Ce que vous pouvez (ou pas) confier à ChatGPT : IA et RGPD pour les entreprises

Rédiger un e-mail, résumer un compte rendu, reformuler un devis : ChatGPT et les autres assistants d’intelligence artificielle sont devenus des collègues de bureau. Mais chaque texte que vous collez dans la fenêtre de discussion part chez un prestataire extérieur. Fichier clients, bulletin de salaire, tarifs négociés, projet de rachat : que pouvez-vous confier à l’IA sans risque pour vos clients, vos salariés et votre entreprise ? Voici les règles simples à connaître, ce que recommande la CNIL et les réglages à faire dès aujourd’hui.

Pourquoi la question se pose

Quand vous écrivez à un assistant d’IA, votre texte est envoyé sur les serveurs de l’éditeur, traité, puis généralement conservé dans votre historique. Selon l’offre utilisée et vos réglages, il peut aussi servir à entraîner les futurs modèles. Autrement dit, une information collée dans ChatGPT n’est plus tout à fait sous votre seul contrôle.

Trois types d’informations demandent donc une attention particulière :

• Les données personnelles : tout ce qui permet d’identifier une personne, directement ou non (nom, e-mail, téléphone, adresse, numéro client, mais aussi un contexte suffisamment précis). Elles sont protégées par le RGPD.
• Les informations confidentielles : celles que vous vous êtes engagé à protéger, par contrat, par un accord de confidentialité ou par une obligation de secret professionnel.
• Le secret des affaires : vos marges, vos fichiers prospects, vos procédés, votre stratégie. Le Code de commerce ne les protège que si vous prenez vous-même des mesures de protection raisonnables. Les diffuser sans précaution dans un outil grand public peut fragiliser cette protection en cas de litige.

Le RGPD n’interdit pas l’IA. Il vous demande de savoir quelles données vous y mettez, pourquoi et avec quelles garanties. Vous restez responsable des données de vos clients et salariés.

Je peux, j’évite, jamais : le tableau de référence

Ce tableau vaut pour un compte grand public. Une offre professionnelle bien paramétrée élargit un peu la colonne du milieu, sans supprimer la dernière.

Je peux	J’évite (ou j’anonymise d’abord)	Jamais
Rédiger un e-mail type, une publication, une fiche produit	Coller un e-mail client avec nom, adresse et numéro de commande	Données de santé, opinions politiques ou religieuses, appartenance syndicale
Résumer un article ou un document public	Résumer un compte rendu de réunion interne non anonymisé	Numéros de sécurité sociale, coordonnées bancaires, pièces d’identité
Demander une formule Excel en décrivant les colonnes	Importer un tableau réel de clients ou de salariés	Fichier clients ou fichier du personnel complet
Reformuler un texte que vous avez écrit	Reformuler un contrat ou un devis contenant les conditions d’un client	Documents couverts par un accord de confidentialité ou le secret professionnel
Trouver des idées, préparer un plan, traduire un texte sans enjeu	Analyser vos chiffres d’affaires et marges détaillés	Mots de passe, codes d’accès, clés d’API
S’entraîner à un entretien ou à une négociation	Préparer l’évaluation d’un salarié nommé	Décider seul, sur la base de l’IA, d’un recrutement, d’une sanction ou d’un refus client

Le test des trois secondes avant de coller un texte : « Accepterais-je que ce contenu soit lu par une personne extérieure à l’entreprise ? » Si la réponse est non, anonymisez ou renoncez.

