Peut-on utiliser ChatGPT avec des données clients sans enfreindre le RGPD ?
La réponse courte
Pas dans une version grand public, non. Dès qu’une donnée personnelle entre dans la conversation, le RGPD s’applique intégralement, et les offres gratuites ne prévoient ni accord de traitement, ni garantie que vos échanges ne serviront pas à entraîner le modèle. Les versions entreprise existent précisément pour ça : elles permettent un contrat de sous-traitance et une exclusion de l’entraînement. La règle simple, en attendant : rien de nominatif dans un outil que vous n’avez pas contractualisé.
Pourquoi la version gratuite pose problème
Une donnée personnelle, ce n’est pas seulement un numéro de sécurité sociale. Un nom dans un compte rendu, un CV, un email de client mécontent, un contrat : tout cela compte. Dès que vous le collez dans un outil grand public, vous confiez un traitement à un sous-traitant sans avoir signé le contrat qui l’encadre.
S’ajoute la question de l’entraînement. Sur les offres grand public, vos échanges peuvent servir à améliorer le modèle. C’est acceptable pour un brouillon de post. Ça ne l’est pas pour le dossier d’un client qui ne vous a jamais donné son accord.
Ce qui change avec une offre professionnelle
Les versions entreprise des principaux outils permettent trois choses qui manquent aux offres gratuites : un accord de traitement en bonne et due forme, l’exclusion contractuelle de vos données de l’entraînement, et une traçabilité exploitable si on vous demande un jour ce que vous avez fait de quoi.
La CNIL a publié des recommandations sur l’IA générative, et prévoit qu’une analyse d’impact peut devenir obligatoire selon l’usage, notamment en ressources humaines. Le bon réflexe est d’aller lire la source plutôt que de se fier à un résumé, y compris celui-ci : tout est sur cnil.fr.
Ce que je fais, concrètement
J’anonymise par défaut. Les prénoms deviennent des rôles, les entreprises deviennent des secteurs, et l’IA travaille sur la structure du problème plutôt que sur l’identité des gens. Dans 90 % des cas, elle n’a pas besoin de savoir qui c’est pour être utile.
Quand le contexte réel est indispensable, il passe dans un environnement contractualisé, pas dans un onglet ouvert entre deux rendez-vous. C’est moins pratique. C’est aussi la différence entre un outil que vous pouvez défendre et un outil que vous devrez expliquer.
Questions liées
Et si j’efface la conversation après ?
L’effacement ne règle pas le manque de base légale ni l’absence de contrat de sous-traitance. La question n’est pas ce qui reste affiché, c’est ce que vous étiez autorisée à transmettre.
Un outil hébergé en Europe suffit-il ?
L’hébergement européen simplifie la question des transferts, mais il ne remplace ni le contrat, ni les bases légales, ni l’information des personnes concernées.
Où vérifier ?
Les recommandations de la CNIL sur l’IA générative, sur cnil.fr, et le texte de l’AI Act pour ce qui relève des obligations européennes.
Précision utile : je ne suis pas juriste et ceci n’est pas un conseil juridique. C’est un résumé de ce que disent les textes, avec les sources officielles pour vérifier. Pour une situation précise, parlez-en à un avocat ou à votre DPO.
Réserver un appelÀ lire ensuite
Écrit par Michelle Anderson, AI strategist and founder of Meraki AI. Based in the south of France, working with business owners across the US, UK, and Europe.