ChatGPT et RGPD : comment l'utiliser dans votre entreprise

Coller le dossier d’un client dans ChatGPT, ou brancher un assistant conversationnel sur votre site, c’est mettre en route un traitement de données au sens du RGPD. Les réglages du compte, l’historique et la mémoire sont traités dans notre guide sur la confidentialité de ChatGPT ; ici, on parle de vos obligations.

Qui répond, sur quelle base, avec quel contrat, et ce que le droit pénal ajoute quand le dossier est couvert par un secret. La comparaison des assistants entre eux est faite dans notre guide pour choisir une IA conforme au RGPD.

Responsable de traitement : qui répond des données clients dans ChatGPT ?

Le RGPD appelle responsable du traitement celui qui « détermine les finalités et les moyens du traitement ». Quand votre collaborateur colle un courrier de client dans ChatGPT pour le reformuler, c’est votre structure qui a choisi l’outil et le but. Elle répond, même si personne n’a rien signé.

Le rôle d’OpenAI varie selon le compte. Sur ChatGPT Business, Enterprise ou l’API, il propose un avenant de sous-traitance (DPA) et agit pour vous. Sur un compte personnel, sa politique européenne désigne OpenAI Ireland comme responsable de son propre traitement : vos clients se retrouvent chez un tiers qui n’a aucun lien contractuel avec vous.

Le compte gratuit ouvert par un salarié avec son adresse personnelle est la ligne qui me fait le plus tiquer : la CNIL elle-même demande d’éviter ces comptes. Avant d’aller plus loin, recensez qui utilise quoi ; notre page organisations décrit un déploiement service par service.

Base légale et information des personnes : ce que vos clients doivent lire

Pour vos dossiers, la base légale existe déjà : le contrat avec le client, parfois une obligation légale. Passer par un outil d’IA est un moyen de l’exécuter, pas un but nouveau, tant que le fournisseur ne réutilise rien pour lui. C’est une lecture défendable, pas une certitude jurisprudentielle.

L’information, elle, doit suivre. L’article 13 impose d’annoncer les destinataires des données, et le prestataire d’IA en fait partie. Où écrire cette phrase, entre politique de confidentialité et lettre de mission, est détaillé dans notre guide de la clause IA.

Un chatbot ouvert au public pose un autre problème : vous ne choisissez pas ce que les gens y tapent. La CNIL conseille une mise en garde invitant à ne pas communiquer de données sensibles, et une purge si elles arrivent quand même. Je placerais l’avertissement au-dessus du champ de saisie, pas dans un lien.

Contrat de sous-traitance (DPA) et transferts hors UE

L’article 28 fixe le contenu minimal du contrat : instructions documentées, confidentialité des personnes autorisées, sécurité, accord préalable pour tout sous-traitant ultérieur, suppression ou restitution en fin de contrat, aide pour les droits et les audits. OpenAI le propose pour Business, Enterprise et l’API, via un formulaire.

Côté transferts, OpenAI écrit traiter les données sur des serveurs situés hors de l’Espace économique européen, notamment aux États-Unis. Il s’appuie sur les décisions d’adéquation de la Commission et, ailleurs, sur les clauses contractuelles types. Les autres éditeurs répondent différemment, comme le montre le cas des serveurs de Claude.

Si les données sortent de l’Union, la CNIL demande d’encadrer leur traitement par le destinataire. Je demanderais aussi, par écrit, ce que deviennent les journaux techniques, souvent laissés dans le flou. Si votre chatbot passe par un AI gateway, il est un sous-traitant de plus, avec sa propre ligne au registre.

AIPD pour un chatbot IA : le test des deux critères

L’article 35 exige une analyse d’impact avant tout traitement susceptible d’engendrer un risque élevé. Pour la CNIL, c’est le cas si le traitement figure sur sa liste, ou s’il remplit au moins deux des neuf critères repris des lignes directrices européennes. L’analyse se fait avant la mise en service, puis se revoit.

Un assistant interne qui résume des dossiers de patients coche déjà « données sensibles » et « personnes vulnérables ». Un chatbot qui trie les demandes de crédit ajoute l’évaluation et l’exclusion d’un contrat. Quant à « usage innovant », je le cocherais d’office pour un projet d’IA générative : l’écarter mérite une justification écrite.

La CNIL recommande d’associer le DPO et, le cas échéant, de faire une AIPD. Pour les données de clients ou de collaborateurs, une solution « sur site » lui semble plus opportune et plus sûre. Si votre chatbot reste sur l’API, Nonimo Gateway masque les noms sur votre serveur avant l’appel au modèle.

Chatbot et article 22 du RGPD : quand l’IA décide seule

L’article 22 permet de refuser une décision « fondée exclusivement sur un traitement automatisé » qui produit des effets juridiques ou affecte la personne de manière significative. Trois exceptions : le contrat, la loi et le consentement explicite. Avec le contrat ou le consentement, elle doit au moins pouvoir obtenir une intervention humaine.

