Cet article fournit des orientations informatives générales. Voir les Mentions légales.
- La conformité RGPD n’est pas une propriété intrinsèque de ChatGPT, Copilot ou Gemini. C’est une propriété de la façon dont votre entreprise les configure et les utilise. Le même outil peut être conforme dans une entreprise et constituer un risque de violation actif dans la suivante.
- Deux décisions comptent avant tout : quelle offre vous utilisez (grand public, ou entreprise/API avec un accord de sous-traitance signé) et ce que vos salariés collent réellement dans la fenêtre de conversation.
- 77 % des salariés utilisant l’IA au travail ont déjà collé des données de l’entreprise ou de clients dans un prompt, la plupart depuis des comptes personnels non gérés que l’entreprise ne peut ni voir ni contrôler.
En bref : les comptes ChatGPT grand public, Copilot en offre gratuite et Gemini personnel traitent vos prompts selon les conditions du fournisseur, pas les vôtres. Aucun accord de sous-traitance n’est en place, aucune garantie contractuelle que vos données ne serviront pas à entraîner de futurs modèles, aucune traçabilité. Les offres entreprise et API changent cela, mais seulement si votre entreprise les configure réellement et rédige une politique que les salariés suivent.
Points clés
- Il n’existe pas de case unique « conforme RGPD » pour un chatbot IA. La conformité dépend de votre offre, de votre accord de sous-traitance, de votre politique écrite et des données qui y transitent réellement.
- Une analyse d’impact relative à la protection des données (AIPD) est requise par l’article 35 du RGPD lorsque l’usage de l’IA implique un profilage systématique, une décision automatisée aux effets juridiques, ou un traitement à grande échelle de données sensibles. Ce n’est pas le cas de chaque usage d’un chatbot, mais cela couvre plus de situations que la plupart des entreprises ne l’imaginent.
- La CNIL et le CEPD ont tous deux publié des recommandations en 2025 sur l’application du RGPD au développement et à l’usage de l’IA. Une entreprise ne peut plus invoquer une zone grise juridique qu’elle ignorait.
La vraie question : votre usage de ChatGPT est-il conforme ?
Demandez à dix PME si ChatGPT est conforme au RGPD, vous obtiendrez dix réponses différentes, car ce n’est pas la bonne question. OpenAI, Microsoft et Google proposent tous des offres entreprise avec accord de sous-traitance (DPA), options de résidence des données en UE, et engagements à ne pas entraîner leurs modèles sur vos données. Ils proposent aussi tous des offres gratuites ou grand public sans rien de tout cela. L’outil sous-jacent est le même modèle. La posture de conformité dépend de la porte par laquelle vos salariés sont entrés, et de si quelqu’un dans votre entreprise en a décidé délibérément.
La plupart des PME n’ont rien décidé délibérément. Un salarié trouve ChatGPT utile, s’inscrit avec son adresse personnelle, et l’utilise pour du travail réel en une semaine. D'après le Baromètre Themio, les assistants IA génératifs représentent le premier vecteur de transferts de données non encadrés dans les PME européennes. Multipliez cela par une équipe : la conformité se retrouve face à une opération de traitement IA que personne n’a documentée, que personne ne gère, que personne ne peut auditer, et qui tourne dans des onglets de navigateur que le service conformité n’a jamais vus. Pour faire le point sur vos fondamentaux, consultez notre checklist de conformité RGPD pour les PME.
Ce qui détermine réellement la conformité
1. Base légale du traitement
Si des données personnelles (noms de clients, dossiers salariés, CV de candidats) entrent dans un prompt, il vous faut une base légale au titre de l’article 6 du RGPD, généralement l’intérêt légitime ou le consentement, documentée et non présumée. Les recommandations de la CNIL de février 2025 sur l’IA et les droits des personnes constituent la référence actuelle la plus claire. « Nous n’y avions pas pensé » n’est plus une position défendable pour une entreprise opérant en France.
2. Accord de sous-traitance (DPA)
Les offres entreprise et API d’OpenAI, Microsoft (Copilot pour Microsoft 365) et Google (Gemini Enterprise) incluent un DPA définissant qui est responsable de traitement, qui est sous-traitant, et ce qu’il advient de vos données. Les offres grand public n’en incluent généralement pas. Si l’usage réel de l’IA dans votre entreprise passe par des comptes personnels non gérés, aucun DPA ne couvre cet usage, quel que soit le contrat signé par ailleurs.
3. Opt-out de l’entraînement des modèles
Même sur les offres payantes, le traitement des données d’entraînement varie selon le fournisseur et le produit. Vérifiez par écrit, sans présumer, si les prompts et réponses servent à améliorer le modèle sous-jacent. Pour tout outil traitant des données clients ou salariés, exigez un « non » documenté, ou mettez en place une mesure compensatoire si ce n’est pas possible. Vous pouvez comparer les approches logicielles dans notre guide d'achat des outils de conformité IA.
