Vos salariés utilisent ChatGPT avec des données clients : que dit le RGPD ?
Un salarié colle un extrait de fichier client dans ChatGPT ? C’est un traitement de données personnelles au sens du RGPD — et c’est votre entreprise qui en répond, pas lui. Rien d’illégal en soi : ni la CNIL ni le droit européen n’interdisent l’IA générative au travail. Le vrai risque : des comptes personnels, des services qui peuvent réutiliser vos contenus, ni contrat ni maîtrise des transferts. Interdire déplace le problème. Cadrer le résout : outils maîtrisés, charte, formation, liste des données à ne jamais soumettre.
Mis à jour le 04 août 2026
Cette ressource fournit une information générale, à jour à la date indiquée. Elle ne constitue pas un conseil juridique et ne remplace pas l’analyse d’un professionnel du droit au regard de votre situation.
Que se passe-t-il quand un salarié colle des données clients dans ChatGPT ?
Le prompt file chez le fournisseur, souvent hors de l’UE — sauf résidence européenne sur certaines offres professionnelles. Offres grand public de ChatGPT, gratuites ou payantes : les conversations peuvent par défaut servir à améliorer les modèles (refus possible en option). Team, Enterprise et l’API : pas d’entraînement sur vos contenus par défaut. Vérifiez les règles, offre par offre.
Juridiquement, c’est simple : dès qu’un prompt permet d’identifier quelqu’un — nom, courriel, situation contractuelle —, c’est un traitement de données personnelles. Votre entreprise en répond, même pour un usage individuel et spontané.
Ce « shadow IA » n’est pas une faute : les outils sont arrivés avant les règles.
Est-ce interdit par le RGPD ?
Non. Aucun texte n’interdit l’IA générative sur des données personnelles. La CNIL encadre l’usage, sans le proscrire. Le Comité européen de la protection des données admet même (avis 28/2024) que l’intérêt légitime peut fonder ces traitements — sous conditions.
Encore faut-il cocher toutes les cases : finalité déterminée, base légale, minimisation, information des personnes, conservation maîtrisée, contrat de sous-traitance (article 28), encadrement des transferts hors UE. Côté États-Unis, le Data Privacy Framework a été validé par le Tribunal de l’UE le 3 septembre 2025 — mais un recours reste pendant devant la Cour de justice : n’y adossez pas tout.
Un compte personnel spontané n’en coche aucune. Le problème n’est pas l’outil, c’est la configuration.
Quels sont les risques réels pour l’entreprise ?
L’amende, d’abord. L’article 83 du RGPD prévoit jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial — 20 millions ou 4 % pour les manquements les plus graves (principes, droits des personnes, transferts). La CNIL module selon gravité, durée et coopération.
Pour une PME, le risque contractuel pèse au moins autant : des données clients dans un service non maîtrisé peuvent violer vos engagements de confidentialité et exposer un savoir-faire.
Enfin, la violation : des données personnelles exposées avec un risque pour les personnes vous laissent 72 heures, après la prise de connaissance, pour notifier la CNIL. Difficile quand on ignore ce qui a été soumis, par qui, quand.
Faut-il interdire ChatGPT à vos équipes ?
Tentant, mais inefficace. L’usage migre vers téléphones et comptes personnels : plus rien à voir, à paramétrer, à tracer.
La CNIL ne recommande pas d’interdire : plutôt une charte claire, pas de comptes sur adresses personnelles, et la réutilisation des données d’usage désactivée chez le fournisseur.
Même logique côté AI Act : depuis le 2 février 2025, l’article 4 impose des mesures pour favoriser le développement de la maîtrise de l’IA du personnel, quelle que soit votre taille. Une obligation de moyens, précise le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026 : rien n’exige de garantir un niveau donné pour une personne donnée. Depuis le 2 août 2026, l’article 50 ajoute la transparence des contenus générés par IA et des systèmes conversationnels.
Comment cadrer l’usage sans bloquer les équipes ?
Quatre chantiers, dans l’ordre.
Fournir une alternative maîtrisée. Le shadow IA prospère faute d’outil officiel. Compte entreprise ou API : contrat de sous-traitance, non-entraînement sur vos données, paramétrage vérifié. Données très sensibles ? La CNIL recommande le déploiement sur site, sans transmission à un tiers.
Écrire une charte courte. Une page : usages autorisés, usages interdits, et surtout les données à ne jamais soumettre — tout ce qui identifie un client, données de santé ou sensibles, données RH, secrets d’affaires, éléments sous accord de confidentialité.
Former — la réponse la plus concrète à l’article 4. Pas de séminaire : des cas tirés de vos métiers, et le réflexe de vérifier les sorties — jamais de réponse reprise telle quelle, rappelle la CNIL.
Enfin, une gouvernance simple : un référent IA, le délégué à la protection des données s’il existe, une revue périodique.
Par où commencer quand l’usage est déjà installé ?
Par un état des lieux, pas par des sanctions. Chercher des coupables garantit une chose : la prochaine fois, personne ne dira rien. Cartographiez les usages réels — outils, équipes, données. Traitez d’abord les deux ou trois situations les plus exposées : instance maîtrisée, liste des données interdites, formation des équipes.
Bonus : vos salariés savent déjà où l’IA aide vraiment. Un bon cadre protège vos données et révèle où l’IA crée de la valeur — et où non. Mieux vaut ce diagnostic à froid que des règles écrites dans l’urgence après un incident.
Questions fréquentes
- Un salarié a soumis des données clients à ChatGPT : faut-il notifier la CNIL ?
- Pas systématiquement. Qualifiez l’incident : quelles données, quel type de compte, quelles options de réutilisation. Violation avec un risque pour les personnes ? 72 heures, après la prise de connaissance, pour notifier la CNIL. Documentez l’analyse dans tous les cas.
