IA et RGPD : utiliser ChatGPT sans risque pour vos données

Vous utilisez ChatGPT, Claude, Gemini ou Copilot au travail pour rédiger un mail, résumer un compte rendu ou analyser un fichier client ? Vous n'êtes pas seul. Mais une question revient souvent, chez les salariés comme chez les dirigeants de PME : a-t-on le droit d'y mettre des données personnelles ?

La réponse courte : oui, mais pas n'importe comment. Le RGPD s'applique à l'IA générative comme à n'importe quel autre outil numérique. Bonne nouvelle : quelques règles simples suffisent pour en profiter sans mettre en danger vos clients, vos collaborateurs ou votre entreprise. Voici le guide pratique.

Pourquoi le RGPD concerne directement votre usage de l'IA

Le RGPD (Règlement général sur la protection des données) encadre tout traitement de données personnelles : nom, adresse e-mail, numéro de téléphone, CV, historique d'achat, mais aussi toute information qui permet d'identifier une personne, même indirectement.

Or, quand vous collez un texte dans un assistant IA, vous transmettez ces informations à un prestataire, souvent hébergé hors de l'Union européenne. Juridiquement, c'est un traitement de données. Votre entreprise en reste responsable.

Les risques sont concrets :

Fuite de données : des informations confidentielles sortent de votre système d'information.
Réutilisation : selon l'offre et les réglages, vos échanges peuvent servir à améliorer les modèles du fournisseur.
Sanctions : le RGPD prévoit des amendes pouvant aller jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.
Perte de confiance : un client qui découvre que son dossier a été copié dans un chatbot grand public ne l'oubliera pas.

À noter : le RGPD et l'AI Act sont deux textes complémentaires. L'AI Act encadre les systèmes d'IA selon leur niveau de risque ; le RGPD protège les données des personnes. Si vous voulez creuser le premier, lisez notre article AI Act : ce que les entreprises doivent savoir.

Les 8 règles d'or pour utiliser l'IA générative en conformité

1. Ne collez jamais de données sensibles

Santé, opinions politiques, religion, orientation sexuelle, données biométriques, situation judiciaire : ces données dites « sensibles » bénéficient d'une protection renforcée. Elles n'ont rien à faire dans un outil d'IA grand public. Même chose pour les numéros de sécurité sociale, les coordonnées bancaires ou les mots de passe.

2. Anonymisez ou pseudonymisez avant d'envoyer

La plupart du temps, l'IA n'a pas besoin de savoir qui est la personne. Remplacez les noms par des repères neutres : « Client A », « Salarié 1 », « [VILLE] ». Supprimez les e-mails, téléphones et adresses. Vous obtiendrez exactement la même qualité de réponse.

Exemple : au lieu de « Rédige une réponse à Marie Dupont, 12 rue des Lilas, qui se plaint d'un retard de livraison », écrivez « Rédige une réponse à une cliente qui se plaint d'un retard de livraison de 10 jours ».

3. Appliquez la minimisation

C'est un principe clé du RGPD : ne traiter que les données strictement nécessaires. Avant d'importer un fichier Excel de 3 000 lignes, demandez-vous si l'IA a vraiment besoin de toutes les colonnes. Souvent, un extrait anonymisé ou des données agrégées suffisent.

4. Choisissez une offre professionnelle

Les versions gratuites et grand public n'offrent pas les mêmes garanties que les offres entreprise. Les éditeurs comme OpenAI, Anthropic, Google, Microsoft ou Mistral AI proposent des formules professionnelles avec des engagements plus stricts. Avant de choisir, vérifiez :

si vos données sont utilisées ou non pour entraîner les modèles ;
la durée de conservation des conversations ;
la localisation de l'hébergement et les garanties en cas de transfert hors UE ;
l'existence d'un contrat de sous-traitance (DPA) conforme à l'article 28 du RGPD.

Ces conditions évoluent régulièrement : relisez-les à chaque renouvellement d'abonnement.

5. Désactivez l'historique et l'entraînement quand c'est possible

De nombreux assistants proposent un réglage pour exclure vos conversations de l'amélioration des modèles. Prenez deux minutes pour le trouver dans les paramètres de confidentialité de chaque outil utilisé dans l'équipe. C'est un geste simple qui réduit fortement l'exposition.