Ce que recommande la CNIL

En juillet 2024, la CNIL a publié des questions-réponses sur l’utilisation d’un système d’IA générative, destinées aux organismes qui déploient ces outils. Six messages à retenir, en langage simple :

• Partir d’un besoin concret : ne pas déployer l’IA « parce que tout le monde le fait », mais pour des usages identifiés.
• Fixer les usages autorisés et interdits : par exemple, ne pas saisir de données personnelles et ne pas confier une décision à l’outil.
• Tenir compte des limites : l’IA peut produire des réponses plausibles mais fausses. La CNIL recommande de ne jamais reproduire telles quelles ses sorties.
• Choisir un outil et un mode de déploiement sûrs : si vous utilisez un service en ligne, vérifiez si l’éditeur peut réutiliser vos données, et adaptez vos usages en conséquence. Pour un service grand public, la CNIL évoque un compte professionnel et la désactivation de la réutilisation des données, et rappelle de ne jamais y partager d’informations confidentielles.
• Former et sensibiliser les utilisateurs aux usages interdits comme aux risques des usages autorisés.
• Mettre en place une gouvernance : associer le délégué à la protection des données (DPO) s’il existe, la personne en charge de l’informatique et les responsables métiers, et encadrer les usages par une politique ou une charte interne.

La CNIL rappelle aussi qu’avec un prestataire en ligne, un contrat de sous-traitance est nécessaire et que les transferts de données hors de l’Union européenne doivent être encadrés. Pour les usages qui touchent à des données sensibles ou à des décisions sur des personnes, une analyse d’impact (AIPD) peut être nécessaire. La CNIL a par ailleurs annoncé, dans son programme 2026, des travaux spécifiques sur l’IA au travail : ses recommandations sont donc susceptibles d’évoluer.

Les bons réglages dans ChatGPT

Avec un compte gratuit ou personnel

Sur les formules individuelles (gratuite, Go, Plus), OpenAI peut utiliser vos conversations pour améliorer ses modèles, sauf si vous le refusez. Le réglage se trouve dans Paramètres › Contrôles des données : désactivez l’option « Améliorer le modèle pour tout le monde ». Sur mobile, le même menu est accessible depuis votre profil.

• Discussion temporaire : pour une question ponctuelle, ouvrez une discussion temporaire. Elle n’apparaît pas dans l’historique, ne crée pas de mémoire et ne sert pas à entraîner les modèles. OpenAI indique toutefois pouvoir la conserver jusqu’à 30 jours pour des raisons de sécurité.
• Mémoire et historique : vérifiez ce que l’assistant a retenu de vous et faites le ménage régulièrement.

Désactiver l’entraînement ne rend pas un compte grand public adapté aux données sensibles. Vos échanges restent stockés chez l’éditeur. Les données personnelles de vos clients et salariés n’ont rien à y faire.

Avec une offre professionnelle

Les offres ChatGPT Business et Enterprise fonctionnent différemment : selon OpenAI, le contenu de ces espaces de travail n’est pas utilisé par défaut pour entraîner les modèles. Elles permettent aussi de gérer les comptes de l’équipe et de retirer un accès quand un salarié part. Gemini dans Google Workspace, Copilot avec un compte Microsoft 365 professionnel, Claude ou Le Chat en offre Team prennent des engagements comparables ; notre comparatif des assistants d’IA détaille ce point pour chacun.

Une offre professionnelle ne vous dispense pas des règles. Elle vous donne un cadre contractuel (engagements sur les données, accord de sous-traitance à vérifier) et des outils de gestion. Vos salariés doivent toujours savoir ce qu’ils peuvent y mettre.

Les bonnes pratiques à mettre en place

1. Anonymiser avant de coller

Avant d’envoyer un texte, remplacez les noms par des rôles (« le client », « la salariée »), supprimez adresses, téléphones, numéros de dossier et montants précis, et retirez le nom de l’entreprise cliente. Attention : remplacer un nom par « Client A » ne suffit pas toujours. Si le contexte permet de reconnaître la personne (un poste unique, une petite commune, un événement précis), la donnée reste personnelle. Il faut alors généraliser davantage.

Autre option : décrivez la structure de votre fichier au lieu de l’importer, ou utilisez des données fictives. Nos 10 prompts prêts à l’emploi sont conçus dans cet esprit, avec des [crochets] à remplir sans données sensibles.