4. Minimisation des données au point d’usage
C’est le contrôle que la plupart des entreprises négligent, et celui qui compte le plus au quotidien. Une politique écrite indiquant aux salariés ce qui peut et ne peut pas figurer dans un prompt (pas de données personnelles clients, ni de données financières non publiées, ni de données de santé ou biométriques) réduit davantage l’exposition réelle qu’une clause contractuelle. Un contrat n’empêche personne de coller un tableau à 18h pour gagner du temps.
5. Déclencheurs d’AIPD
Selon l’article 35, une AIPD est requise lorsque le traitement combine au moins deux facteurs à risque : évaluation ou profilage systématique, décision automatisée aux effets juridiques ou similaires, ou traitement à grande échelle de données sensibles. Utiliser un chatbot IA pour rédiger des e-mails internes ne déclenche pas cette obligation. Utiliser l’IA pour présélectionner des candidats, évaluer la solvabilité de clients, ou prendre des décisions automatisées concernant des personnes, le déclenche très probablement.
Tableau pratique des déclencheurs d’AIPD
| Cas d’usage | Déclencheur d’AIPD probable ? | Pourquoi |
|---|---|---|
| Rédaction d’e-mails ou de documents internes | ❌ Non | Pas de profilage, pas de décision automatisée, pas de données sensibles à grande échelle |
| Synthèse de tickets support client | ⚠️ Généralement non, à vérifier si riche en données personnelles | Dépend du volume et de la sensibilité des données |
| Présélection de CV ou classement de candidats | ✅ Oui | Évaluation automatisée ayant des effets sur des personnes |
| Chatbot service client avec accès au compte | ⚠️ Souvent oui | Données personnelles à grande échelle, profilage potentiel |
| Génération de code interne, sans données personnelles | ❌ Non | Aucune donnée personnelle impliquée |
| Aide au scoring de risque de fraude ou de crédit | ✅ Oui | Décision automatisée aux effets juridiques ou financiers |
Ce qu’il faut faire ce mois-ci
- Identifiez ce qui est réellement utilisé. Demandez à chaque responsable d’équipe quels outils IA ses collaborateurs utilisent au quotidien, pas ce que la DSI a validé. Attendez-vous à découvrir des outils que personne n’a autorisés.
- Basculez l’usage réel vers des offres entreprise ou API avec DPA signé. Si un outil est réellement utile pour l’activité, payez la version sous contrat plutôt que la version gratuite qui n’en a pas.
- Rédigez une politique d’usage d’une page. Ce qui peut aller dans un prompt, ce qui ne le peut pas, qui contacter en cas de doute. Une politique courte que les salariés lisent vaut mieux qu’une politique longue que personne n’ouvre.
- Faites passer vos cas d’usage réels au test des déclencheurs d’AIPD, pas une liste générique. Documentez aussi ceux qui ne déclenchent pas d’AIPD : cette documentation constitue elle-même une preuve de démarche de conformité en cas de contrôle.
- Vérifiez vos obligations de transparence Article 50 (AI Act). Si vous déployez des chatbots clients ou générez du contenu synthétique avec ChatGPT ou Copilot, testez vos obligations d'étiquetage avec notre Benchmark gratuit Article 50 AI Act.
- Vérifiez votre dispositif de littératie IA au titre de l’article 4 de l’AI Act. Cet article impose aux organisations d’assurer un niveau suffisant de littératie IA parmi le personnel utilisant des systèmes d’IA, en vigueur depuis le 2 février 2025. Une politique d’usage de ChatGPT sans formation ni action de sensibilisation documentée ne suffit pas à la satisfaire. Suivez notre plan d’action dans le guide de conformité AI Act en 5 étapes.
Questions fréquentes
Est-il illégal d’utiliser ChatGPT au travail au regard du RGPD ?
ChatGPT Enterprise ou l’API rendent-ils automatiquement mon entreprise conforme au RGPD ?
Faut-il une analyse d’impact rien que pour utiliser ChatGPT ?
Quel est le risque réel si nous ne faisons rien ?
Cet article fournit des informations générales pour vous aider à comprendre les obligations de conformité RGPD et IA. Il ne constitue pas un conseil juridique et ne remplace pas l'avis d'un avocat qualifié, d'un DPO ou d'un spécialiste de la conformité familier de la situation spécifique de votre entreprise. Les exigences réglementaires peuvent évoluer : vérifiez toujours vos obligations actuelles auprès des textes officiels. Dernière révision : 31 août 2026.