6. Informez les personnes concernées

Si vous utilisez l'IA pour traiter des données de clients ou de candidats (tri de CV, analyse de demandes, personnalisation de messages), votre politique de confidentialité doit le mentionner. La transparence est une obligation, pas une option.

7. Gardez un humain dans la boucle

Le RGPD encadre les décisions entièrement automatisées qui produisent des effets importants sur une personne : refus d'un crédit, rejet d'une candidature, etc. Utilisez l'IA comme aide à la décision, jamais comme décideur unique. Et vérifiez toujours les réponses : une IA peut inventer des informations sur une personne réelle.

8. Documentez vos usages

Ajoutez les traitements impliquant l'IA à votre registre des traitements. Pour les usages à risque (données sensibles, profilage, traitement à grande échelle), une analyse d'impact (AIPD) peut être nécessaire. Votre DPO, si vous en avez un, est votre meilleur allié.

Cas pratiques par métier

Voici comment ces règles se traduisent au quotidien :

Ressources humaines : pour rédiger une fiche de poste ou une grille d'entretien, aucun souci. Pour analyser des CV, retirez noms, photos et coordonnées, et ne laissez jamais l'IA écarter seule un candidat.
Commercial et marketing : demandez à l'IA des modèles d'e-mails ou des segments types, puis personnalisez vous-même dans votre CRM. N'exportez pas votre base clients complète dans un chatbot.
Comptabilité et finance : travaillez sur des données agrégées (chiffre d'affaires par mois, par catégorie) plutôt que sur des factures nominatives.
Service client : faites résumer des réclamations après avoir masqué les identifiants. Les réponses-types générées gagnent en qualité sans exposer personne.
Indépendants : vos clients vous confient des informations. Mettez une ligne dans vos conditions générales sur l'usage d'outils d'IA et appliquez systématiquement l'anonymisation.

Mettre en place une démarche simple dans votre entreprise

Pas besoin d'un chantier de six mois. Une PME peut avancer en quatre étapes :

Faire l'inventaire : quels outils d'IA sont utilisés, par qui, pour quoi ? Un simple questionnaire interne suffit souvent à révéler des usages « cachés ».
Choisir des outils validés : sélectionnez une ou deux solutions avec des garanties contractuelles claires, et proposez-les à tous.
Écrire une charte IA : une ou deux pages avec ce qui est autorisé, ce qui est interdit et les bons réflexes. Notre guide pour créer une charte IA en entreprise vous donne un modèle.
Former les équipes : une règle non comprise n'est pas appliquée. Une courte formation pratique vaut mieux qu'un long document que personne ne lit.

Pour aller plus loin, la CNIL publie des recommandations et des fiches pratiques sur l'intelligence artificielle sur son site cnil.fr. C'est la référence officielle en France.

FAQ : IA générative et RGPD

Est-ce que ChatGPT est interdit par le RGPD ?

Non. Aucun outil d'IA n'est interdit en soi par le RGPD. Ce qui compte, c'est la manière dont vous l'utilisez : quelles données vous y mettez, avec quelle offre, et avec quelles garanties.

Une version payante suffit-elle à être conforme ?

Pas automatiquement. Une offre professionnelle apporte de meilleures garanties contractuelles, mais vous restez responsable de vos pratiques : minimisation, anonymisation, information des personnes et documentation.

Puis-je utiliser l'IA pour trier des candidatures ?

Oui, comme aide, à condition d'informer les candidats, de minimiser les données transmises et de garder une décision humaine finale. Faites attention aux biais : vérifiez régulièrement que l'outil ne défavorise pas certains profils.

Conclusion : l'IA, oui, mais avec méthode

Le RGPD n'est pas un frein à l'IA générative. C'est un cadre qui vous pousse à adopter de bons réflexes : anonymiser, minimiser, choisir les bons outils et garder la main sur les décisions. Ces habitudes protègent vos clients, vos équipes et la réputation de votre entreprise.

Vous voulez que vos collaborateurs maîtrisent l'IA générative de façon efficace et responsable ? I-Academy propose des formations pratiques, certifiantes et finançables par le CPF ou votre OPCO. Découvrez nos formations sur i-academy.fr et passez à l'action dès aujourd'hui.