Utiliser ChatGPT en entreprise : RGPD, confidentialité et bonnes pratiques

Vos équipes utilisent peut-être déjà ChatGPT pour reformuler un e-mail, résumer un compte rendu ou préparer une offre. La question n’est donc plus de savoir s’il faut l’autoriser, mais comment l’utiliser sans exposer les données de l’entreprise ni celles de vos clients.

La réponse tient en trois décisions : choisir une offre faite pour un usage professionnel, limiter ce qui entre dans l’outil, et écrire des règles d’usage que chacun connaît. Ce guide les détaille, avec ce que disent OpenAI, la CNIL, l’ANSSI et le règlement européen sur l’IA en octobre 2026.

Offre gratuite ou offre professionnelle : ce qui change pour vos données

Toutes les versions de ChatGPT ne traitent pas vos données de la même façon. Les différences portent sur deux points : l’entraînement des modèles avec vos conversations, et le contrat qui vous lie à OpenAI.

• Offres individuelles (gratuite, Go, Plus, Pro) : vos conversations peuvent servir à entraîner les modèles, tant que l’option d’amélioration du modèle (« Improve the model for everyone ») n’est pas désactivée dans les contrôles des données du compte.
• ChatGPT Business, ChatGPT Enterprise et l’API : OpenAI indique sur sa page consacrée aux données des entreprises ne pas entraîner ses modèles sur les données de ces offres par défaut, questions comme réponses, et propose un contrat de traitement des données (DPA) pour accompagner la conformité au RGPD.

Pour l’API, la documentation d’OpenAI précise que les données envoyées ne servent pas à l’entraînement depuis le 1er mars 2023, sauf accord explicite, et que les journaux de détection des abus sont conservés jusqu’à 30 jours par défaut, sauf si la loi impose une durée plus longue ou si c’est nécessaire pour protéger le service ou des tiers. Un traitement des données en Europe est possible pour les clients éligibles.

Désactiver l’entraînement sur un compte gratuit n’en fait pas un outil professionnel : le compte reste personnel, sans contrat de traitement des données ni administration par l’entreprise. Pour un usage d’équipe, partez d’une offre professionnelle.

Le même raisonnement vaut pour les autres assistants (Copilot, Gemini, Le Chat…) : avant de les adopter, vérifiez dans leurs conditions professionnelles si vos données servent à l’entraînement et si un contrat de traitement des données est proposé.

Ce qu’il ne faut jamais mettre dans ChatGPT

Une offre professionnelle réduit les risques, elle ne les supprime pas : ce que vous saisissez quitte votre système d’information et est traité par un tiers. L’ANSSI, dans ses recommandations de sécurité pour un système d’IA générative, le dit sans détour pour les services grand public : y envoyer des informations revient à les déposer sur un espace de stockage qui appartient au fournisseur. Elle demande de ne jamais y intégrer de données sensibles de l’entité, notamment :

• les données personnelles : coordonnées, informations sur la vie privée de clients ou de salariés ;
• les données contractuelles, juridiques ou financières de l’entreprise ;
• les secrets informatiques : mots de passe, jetons d’authentification, clés d’API.

Ajoutez à cette liste les données sensibles au sens du RGPD (santé, opinions politiques, convictions religieuses, appartenance syndicale, orientation sexuelle, données génétiques ou biométriques), et tout ce qui donnerait un avantage à un concurrent : prix de revient, marges, projets non annoncés. Les fiches pratiques pour les TPE et PME conçues par France Num avec la CPME et la CNIL vont dans le même sens : identifier ses données sensibles, puis ne pas les introduire dans les requêtes ou les anonymiser.

Exemple type : au lieu de coller l’e-mail d’un client mécontent avec son nom, son adresse et son numéro de commande, décrivez la situation (« un client professionnel reçoit une livraison incomplète pour la deuxième fois ») et demandez une proposition de réponse. Vous ajoutez les détails vous-même, au moment d’envoyer.

Ce que le RGPD change quand un salarié colle des données personnelles

Dès qu’un salarié saisit des données personnelles dans un outil d’IA pour son travail, l’entreprise traite ces données. Elle en devient responsable de traitement, comme le rappelle la fiche « Prendre les précautions indispensables » de France Num et de la CNIL. Les règles habituelles du RGPD s’appliquent donc :

• La minimisation : les données doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire » au regard de l’objectif (article 5 du RGPD). Le nom d’un client améliore rarement une réponse : il n’a rien à faire dans la requête.
• Un contrat avec le fournisseur : quand un service traite des données pour votre compte, la CNIL recommande de sécuriser la relation par un contrat de sous-traitance. C’est le rôle du DPA des offres professionnelles.
• Une analyse d’impact (AIPD) lorsque le traitement le requiert, ce que la CNIL rappelle aussi pour l’IA générative.
• L’information des personnes : vos clients et vos salariés doivent savoir comment leurs données sont utilisées.

En pratique, la règle la plus simple reste la meilleure : si une tâche n’a pas besoin de données personnelles, n’en mettez pas.