- Les offres payantes de ChatGPT règlent-elles la question ?
- En partie. Team, Enterprise et l’API n’utilisent pas vos contenus pour l’entraînement par défaut : un risque majeur en moins. Restent l’article 28, les transferts hors UE, la minimisation, l’information des personnes. L’outil ne dispense pas du cadre.
- Peut-on soumettre des données clients anonymisées ?
- Oui, si l’anonymisation est réelle : personne ne doit pouvoir être réidentifié, même par recoupement. Des données pseudonymisées (initiales, identifiants internes) restent des données personnelles. Reformuler la question sans cas nominatif est souvent plus sûr que d’anonymiser un fichier.
- Une charte d’usage de l’IA est-elle obligatoire ?
- Aucun texte ne l’impose en tant que telle. Mais la CNIL recommande des politiques internes d’usages autorisés et interdits, et l’article 4 de l’AI Act impose des mesures favorisant la maîtrise de l’IA — obligation de moyens, confirmée par le règlement (UE) 2026/1744. La charte répond aux deux.
- L’AI Act remplace-t-il le RGPD pour l’IA générative ?
- Non, ils s’appliquent en parallèle. Le RGPD, dès qu’on traite des données personnelles. L’AI Act ajoute la maîtrise de l’IA des équipes (article 4, depuis février 2025) et la transparence des contenus générés (article 50, depuis le 2 août 2026).
Pour aller plus loin
- IA souveraine : ce que ça veut dire concrètement pour une PMEHébergement, droit applicable, maîtrise du modèle, réversibilité : quatre questions différentes derrière le mot « souverain », et comment trancher en PME.
- Faire répondre une IA sur vos documents internes : ce que ça permet, ce que ça demandeFaire répondre une IA sur les documents internes de l’entreprise : le principe du RAG sans jargon, les conditions de succès, les pièges — et les cas où ça ne vaut pas le coup.
- AI Act : ce qu’une PME qui utilise l’IA doit faireCe que le règlement européen sur l’IA impose à une PME qui utilise l’IA sans en développer : littératie, transparence, usages interdits et calendrier réel.
- Un outil d’IA conçu pour votre problème, pas l’inverseIntégrer l’IA sans gadget ni risque inutile : un outil conçu pour votre problème, vos données protégées, un humain qui garde la main. Paris, Île-de-France, France.
Sources
- https://www.cnil.fr/fr/les-questions-reponses-de-la-cnil-sur-lutilisation-dun-systeme-dia-generative — recommandations de la CNIL sur l’usage des IA génératives : chartes internes définissant usages autorisés et interdits, pas de comptes personnels, désactivation de la réutilisation des données d’usage, restriction des données confidentielles selon le mode de déploiement (cloud vs sur site), vérification des sorties
- https://www.cnil.fr/fr/ia-et-rgpd-la-cnil-publie-ses-nouvelles-recommandations-pour-accompagner-une-innovation-responsable — page du 7 février 2025 annonçant de nouvelles recommandations de la CNIL (information des personnes, exercice des droits) : l’autorité organise l’usage de l’IA au regard du RGPD plutôt qu’elle ne l’interdit
- https://www.edpb.europa.eu/system/files/2024-12/edpb_opinion_202428_ai-models_en.pdf — avis 28/2024 du CEPD (17 décembre 2024) : l’intérêt légitime peut fonder les traitements liés aux modèles d’IA sous conditions ; anonymat des modèles apprécié au cas par cas
- https://help.openai.com/fr-fr/articles/7730893-faq-sur-les-contr%C3%B4les-de-donn%C3%A9es — politique OpenAI : par défaut, les contenus des offres grand public peuvent servir à améliorer les modèles (option de refus disponible) ; les offres Team, Enterprise et l’API ne sont pas utilisées pour l’entraînement par défaut
- https://www.capstan.fr/articles/2692-formation-des-salaries-a-lia-5-questions-sur-vos-obligations-demployeur/ — article 4 de l’AI Act applicable depuis le 2 février 2025 (analyse de mai 2025, antérieure à la réécriture de l’article 4 par le règlement (UE) 2026/1744)
- https://eur-lex.europa.eu/eli/reg/2026/1744/oj — règlement (UE) 2026/1744 (« Digital Omnibus on AI »), publié au JOUE le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026 : réécriture de l’article 4 du règlement (UE) 2024/1689 en obligation de moyens — fournisseurs et déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l’IA » de leur personnel
- https://www.blogdumoderateur.com/ia-act-2-aout-2026/ — obligations de transparence de l’article 50 de l’AI Act applicables au 2 août 2026 (contenus générés par IA, systèmes conversationnels)
- https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre — notification d’une violation de données à la CNIL sous 72 heures après la prise de connaissance en cas de risque pour les personnes (article 33 RGPD)
- https://www.donneespersonnelles.fr/article-83-rgpd — plafonds des amendes RGPD (article 83) : 10 M€ ou 2 % du CA annuel mondial, portés à 20 M€ ou 4 % pour les manquements les plus graves (principes, droits des personnes, transferts) ; modulation par la CNIL selon gravité, durée et coopération
- https://www.twobirds.com/en/insights/2025/euus-data-privacy-framework-survives-legal-challenge-what-the-latombe-decision-means-for-internation — Tribunal de l’UE, 3 septembre 2025 : rejet du recours Latombe, le Data Privacy Framework UE–États-Unis reste valide
- https://www.wilmerhale.com/en/insights/blogs/wilmerhale-privacy-and-cybersecurity-law/20251201-european-court-of-justice-to-review-challenge-to-eu-us-data-privacy-framework — un recours contre le Data Privacy Framework reste pendant devant la Cour de justice de l’UE