ChatGPT et RGPD : peut-on y mettre des données clients ?

Qui est responsable des données envoyées à ChatGPT ?

Vous. Quand un cabinet, un office ou une entreprise colle dans ChatGPT un courrier, un contrat ou un tableau qui contient des noms de clients, de salariés ou de contreparties, c'est lui qui décide de ce traitement de données personnelles et de sa finalité : il en est le responsable au sens du RGPD. Les obligations qui en découlent restent les siennes, quel que soit l'outil.

La CNIL le dit sans détour dans ses questions-réponses sur l'IA générative : c'est l'organisme utilisateur « qui engagera sa responsabilité » en cas de mauvaise utilisation de l'IA par son personnel. Et en tant qu'utilisateur, « il vous revient donc d'interroger le fournisseur sur la conformité de son système au RGPD ».

Les données d'une société cliente (sa dénomination, sa forme, ses coordonnées) ne sont pas des données personnelles (considérant 14 du RGPD). Mais ses dirigeants, associés, salariés et interlocuteurs, eux, sont des personnes physiques. Et pour les professions tenues au secret, la dénomination du client reste couverte par le secret : voir IA et secret professionnel.

ChatGPT est-il conforme au RGPD ?

La question utile n'est pas de savoir si ChatGPT est « conforme » en général, mais si l'usage que vous en faites l'est : c'est vous qui en répondez. Les autorités européennes de protection des données examinent d'ailleurs le service de près. En Italie, la Garante per la protezione dei dati personali a sanctionné OpenAI de 15 millions d'euros (décision n° 755 du 2 novembre 2024, annoncée le 20 décembre 2024), notamment pour l'entraînement de ChatGPT sans base légale adéquate et l'absence de notification d'une violation de données. OpenAI a contesté la décision : le tribunal de Rome a accueilli son recours par un jugement n° 4153/2026 publié le 18 mars 2026, et la décision a été retirée du site de l'autorité italienne.

Ces procédures portent sur les traitements d'OpenAI lui-même. Elles ne règlent pas votre propre conformité : si un collaborateur colle le contrat d'un client dans un compte personnel, c'est le cabinet qui doit justifier ce transfert. D'où les trois questions qui suivent : quelle offre, quel contrat, quelles données.

Quelle offre ChatGPT est compatible avec le RGPD ?

Ce que publie OpenAI pour chaque famille d'offres, relevé le 12 octobre 2026. Les conditions changent souvent : vérifiez-les sur les pages citées en sources avant toute décision.

Sur l'entraînement, OpenAI écrit que, par défaut, il n'utilise pas les données de ChatGPT Enterprise, Business, Edu et de sa plateforme API, « entrées et sorties comprises », pour entraîner ou améliorer ses modèles. Sur les offres pour particuliers, une conversation supprimée est effacée sous 30 jours, sauf exception (conversation déjà anonymisée, obligation de sécurité ou légale).

Une exception à connaître : même après avoir désactivé l'entraînement, un pouce levé ou baissé sur une réponse permet à OpenAI d'utiliser toute la conversation concernée pour entraîner ses modèles.

Le contrat de sous-traitance (DPA, article 28)

Quand un prestataire traite des données personnelles pour votre compte, l'article 28 du RGPD exige deux choses : qu'il présente des « garanties suffisantes », et qu'un contrat fixe ce qu'il peut faire de ces données. Chez OpenAI, ce contrat est le Data Processing Addendum (DPA), proposé pour ChatGPT Business, ChatGPT Enterprise et l'API ; le client le demande via un formulaire. Dans ce cadre, le client est responsable du traitement et OpenAI sous-traitant.

OpenAI ne propose son DPA que pour ChatGPT Business, ChatGPT Enterprise et l'API : les comptes Free, Go, Plus et Pro relèvent de sa politique de confidentialité générale. Utiliser un compte personnel pour des données de clients, c'est donc confier ces données sans le contrat qu'exige l'article 28. C'est aussi le cas typique de l'usage non maîtrisé : un collaborateur qui ouvre ChatGPT sur son compte personnel pour gagner dix minutes.

Un DPA ne vaut pas blanc-seing. Lisez-le en entier : durées de conservation, sous-traitants ultérieurs, et éventuelles clauses sur les données dérivées « désidentifiées » ou agrégées. Le guide du CNB d'avril 2026 rappelle d'ailleurs qu'un engagement de non-réutilisation n'est en général « ni prouvable ni vérifiable ».

Hébergement et transferts hors de l'Union

OpenAI est une entreprise américaine. Pour répondre aux exigences européennes, elle propose une résidence des données au repos en Europe (EEE et Suisse) : conversations, fichiers et données des GPT personnalisés pour les clients éligibles de ChatGPT Enterprise et Edu, et projets API créés dans la région Europe. Une option de calcul en Europe existe aussi pour certains clients.

