ChatGPT et RGPD : les règles pour vos salariés

Rédiger un courriel, résumer un compte rendu : vos salariés utilisent probablement déjà un assistant conversationnel, parfois sur un compte personnel. Le sujet ChatGPT RGPD ne porte pas sur l'outil lui-même mais sur ce que l'on y saisit et sur le cadre contractuel de l'offre utilisée. Cet article s'appuie sur les positions de la CNIL, du CEPD et de l'autorité italienne, et sur les pages officielles d'OpenAI consultées le 2 novembre 2026. Le raisonnement vaut pour les assistants équivalents.

Quelles données ne jamais saisir dans ChatGPT ?

Sur un outil grand public ou non validé par l'entreprise, aucune donnée relative à un client, un salarié ou un candidat ne doit être saisie, ni aucune information confidentielle. C'est la recommandation de la CNIL dans ses questions-réponses du 18 juillet 2024 sur l'utilisation d'un système d'IA générative. Une offre professionnelle encadrée par contrat élargit les usages possibles, sans dispenser de la minimisation.

• Les données personnelles de clients, prospects, salariés ou candidats (noms, courriels, échanges, CV, évaluations).
• Les données sensibles : santé, opinions, appartenance syndicale, données d'infraction.
• Les informations couvertes par le secret des affaires, le secret professionnel ou une obligation déontologique.
• Les identifiants, mots de passe, extraits de code ou de bases contenant des données réelles.

Retirer un nom ne suffit pas toujours : un contexte précis (poste, date, incident) permet souvent de réidentifier la personne. La CNIL suggère des modèles de requêtes validés.

Qui est responsable de traitement selon l'offre utilisée ?

L'entreprise reste responsable de traitement des données de ses clients et salariés. Selon l'offre, le fournisseur est : tiers agissant pour son propre compte sur une offre grand public, sous-traitant sur une offre professionnelle couverte par un accord de traitement de données.

Sources : politique de confidentialité UE d'OpenAI (mise à jour du 4 juin 2026), accord de traitement de données (version du 1er décembre 2025, en vigueur au 1er janvier 2026) et page confidentialité entreprise. Vérifiez que votre abonnement est bien couvert par l'accord : un compte personnel payant reste une offre grand public. Pour un projet de génération augmentée ou d'ajustement d'un modèle avec vos propres données, la CNIL rappelle que l'organisme est responsable de ce traitement.

Transferts hors UE, information des personnes et AIPD

Un usage professionnel portant sur des données personnelles s'inscrit au registre comme tout traitement.

• Le transfert hors UE : l'accord d'OpenAI repose sur les clauses contractuelles types de 2021 ou une décision d'adéquation. Depuis le 5 février 2025, un stockage au repos en Europe est proposé pour les nouveaux espaces ChatGPT Enterprise et Edu, ce qui n'exclut pas tout accès depuis l'étranger.
• L'information des personnes : vos mentions (articles 13 et 14 du RGPD) doivent citer les destinataires et les éventuels transferts.
• L'AIPD : la CNIL invite à associer le DPO et, le cas échéant, à en réaliser une, notamment pour un usage innovant portant sur des données sensibles ou des décisions concernant des personnes. Notre guide sur l'AIPD détaille les critères.

Une donnée client collée dans un compte grand public non autorisé peut constituer une violation de données (divulgation non autorisée, article 4 du RGPD), à analyser et documenter. Une démarche ChatGPT RGPD sérieuse prévoit donc une procédure de remontée de ces incidents.

Shadow AI : pourquoi l'interdiction seule ne suffit pas

Le shadow AI désigne l'usage d'outils d'IA non validés par l'entreprise. Une interdiction sans alternative déplace les usages vers des comptes personnels invisibles. La CNIL recommande plutôt une charte définissant usages autorisés et interdits, une formation des utilisateurs aux limites de ces outils, une vérification systématique des réponses et un point de contact pour signaler un problème.

Fournir un outil contractualisé au périmètre clair réduit ce risque. Notre guide politique d'utilisation de l'IA en entreprise propose une trame pour rédiger ces règles et traiter la question ChatGPT RGPD dans un document opposable.

Que disent les autorités de protection des données ?

Le CEPD et la CNIL ont publié analyses et recommandations, et l'autorité italienne a prononcé une sanction depuis annulée. Leurs constats visent d'abord le fournisseur, mais éclairent les entreprises utilisatrices.

• Le rapport du groupe de travail ChatGPT du CEPD (23 mai 2024) estime qu'un fournisseur ne peut pas reporter sur les utilisateurs, par ses conditions générales, la responsabilité des données saisies, et que les mesures de transparence ne suffisent pas à garantir l'exactitude des réponses.
• L'autorité italienne (Garante) a infligé à OpenAI une amende de 15 millions d'euros (décision du 2 novembre 2024, annoncée le 20 décembre 2024). Le Garante indique que le tribunal de Rome a accueilli le recours d'OpenAI (jugement n° 4153/2026 du 18 mars 2026) : la décision est annulée, pour un motif de compétence lié à l'établissement d'OpenAI en Irlande, sans examen du fond.
• La CNIL a publié en juillet 2024 ses premières recommandations sur le déploiement d'une IA générative : mode de déploiement, gouvernance, formation.

L'annulation ne valide pas les pratiques en cause : l'autorité irlandaise est désormais chef de file pour OpenAI. Vos propres obligations, elles, ne dépendent pas de cette procédure, et l'exigence ChatGPT RGPD demeure.

Ce que l'IA Act ajoute pour l'entreprise déployeuse

Une entreprise qui met un assistant à disposition de ses équipes est déployeur au sens du règlement européen sur l'IA. Deux articles complètent alors votre cadre ChatGPT RGPD.

• L'article 4 sur la maîtrise de l'IA, remplacé par le règlement omnibus (UE) 2026/1744 en vigueur le 27 juillet 2026, impose au déployeur de prendre des mesures « pour favoriser le développement » de la maîtrise de l'IA de son personnel, sans garantir un niveau individuel. Voir notre article sur la formation à l'IA.
• L'article 50, applicable depuis le 2 août 2026, impose au déployeur de signaler les hypertrucages et les textes générés publiés pour informer le public sur des questions d'intérêt public, sauf relecture humaine avec responsabilité éditoriale.

À retenir

• Aucune donnée personnelle ni confidentielle dans un compte grand public ou non validé.
• L'entreprise reste responsable de traitement ; seule une offre professionnelle avec accord fait du fournisseur un sous-traitant.
• Transferts, mentions d'information et AIPD se traitent comme pour tout autre outil.
• Proposer un outil encadré et former les équipes réduit davantage le shadow AI qu'une interdiction.
• L'IA Act ajoute des mesures de maîtrise de l'IA et des obligations ciblées de transparence.