La CNIL l’a appliqué aux chatbots dès 2021 : une conversation avec un chatbot ne peut conduire à elle seule à des décisions importantes. Elle peut s’insérer dans un processus plus large, à condition qu’un humain y intervienne de façon significative. L’AI Act ajoute ses propres règles, résumées dans notre guide AI Act pour l’entreprise.

Le 24 août 2026, la CNIL a relayé l’amende de 824 990 000 euros infligée à Uber par l’autorité néerlandaise, avec laquelle elle a coopéré. Motif : des comptes de chauffeurs désactivés sans aucune intervention humaine, qualifiés de décisions automatisées. Un humain qui valide tout d’un clic ne me rassurerait pas davantage.

Secret professionnel et secret des affaires : ce qu’aucun DPA ne couvre

L’article 226-13 du code pénal punit d’un an d’emprisonnement et de 15 000 euros d’amende « la révélation d’une information à caractère secret » par celui qui en est dépositaire. Le DPA règle le rapport avec un sous-traitant. Il ne transforme pas ce sous-traitant en personne autorisée à connaître le dossier.

La CNIL fait le lien elle-même : sur un service grand public, ne jamais partager d’informations confidentielles, en particulier celles couvertes par le secret des affaires ou des obligations de déontologie. Pour un cabinet d’avocats, cette phrase de la CNIL est celle que j’afficherais au mur.

Le secret des affaires a sa propre logique. L’article L. 151-1 du code de commerce ne protège une information que si son détenteur prend des « mesures de protection raisonnables ». Coller la grille tarifaire d’un client industriel dans un compte personnel, c’est fournir à l’adversaire un argument tout trouvé.

Retirer les noms avant ChatGPT : ce que la CNIL compte encore comme donnée personnelle

Remplacer un nom par un alias reste une pseudonymisation : pour la CNIL, ces données « conservent donc un caractère personnel », car d’autres informations permettent de retrouver les personnes. Le RGPD s’applique toujours chez vous. Ce qui change, c’est ce qui sort : un texte qui ne désigne plus personne chez le fournisseur.

C’est cette différence qui me fait préférer le masquage à toute discussion d’abonnement. La liste des données à retirer avant une IA va famille par famille.

Reste le contexte. Un métier rare, une commune de 900 habitants ou un litige connu suffisent à désigner quelqu’un sans son nom. Le même raisonnement vaut pour un export CSV de fichier clients, où chaque colonne doit être regardée.

Données clients et ChatGPT : l’ordre de marche RGPD que je défends

Commencez par l’inventaire des comptes, pas par l’achat : un abonnement payé pendant que les comptes personnels tournent encore, voilà le scénario qui m’inquiète. Ensuite le contrat, l’information des clients et le test d’AIPD. Les règles internes sont dans notre modèle de charte IA.

Le masquage arrive en dernier, mais c’est lui qui protège le jour où quelqu’un, pressé, colle le dossier entier. L’application Nonimo remplace alors, sur le poste de chaque collaborateur, les noms, NIR, IBAN et coordonnées de vos clients par des étiquettes, avant que le texte parte vers ChatGPT.

Si un dossier est déjà parti, la question de la notification se pose : notre guide sur la violation de données la traite étape par étape.

Sources

• CNIL, questions-réponses sur l’utilisation d’un système d’IA générative, 18 juillet 2024 : rôle du fournisseur, contrat de sous-traitance, transferts, AIPD, solution sur site pour les données clients, informations confidentielles et service grand public.
• CNIL, chatbots : les conseils pour respecter les droits des personnes, 19 février 2021 : données sensibles et décisions importantes.
• Règlement (UE) 2016/679, RGPD : articles 4, 13, 22, 28 et 35.
• Code pénal, article 226-13 : un an d’emprisonnement et 15 000 euros d’amende.
• Code de commerce, article L. 151-1 : les trois critères du secret des affaires.
• OpenAI, politique de confidentialité pour l’Europe, version du 24 août 2026 : OpenAI Ireland responsable, serveurs hors EEE, adéquation et clauses contractuelles types.
• OpenAI, confidentialité pour les entreprises, mise à jour du 8 janvier 2026 : DPA pour Business, Enterprise et l’API.
• Conseil national des barreaux, guide sur la déontologie et l’intelligence artificielle, 17 mars 2026 : le secret professionnel et le RGPD parmi les exigences de la profession.
• CNIL, « Décisions automatisées : sanction de près de 825 millions d’euros à l’encontre d’UBER », 24 août 2026 : amende de l’autorité néerlandaise, désactivations sans intervention humaine.
• CNIL, « Ce qu’il faut savoir sur l’analyse d’impact relative à la protection des données » : les neuf critères.
• CNIL, « L’anonymisation de données personnelles » : les données pseudonymisées conservent un caractère personnel.

Consulté le 8 novembre 2026.