sous-traitant, c'est-à-dire comme prestataire qui traite des données selon les instructions de l'entreprise. Cette qualification dépend du service, du contrat et de la finalité, pas du seul nom « ChatGPT ».
Le canal d'usage change l'analyse
| Canal d'usage | Rôle d'OpenAI | Votre rôle | Base légale typique |
|---|---|---|---|
| Compte individuel ou grand public | À examiner selon les traitements prévus par le service | Responsable des données que vous saisissez | À déterminer avant tout usage |
| API intégrée à un processus professionnel | Sous-traitant possible pour les données transmises selon le contrat | Responsable du traitement et des finalités | À documenter selon le cas |
| Offre professionnelle avec cadre contractuel | Sous-traitant possible, sous réserve des garanties vérifiées | Responsable du traitement, de la configuration et des utilisateurs | À déterminer avec validation juridique |
Une base légale est le fondement qui autorise le traitement, par exemple l'exécution d'un contrat ou un intérêt légitime documenté. Il ne suffit pas de choisir l'étiquette la plus pratique. Vous devez démontrer pourquoi le traitement est nécessaire et proportionné, puis informer les personnes concernées lorsque le RGPD l'exige.
Une AIPD, ou analyse d'impact relative à la protection des données, est une évaluation préalable des risques pour les personnes. Elle devient pertinente lorsqu'un usage de modèle d'IA traite des données sensibles, des données RH ou des volumes importants de données personnelles. La CNIL précise les obligations d'information lorsque des données servent à l'entraînement d'un modèle.
Documentez votre choix dans le registre des traitements. Une PME n'est pas dispensée de cette logique parce que l'usage paraît ponctuel. Pour approfondir les principes applicables, consultez notre guide sur la conformité RGPD appliquée à l'IA.
Les risques concrets de fuite de données avec ChatGPT
Le risque ne se limite pas à une intrusion informatique. Dans une PME, la fuite commence souvent par un geste banal : copier-coller un texte réel dans un prompt.
Le premier chemin est la saisie directe. Un nom, une adresse électronique, un numéro de contrat ou un extrait de dossier est transmis avec l'instruction. La minimisation impose de ne traiter que les données nécessaires à la finalité. Si le modèle peut accomplir la tâche avec un texte fictif, l'envoi d'un dossier réel est difficile à justifier.
Le deuxième chemin concerne la mémoire conversationnelle. Lorsqu'une fonction de mémoire ou de personnalisation est active, des informations peuvent être conservées pour fournir un contexte lors de futures interactions. La durée de conservation et la possibilité de supprimer ces éléments doivent être intégrées à votre analyse.
Le troisième chemin est la réutilisation des conversations pour améliorer un modèle, selon l'offre et les réglages. La CNIL indique qu'un utilisateur de ChatGPT peut s'opposer à cette réutilisation depuis les paramètres du compte, dans « Gestion des données », en désactivant « Améliorer le modèle pour tous ». Ce réglage réduit un risque, mais il ne transforme pas une donnée sensible en donnée librement transmissible.
Relier chaque risque à une obligation
- Prompt trop détaillé, minimisation et limitation de la finalité.
- Mémoire persistante, maîtrise de la conservation et des droits d'effacement.
- Réutilisation pour l'amélioration, information des personnes et vérification du fournisseur.
- Sous-traitants techniques, encadrement contractuel et contrôle de la chaîne de traitement.
- Lien partagé ou capture d'écran, confidentialité, contrôle des accès et sécurité.
Le dernier risque est souvent organisationnel. Un collaborateur peut partager une conversation, transmettre une capture d'écran dans un canal interne ou laisser un document contenant le prompt dans un espace accessible à d'autres personnes.
Un réglage de confidentialité ne corrige pas une mauvaise décision de saisie. Le premier contrôle reste le contenu envoyé.
Mesures techniques et organisationnelles pour encadrer l'usage
Une politique ChatGPT conforme RGPD doit agir à quatre moments : avant la saisie, lors du paramétrage, dans le contrat et dans l'organisation quotidienne.