Trois limites :

• Les offres pour particuliers ne sont pas concernées.
• Le périmètre est partiel : données de compte, de facturation, statistiques d'usage et journaux sans contenu restent hors de la résidence.
• La souveraineté n'est pas réglée pour autant. Le guide du CNB retient comme critère un hébergement par une entreprise française ou européenne non soumise à des lois extraterritoriales, ce qui exclut en l'état les entreprises américaines.

Que dit la CNIL sur ChatGPT et les données personnelles ?

Dans ses questions-réponses sur l'utilisation d'un système d'IA générative, la CNIL formule des conseils directement applicables :

• Avec un service grand public, « ne jamais partager d'informations confidentielles telles que des données personnelles » ; les utilisateurs « ne devraient soumettre que des informations qu'ils sont autorisés à partager ».
• Pour fournir des données de clients ou de collaborateurs, il semble « généralement plus opportun et plus sécurisé de privilégier le déploiement de solutions "sur site" ».
• En cas de recours à une infrastructure externe, la sécuriser par un contrat de sous-traitance.
• Selon le mode de déploiement, interdire la saisie de certaines données confidentielles ou personnelles, encadrer les usages par une politique interne et former les utilisateurs.

Autrement dit : le RGPD n'interdit pas ChatGPT, mais il oblige à décider en amont quelles données peuvent y entrer. La réponse la plus simple à défendre est : aucune donnée personnelle en clair.

Quel est le rôle du DPO face à ChatGPT ?

Quand un cabinet ou une entreprise a désigné un délégué à la protection des données, l'usage de ChatGPT passe par lui. L'article 39 du RGPD lui confie au moins d'« informer et conseiller » le responsable du traitement et les employés, de contrôler le respect du règlement et des règles internes, « y compris en ce qui concerne [...] la sensibilisation et la formation du personnel », et de conseiller sur l'analyse d'impact. Concrètement, cinq chantiers :

La pseudonymisation sur le poste simplifie chacun de ces chantiers : si seules des copies sans nom partent vers l'IA, le registre, l'analyse d'impact et l'information des personnes portent sur un risque bien plus faible. C'est aussi la mesure la plus facile à démontrer lors d'un contrôle. Pour les directions juridiques et les DPO : logiciel d'anonymisation pour juristes d'entreprise et DPO.

Minimisation, pseudonymisation, anonymisation

L'article 5 du RGPD exige des données « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ». Pour reformuler un courrier, résumer un contrat ou relire des conclusions, l'IA n'a besoin d'aucun nom. Envoyer les noms quand même, c'est aller au-delà du nécessaire.

Pour travailler avec l'IA puis remettre les vrais noms dans sa réponse, c'est la pseudonymisation qui convient : des étiquettes stables, comme [PERSONNE_1], et une table de correspondance qui ne quitte pas votre ordinateur. Le détail : anonymisation ou pseudonymisation selon le RGPD. Pour choisir un outil : comparatif des logiciels d'anonymisation.

Comment utiliser ChatGPT avec des données clients : la méthode

1. Choisissez l'offre. Pour un usage professionnel régulier, une offre avec DPA (Business, Enterprise ou API) plutôt que des comptes personnels. Signez le DPA et lisez-le.
2. Écrivez la règle. Une politique ou charte d'usage : quels comptes, quelles tâches, quelles données jamais en clair. Formez l'équipe.
3. Pseudonymisez sur l'ordinateur. Avant l'envoi, jamais dans l'IA : noms, organisations, adresses, e-mails, téléphones, IBAN, dates privées, numéros d'identifiant. Avec AnonymFiles, ils sont détectés automatiquement et remplacés par des étiquettes stables sur toutes les pièces.
4. Relisez la copie. À côté de l'original, en cherchant les identifiants indirects : un montant, une référence, un nom de projet. Rien n'est exporté sans votre validation.
5. Envoyez, puis vérifiez la réponse. L'IA peut se tromper : chiffres, références et citations se contrôlent.
6. Réinjectez sur l'ordinateur. L'application remet les vrais noms dans la réponse, en texte, en Word ou en PDF. La table de correspondance ne quitte jamais le poste.

Côté réseau, AnonymFiles fonctionne sans compte et sans télémétrie ; la licence est vérifiée sur l'ordinateur, sans appel réseau. Sur Mac, les modèles de détection sont inclus : aucune connexion. Sur Windows, ils sont téléchargés une seule fois, au premier traitement, sans aucun texte de document. Voir ce que l'application fait et ne fait pas sur le réseau et comment vérifier vous-même le fonctionnement hors ligne.