Les six recommandations de la CNIL à retenir

En juillet 2024, la CNIL a publié des questions-réponses sur l’utilisation d’un système d’IA générative. Pour une PME, six principes ressortent :

1. Partir d’un besoin concret, plutôt que d’adopter un outil puis de chercher à quoi il sert.
2. Choisir le mode de déploiement selon les données : un système installé chez vous limite les risques d’extraction ; un service dans le cloud se sécurise par un contrat de sous-traitance ; avec une API, la maîtrise est « quasi exclusivement dans les mains du fournisseur », d’où une vigilance particulière sur les données envoyées.
3. Vérifier ce que le fournisseur fait des données, à partir de ses conditions d’utilisation. Avec un service qui peut réutiliser les données, la CNIL demande d’analyser au cas par cas s’il faut interdire toute donnée personnelle.
4. Encadrer l’usage par une politique ou une charte interne qui distingue clairement usages autorisés et usages interdits.
5. Former les utilisateurs au fonctionnement et aux limites de ces outils, et leur demander de toujours porter un regard critique sur les réponses.
6. Mettre en place une gouvernance : un référent, ou votre délégué à la protection des données si vous en avez un, pour faire vivre ces règles.

Règlement européen sur l’IA : le calendrier en octobre 2026

Le règlement européen sur l’IA (règlement (UE) 2024/1689, souvent appelé AI Act) s’applique par étapes. Le règlement dit « omnibus numérique » sur l’IA, entré en vigueur le 27 juillet 2026, a reporté les obligations des systèmes à haut risque. Selon la Commission européenne, le calendrier est désormais le suivant :

Ce qui concerne une PME qui utilise ChatGPT

Une entreprise qui utilise un système d’IA sous sa propre autorité est, au sens du règlement, un déployeur. Trois points la concernent directement :

• Former les équipes : l’article 4, modifié en 2026, demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser la maîtrise de l’IA par leur personnel, sans exiger de garantir un niveau précis.
• Informer quand une IA parle à vos clients : l’article 50 prévoit que les personnes qui interagissent directement avec un système d’IA en soient informées, au plus tard lors de la première interaction, sauf si c’est évident. L’obligation vise le fournisseur du système ; si vous faites développer un assistant et le mettez en service sous votre nom, ce fournisseur, c’est vous.
• Signaler certains contenus : les hypertrucages (images, sons ou vidéos truqués) doivent être signalés comme générés par IA, comme les textes publiés pour informer le public sur des questions d’intérêt public, sauf s’ils ont été relus par une personne qui en assume la responsabilité éditoriale.

Si vous envisagez d’utiliser l’IA pour trier des candidatures ou évaluer des salariés, demandez un avis juridique avant : l’emploi fait partie des domaines à haut risque, soumis à des obligations renforcées à partir du 2 décembre 2027.

Une charte IA en 8 points pour votre entreprise

La charte est l’outil que recommandent la CNIL et la fiche France Num : un document court, lisible en quelques minutes, qui dit quoi faire et quoi éviter. Voici les huit rubriques à couvrir.

1. Les outils autorisés : lesquels, avec quels comptes (professionnels, jamais personnels), et qui les administre.
2. Les usages autorisés : reformuler, résumer ou traduire un texte non confidentiel, préparer un brouillon, chercher des idées.
3. Les usages interdits : laisser l’outil décider seul d’un recrutement, d’un prix ou d’un litige ; envoyer un texte à un client sans relecture ; s’appuyer sur une réponse juridique ou médicale sans vérification par un professionnel.
4. Les données interdites : la liste vue plus haut, illustrée par des exemples tirés de votre activité.
5. La vérification : chiffres, noms, dates, citations et références se contrôlent toujours, car un modèle peut produire une réponse fausse mais plausible.
6. La transparence : quand vos clients doivent savoir qu’ils échangent avec une IA, et comment le leur dire.
7. Les connecteurs et les droits d’accès : si l’outil se branche sur votre messagerie ou vos documents, l’ANSSI recommande de revoir ses droits dès l’activation, puis régulièrement.
8. Le référent et les incidents : qui prévenir si une donnée a été saisie par erreur, et qui met la charte à jour.

Complétez-la par quelques requêtes types qui fonctionnent bien dans votre métier : la fiche France Num suggère justement d’y inclure des « prompts » types pour harmoniser les pratiques.

Les réglages à faire cette semaine

• Recenser les outils d’IA réellement utilisés dans l’équipe, y compris sur des comptes personnels
• Choisir une offre professionnelle et y regrouper les usages de travail
• Signer le contrat de traitement des données (DPA) proposé par le fournisseur
• Sur les comptes individuels qui restent, désactiver l’option d’amélioration du modèle
• Vérifier les connecteurs activés (messagerie, stockage de fichiers) et leurs droits
• Diffuser la charte et organiser une courte formation
• Prévoir un point dans trois mois pour ajuster les règles

En résumé : un outil utile, à condition de le cadrer

ChatGPT fait gagner du temps sur la rédaction, la synthèse ou la préparation de documents. Le risque ne vient pas de l’outil lui-même, mais de ce qu’on y met et de la confiance qu’on accorde à ses réponses. Une offre professionnelle, des données minimales, une charte claire et une relecture humaine couvrent l’essentiel. Pour voir où l’IA rapporte vraiment, lisez IA en PME : 5 automatisations concrètes.

Besoin d’aide pour choisir une offre, rédiger votre charte ou automatiser une première tâche ? C’est l’objet de mon accompagnement IA et automatisation, et vous pouvez aussi me décrire votre situation.