Réduire les données avant l'envoi
Commencez par supprimer les identifiants inutiles. Remplacez le nom d'un client par « Client A », retirez les coordonnées et transformez les valeurs réelles en exemples fictifs lorsque la tâche le permet. Attention, remplacer « Madame Martin » par « Madame M. » ne suffit pas nécessairement. Une donnée reste personnelle si une réidentification demeure raisonnablement possible.
Créez des modèles de prompts validés. Par exemple : « Reformulez ce message dans un ton professionnel. Le contenu ci-dessous ne doit contenir aucun nom, contact, numéro de dossier ou donnée sensible. » Les équipes disposent ainsi d'un cadre réutilisable, au lieu d'improviser à chaque demande.
Pour distinguer anonymisation et pseudonymisation, utilisez ce guide consacré à la pseudonymisation dans les projets d'IA. La pseudonymisation réduit l'exposition, mais elle ne supprime pas automatiquement le caractère personnel d'une donnée réidentifiable.
Contrôler le compte et le canal
Vérifiez les réglages de partage, d'historique et de mémoire. Désactivez « Améliorer le modèle pour tous » lorsque cette option est disponible et appropriée à votre politique. Limitez aussi les personnes autorisées à utiliser un compte professionnel et interdisez les comptes personnels pour les dossiers de l'entreprise.
L'API peut offrir un cadre plus adapté à un traitement intégré, à condition de vérifier le contrat, les flux, la conservation et les garanties du fournisseur. Une offre professionnelle ne doit jamais être validée sur son seul nom commercial. Contrôlez le périmètre réel du service utilisé, y compris les extensions et intégrations.
Formaliser les règles
Votre charte interne doit préciser :
- les données interdites dans les comptes grand public ;
- les cas où la pseudonymisation est obligatoire ;
- les utilisateurs autorisés ;
- la procédure à suivre en cas d'erreur ;
- les règles de suppression et de conservation ;
- la personne chargée de répondre aux demandes de conformité.
L'article 5 du RGPD encadre notamment la minimisation et la limitation des finalités. L'article 28 concerne la relation avec un sous-traitant. L'article 32 porte sur la sécurité du traitement. Pour un exemple de politique de gestion des données personnelles ORBIHOME, examinez la manière dont les informations et les responsabilités sont présentées dans une politique de confidentialité.
Cas d'usage concrets en PME et professions confidentielles
Le bon réflexe dépend moins de la taille de l'entreprise que de la nature des données. Une même interface peut servir à rédiger une accroche marketing sans risque particulier ou à traiter un dossier RH qui exige un niveau de contrôle beaucoup plus strict.
| Cas d'usage | Données typiquement saisies | Niveau de risque | Bon réflexe de saisie |
|---|---|---|---|
| Marketing et communication | Accroches, textes commerciaux, exemples de campagnes, retours clients | Faible à moyen | Retirer les noms et exemples clients réels, utiliser un prompt-type validé |
| Ressources humaines | Fiches de poste, entretiens, salaires, absences, appréciations | Élevé | Pseudonymiser fortement, limiter les données et valider le canal avant tout traitement |
| Juridique, comptabilité ou santé | Contrats, dossiers, informations financières ou médicales | Élevé | Ne pas utiliser un compte grand public, privilégier l'anonymisation lourde ou interdire l'usage direct |
Marketing et communication
La génération d'une publication ou la traduction d'un texte peut rester maîtrisable si le contenu ne contient pas de données personnelles. Le danger apparaît lorsque l'équipe colle un témoignage client non anonymisé, un export de clientèle ou une capture de son outil commercial.
La consigne interne doit être simple : travailler à partir d'un brief abstrait, d'un exemple fictif ou d'un texte déjà nettoyé. Le marketing n'a pas besoin de connaître l'identité réelle du client pour améliorer une accroche.
Ressources humaines
Le service RH doit appliquer une règle plus stricte. Un nom associé à un salaire, un motif d'absence ou une appréciation professionnelle peut révéler une situation personnelle et produire des conséquences importantes pour la personne concernée.
Utilisez ChatGPT pour générer une structure de fiche de poste ou une grille d'entretien à partir de données génériques. Évitez de soumettre un entretien réel, même si vous pensez avoir retiré le nom. Le contexte peut suffire à reconnaître la personne.