2. Rédiger une charte interne de l’IA

Une page ou deux suffisent pour une TPE ou une PME. Elle répond à quelques questions simples :

• Quels outils sont autorisés, et avec quel type de compte (professionnel uniquement, par exemple) ?
• Quelles données sont interdites (reprenez la colonne « Jamais » du tableau ci-dessus) ?
• Quels usages demandent une relecture humaine systématique (tout ce qui part chez un client, tout ce qui touche à une personne) ?
• Faut-il signaler qu’un contenu a été produit avec l’IA, et dans quels cas ?
• À qui s’adresser en cas de doute ou d’erreur (une donnée envoyée par mégarde, par exemple) ?

Voici une base à adapter, à copier dans votre charte :

Règles d’utilisation de l’IA chez [nom de l’entreprise]
1. Outils autorisés : [outil] avec le compte professionnel fourni par l’entreprise uniquement.
2. Interdit : saisir des données personnelles de clients ou de salariés, des données bancaires ou de santé, des mots de passe, des documents confidentiels.
3. Autorisé : rédaction, reformulation, résumé de documents publics ou anonymisés, recherche d’idées.
4. Toute réponse de l’IA est relue et vérifiée avant d’être envoyée ou publiée.
5. Aucune décision concernant une personne n’est prise sur la seule base de l’IA.
6. En cas de doute ou d’erreur : prévenir [nom / fonction] le jour même.

3. Informer et former les salariés

Beaucoup de salariés utilisent déjà l’IA avec leur compte personnel. Interdire en bloc pousse ces usages dans l’ombre : mieux vaut fournir un outil encadré et expliquer les règles. La CNIL insiste sur ce point : former les utilisateurs au fonctionnement de l’outil, à ses limites et aux usages interdits.

Dans les entreprises d’au moins 50 salariés, l’introduction d’un nouvel outil qui modifie les conditions de travail peut aussi nécessiter la consultation du comité social et économique (CSE). Renseignez-vous avant un déploiement à grande échelle.

Questions fréquentes

Ai-je le droit d’utiliser ChatGPT dans mon entreprise ?

Oui. Aucune règle n’interdit l’usage de l’IA générative en entreprise. En revanche, vous devez respecter le RGPD pour les données personnelles que vous y mettez, protéger vos informations confidentielles et encadrer les usages de votre équipe.

Si je désactive l’entraînement, puis-je y mettre des données clients ?

Non, ce réglage ne suffit pas. Il empêche l’utilisation de vos échanges pour entraîner les modèles, mais vos conversations restent stockées chez l’éditeur, sans cadre contractuel adapté. Pour des données personnelles, privilégiez une offre professionnelle avec engagements contractuels, et limitez-vous au strict nécessaire, anonymisé autant que possible.

Un salarié a collé un fichier clients dans ChatGPT : que faire ?

Supprimez la conversation, faites le point sur les données concernées et le type de compte utilisé, puis documentez l’incident. Selon les risques pour les personnes, il peut s’agir d’une violation de données à notifier à la CNIL dans les 72 heures. En cas de doute, faites-vous conseiller rapidement.

Une charte IA est-elle obligatoire ?

Ce n’est pas une obligation légale en tant que telle, mais c’est une recommandation de la CNIL et le moyen le plus simple de prouver que vous encadrez les usages. Pour une petite équipe, un document court, expliqué en réunion, est déjà très efficace.

Vous voulez utiliser l’IA dans votre entreprise sans prendre de risques avec vos données ? Nous vous aidons à choisir et paramétrer le bon outil, à rédiger votre charte et à former votre équipe aux bons réflexes. Découvrez notre accompagnement en intelligence artificielle et nos formations, ou parlons-en.

Sources : CNIL, questions-réponses sur l’utilisation d’un système d’IA générative · CNIL, comment déployer une IA générative · CNIL, programme de travail 2026 · OpenAI, contrôles des données (FAQ). Cet article est une information générale, à jour en octobre 2026 ; il ne remplace pas un conseil juridique adapté à votre situation.