ChatGPT est-il conforme au RGPD pour votre entreprise ?
En bref
ChatGPT n’est ni conforme au RGPD par défaut, ni interdit par défaut. Avec le compte gratuit ou Plus d’un collaborateur, vous n’avez ni contrat de sous-traitance ni visibilité sur le devenir des données ; y saisir des données personnelles devient vite une violation de données. Une version entreprise permet de contractualiser, mais le traitement reste chez OpenAI. Pour les données sensibles ou confidentielles, un environnement d’IA propre est le choix le plus sûr.
Ce qui compte vraiment
Le RGPD n’interdit pas l’IA. Il exige que vous sachiez quelles données personnelles vous traitez, pourquoi, chez qui, et que vous puissiez le démontrer. La question « ChatGPT est-il conforme au RGPD ? » en cache donc une autre : pouvez-vous démontrer que le traitement de données personnelles via ChatGPT est licite, sécurisé et limité ?
La CNIL a publié en juillet 2024 des questions-réponses sur le déploiement de systèmes d’IA générative, du choix du système à la formation des utilisateurs. Pour la plupart des organisations, la réponse dépend de la version utilisée et de qui l’utilise : l’organisation, avec un cadre contractuel, ou un collaborateur, de sa propre initiative.
Gratuit, Plus ou entreprise : la différence au regard du RGPD
| Gratuit ou Plus (compte personnel) | Version entreprise (Team, Enterprise, API) | |
|---|---|---|
| Contrat de sous-traitance | Non, vous n’êtes pas le client | Oui, possible avec OpenAI |
| Utilisation pour l’entraînement | Possible, sauf si l’utilisateur la désactive | Non, par défaut |
| Visibilité pour l’organisation | Aucune : le compte appartient au collaborateur | Administration, utilisateurs et journalisation (limitée) |
| Lieu du traitement | Chez OpenAI | Chez OpenAI, avec pour partie un choix de stockage en Europe |
Une version entreprise règle donc beaucoup de choses : un contrat, un accord de sous-traitance et une administration. Elle ne règle pas le fait qu’un tiers traite vos données, avec une maison mère aux États-Unis. Pour les transferts vers les États-Unis, beaucoup d’organisations s’appuient sur le cadre de protection des données UE-États-Unis. Le Tribunal de l’UE l’a validé en septembre 2025, mais l’affaire est en appel devant la Cour de justice. Bâtir son usage de l’IA sur ce cadre, c’est bâtir sur un fondement dont l’avenir n’est pas tranché.
Quand l’usage de ChatGPT devient-il une violation de données ?
L’autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens) l’a dit clairement en 2024. Elle a fait état de plusieurs violations de données dans lesquelles des salariés avaient saisi des données personnelles dans un chatbot d’IA. Une employée d’un cabinet de médecine générale avait saisi des données médicales de patients ; chez un opérateur télécom, il s’agissait d’un fichier contenant notamment des adresses de clients.
Le raisonnement : lorsqu’un salarié, de sa propre initiative et contrairement aux consignes, saisit des données personnelles dans un chatbot, le fournisseur obtient un accès non autorisé à ces données. C’est une violation de données à caractère personnel. L’obligation de notification s’applique alors (article 33 du RGPD) : dans les 72 heures auprès de la CNIL s’il existe un risque pour les personnes concernées, et auprès de ces personnes elles-mêmes si le risque est élevé.
En pratique : chaque fichier client collé, chaque extrait de dossier et chaque e-mail nominatif peut constituer une violation à notifier. Et le plus souvent, vous l’ignorez, car cela se passe dans des comptes personnels que vous ne voyez pas. Comment y remédier : Shadow AI : que faire quand vos collaborateurs utilisent ChatGPT.
Que devez-vous encadrer si vous autorisez ChatGPT ?
Si vous choisissez d’utiliser ChatGPT à titre professionnel, prévoyez au minimum :
- Un contrat professionnel et un accord de sous-traitance (article 28 du RGPD). Sans cet accord, vous ne pouvez pas faire traiter de données personnelles.
- Une analyse d’impact (AIPD) si le traitement est susceptible d’engendrer un risque élevé, par exemple pour des données sensibles, un traitement à grande échelle ou une technologie nouvelle (article 35 du RGPD). C’est souvent le cas avec l’IA générative.
- Une charte d’usage de l’IA qui précise quelles données peuvent ou non être saisies, avec des exemples concrets par service.
- Un encadrement des transferts hors de l’UE, avec une évaluation des risques.
- Le blocage des comptes personnels sur le réseau, sinon l’ancien usage continue.
- La maîtrise de l’IA : les collaborateurs doivent comprendre ce qu’ils peuvent ou non confier à un modèle. Le règlement européen sur l’IA vous demande de la favoriser. Voir Le règlement européen sur l’IA en 2026.
L’alternative : une IA qui ne quitte pas votre organisation
Pour une partie de votre activité, un abonnement professionnel bien encadré suffit. Pour les données que vous ne voulez pas confier à un tiers (données patients, dossiers clients, données RH, fichiers clients), la voie défendable consiste à amener l’IA aux données, et non l’inverse.
Avec l’IA privée, le modèle de langage tourne sur un nœud qui vous appartient, dans votre salle serveur. Aucun fournisseur d’IA externe n’intervient dans le traitement : pas de transfert, pas de sous-traitant ayant accès au contenu. Dans werqly AI Control, votre DSI définit quelles données sont bloquées, qui utilise quel modèle et ce qui est journalisé. Les collaborateurs trouvent ce qu’ils cherchaient dans ChatGPT, et vous gardez la visibilité nécessaire.
Questions fréquentes
Questions sur ce sujet
Les salariés peuvent-ils utiliser ChatGPT pour leur travail ?
C’est à l’organisation d’en décider. Sans charte ni contrat professionnel, vous risquez que des données personnelles se retrouvent dans des comptes personnels, ce qui peut constituer une violation de données. Précisez quel outil est autorisé et quelles données peuvent y être saisies.
ChatGPT Enterprise est-il conforme au RGPD ?
Il rend possible un usage conforme : vous signez un accord de sous-traitance et vos données ne servent pas à l’entraînement par défaut. Vous restez responsable de l’analyse d’impact, de la limitation des finalités, de l’encadrement des transferts et des règles sur les données saisies. Le traitement a lieu chez OpenAI.
Dois-je notifier une violation si un salarié a saisi des données personnelles dans ChatGPT ?
Si cela s’est fait contrairement aux consignes et présente un risque pour les personnes concernées, en général oui : dans les 72 heures auprès de la CNIL. Consignez-le dans tous les cas dans votre registre des violations et consultez votre délégué à la protection des données.
Un modèle d’IA européen est-il automatiquement conforme au RGPD ?
Non. Un fournisseur européen supprime le risque de transfert vers les États-Unis, mais vous avez toujours besoin d’un accord de sous-traitance, d’une analyse d’impact et d’une charte. Ce n’est que lorsque le modèle tourne sur votre propre infrastructure qu’il n’y a aucun sous-traitant du contenu.
Sources
- CNIL — Utiliser un système d’IA générative : questions-réponses (2024)
- Autoriteit Persoonsgegevens — Caution: use of AI chatbot may lead to data breaches (2024)
- RGPD (règlement (UE) 2016/679), articles 28, 33 et 35
- Tribunal de l’UE, Latombe/Commission (T-553/23), 3 septembre 2025
Cet article est une information générale, pas un conseil juridique. Les règles et les recommandations évoluent ; en cas de doute, consultez les sources citées ou votre juriste ou DPO.