Professions confidentielles
Pour un cabinet juridique, comptable ou médical, le compte grand public n'est pas un canal acceptable pour des dossiers réels. La confidentialité professionnelle ajoute ses propres exigences à celles du RGPD.
Le bon usage consiste à travailler sur des modèles abstraits, des clauses génériques ou des jeux de données fictifs. Pour une analyse de dossier, exigez un cadre contractuel vérifié, une architecture adaptée et une validation du professionnel chargé de la conformité.
Checklist pratique pour rendre ChatGPT conforme RGPD
Une checklist utile doit conduire à une décision, pas seulement à une accumulation de contrôles. Avancez par paliers, en conservant les mesures du palier précédent.
Palier solo et indépendant
Commencez par séparer l'usage professionnel des usages personnels. N'insérez aucune donnée personnelle réelle dans un compte non validé par votre politique interne. Désactivez l'historique et les fonctions de réutilisation lorsque cela correspond à votre analyse, puis vérifiez les informations contractuelles et de confidentialité du fournisseur.
Dans la semaine, préparez un prompt-type avec des exemples fictifs. Ce document vous évitera de réintroduire des noms, courriels ou références de dossiers par automatisme.
Palier PME
Une équipe doit disposer d'une règle commune. Rédigez une charte d'une page, désignez un référent conformité et inscrivez l'usage de ChatGPT dans le registre des traitements lorsqu'il implique des données personnelles.
Formez les collaborateurs à reconnaître une donnée personnelle, à la retirer d'un prompt et à signaler une erreur de transmission. Vérifiez ensuite les réglages des comptes professionnels et le cadre contractuel de l'API ou de l'offre retenue.
Pour contrôler la qualité de vos mentions et de votre documentation, consultez ce rappel pratique sur la conformité des mentions légales d'un site. Il ne remplace pas une validation juridique, mais il aide à repérer les informations manquantes dans vos documents publics.
Palier structure régulée
Les secteurs de la santé, de la finance et du droit doivent partir du niveau de risque le plus élevé. Une AIPD peut être nécessaire, avec pseudonymisation en amont, audit du fournisseur, analyse des sous-traitants et contrôle des accès.
Prévoyez une revue régulière des flux, des réglages et des utilisateurs. Une décision initiale peut devenir obsolète après une modification du service ou l'ajout d'une intégration.
Cette méthode pour vérifier qu'un outil d'IA respecte le RGPD vous aidera à structurer les questions à poser au fournisseur avant le déploiement.
Aller plus loin et faire vivre la conformité dans la durée
Un usage ChatGPT conforme RGPD n'est pas acquis une fois pour toutes. Les comptes évoluent, les fonctions changent, de nouveaux collaborateurs arrivent et les équipes ajoutent parfois des extensions sans consulter le référent conformité.
Conservez trois réflexes durables :
- Relire les réglages, notamment le partage, l'historique, la mémoire et la réutilisation des conversations.
- Suivre la documentation du fournisseur et les recommandations de la CNIL, surtout lorsque le service ou le canal technique change.
- Former chaque nouvel arrivant, avec une règle concrète : aucune donnée personnelle réelle dans un compte non validé.
Le glossaire IA d'IATOLL peut vous aider à clarifier les notions d'AIPD, de sous-traitant, de minimisation et de données sensibles. Pour comparer des solutions d'IA selon leur cadre RGPD et leur hébergement, consultez aussi l'annuaire dédié, sans confondre cette sélection avec une validation juridique applicable à votre situation.
La conformité n'empêche pas l'automatisation. Elle vous oblige à choisir les bons usages, le bon canal et le bon niveau de contrôle. C'est précisément ce cadre qui permet ensuite de déployer l'IA sans exposer inutilement les données de vos clients, salariés ou partenaires.
IATOLL propose des contenus et des formations consacrés à l'IA sécurisée, avec des méthodes pratiques pour encadrer les usages professionnels et l'alphabétisation IA. Découvrez IATOLL et commencez par formaliser votre charte d'usage, vos règles de saisie et votre parcours de vérification fournisseur.
