Vos équipes collent déjà un e-mail client, un extrait de CV ou un compte-rendu dans ChatGPT, Copilot ou Gemini. Dès qu’une information permet d’identifier une personne, le RGPD s’applique — que l’outil soit gratuit, payant, grand public ou « entreprise ». L’objet de cet article n’est pas de vous former au droit. C’est la checklist que nous passons en cabinet avant de laisser un usage IA générative tourner avec des données de clients ou de salariés.
L’essentiel
Coller une donnée personnelle dans un outil d’IA est un traitement. Sur une offre grand public, les points à vérifier (entraînement, conservation, localisation, contrat) figurent dans les conditions de l’offre au moment de la souscription : nous n’affirmons ici aucune clause d’OpenAI, Microsoft ou Google. Côté PME : registre (art. 30), information (art. 13 et 14), base légale (art. 6), contrat de sous-traitance s’il y a lieu (art. 28), AIPD si le risque est élevé (art. 35). Reliez ensuite la charte IA et l’article 4 de l’AI Act. Ceci n’est pas un avis juridique.
Pourquoi le RGPD s’applique dès qu’un salarié colle une donnée dans l’IA
Le règlement (UE) 2016/679 — le RGPD — vise le traitement de données à caractère personnel. Une donnée est personnelle dès qu’elle identifie une personne, ou permet de l’identifier, directement ou indirectement : nom, e-mail, n° de dossier, voix, CV, propos tenus en réunion, historique d’achat rattaché à un compte.
Envoyer ce contenu à un modèle (prompt, fichier, transcription, connecteur) est un traitement. Peu importe que ce soit « juste pour résumer », que le compte soit personnel, ou que l’outil réponde en deux secondes. L’entreprise qui met l’outil à disposition, ou laisse faire sans cadre, reste en principe responsable de traitement.
Trois conséquences concrètes, avant même d’ouvrir les articles du règlement :
- Le salarié n’est pas « hors sujet » parce qu’il utilise son compte gratuit. L’usage a lieu dans le cadre du travail.
- Minimiser n’est pas optionnel : n’envoyez que ce qui est nécessaire à la tâche (principe de l’article 5). Un extrait anonymisé vaut mieux qu’un export CRM complet.
- L’outil est souvent un sous-traitant s’il traite des données pour votre compte. Dans ce cas, l’article 28 demande un contrat. S’il n’y en a pas, c’est déjà un signal.
Ce n’est pas une raison d’interdire toute IA. C’est une raison de savoir ce qui entre dans le prompt avant d’ouvrir le robinet.
Les 3 catégories de données : OK, avec précautions, jamais
Cette grille est opérationnelle. Ce n’est pas une classification juridique. Toute donnée personnelle reste soumise au RGPD, y compris dans la colonne « avec précautions ».
| Catégorie | Exemples typiques en PME | Règle pratique |
|---|---|---|
| OK | Texte déjà public ; fiche produit sans client ; brouillon marketing générique ; code sans secret ni donnée d’utilisateur | Usage possible, y compris pour s’entraîner. Relire avant envoi externe. |
| Avec précautions | Procédure interne sans nom ; tableau chiffré sans personne identifiable ; donnée personnelle après offre entreprise, contrat, base légale et minimisation | Uniquement dans un outil cadré. Pseudonymiser n’est pas anonymiser : « Candidat 12 » reste souvent une donnée personnelle. |
| Jamais (surtout dans un outil grand public) | CV, paie, entretiens, santé, coordonnées clients, contrats nominatifs, mots de passe, secrets, documents sous NDA | Ne pas coller. Si le besoin métier est réel, cadrer l’usage avant : offre, contrat, finalité, parfois IA locale. |
Jamais, en pratique cabinet, dans un ChatGPT / Copilot / Gemini grand public :
- données de clients (identité, commandes, réclamations, contrats) ;
- données de salariés et de candidats (paie, évaluations, CV, notes d’entretien) ;
- catégories particulières de l’article 9 (santé, syndical, etc.) ;
- secrets d’affaires, identifiants, IBAN, documents d’un tiers sous confidentialité.
Règle d’or, la même que dans une charte IA : si vous ne pouvez pas envoyer ce fichier à un prestataire sans cadre contractuel, ne le collez pas dans un prompt. Partez du modèle de charte pour l’écrire noir sur blanc, puis présentez-la aux équipes.
Grand public vs offre entreprise : les 5 points à vérifier dans le contrat
Les noms commerciaux (Team, Business, Enterprise, Workspace, 365, etc.) changent. Les clauses aussi. Nous n’affirmons aucune condition contractuelle précise d’OpenAI, Microsoft ou Google. Tout ce qui suit est à vérifier dans les conditions de l’offre au moment de la souscription, y compris les options que vous cochez dans la console.
1. Réutilisation des données pour l’entraînement
L’offre réutilise-t-elle vos prompts, fichiers ou sorties pour améliorer des modèles ? Le réglage est-il documenté, par défaut, modifiable, et opposable (pas seulement un bouton dans l’interface) ? Sur une offre grand public, partez du principe que vous devez lire ce point avant d’y mettre la moindre donnée métier.
2. Conservation
Combien de temps les conversations, fichiers, journaux et sauvegardes sont-ils conservés ? Qui peut les voir (support, administrateur, sous-traitants) ? Pouvez-vous les supprimer, et la suppression est-elle réelle ou seulement masquée dans l’interface ?
3. Localisation et transferts hors UE
Où les données sont-elles traitées et stockées ? Y a-t-il un transfert hors de l’Espace économique européen, y compris via un sous-traitant ou un accès support ? Si oui, quel mécanisme est documenté (décision d’adéquation, clauses contractuelles types, etc.) ? La « région » affichée dans une console n’équivaut pas toujours à l’absence de transfert : lisez le DPA et la documentation d’architecture.
4. Contrat de sous-traitance (DPA)
Si le fournisseur traite des données personnelles pour votre compte, l’article 28 exige un contrat : objet, durée, nature, finalité, type de données, personnes concernées, obligations, consignes, sort des données en fin de contrat. Pas de DPA, pas d’usage sur des données personnelles — jusqu’à preuve contraire dans l’offre.
5. Sous-traitants ultérieurs, accès et sortie
Liste des sous-traitants ultérieurs, conditions de changement, accès support, export et suppression en fin de contrat. C’est souvent là qu’une offre « entreprise » se distingue d’un compte gratuit — à confirmer dans le texte signé, pas dans une page marketing.
En résumé : une offre entreprise peut mieux cadrer l’entraînement, la conservation, la région et le DPA. Elle ne rend pas l’usage conforme. Le reste se joue chez vous (finalité, base légale, information, registre).
Les obligations côté PME
Quatre réflexes, calés sur le texte. Ils ne couvrent pas tout le RGPD.
Registre des traitements (article 30)
Documentez, pour chaque usage IA qui traite des données personnelles : finalité, catégories de données et de personnes, destinataires (y compris l’éditeur de l’outil), durées, transferts, mesures de sécurité. L’article 30, paragraphe 5, prévoit une modulation pour les organisations de moins de 250 personnes, sauf si le traitement est susceptible d’engendrer un risque, s’il n’est pas occasionnel, ou s’il porte sur des catégories particulières (art. 9) ou des données relatives à des condamnations (art. 10). Un usage régulier de ChatGPT sur des e-mails clients n’a, en pratique, rien d’« occasionnel ». En cas de doute, inscrivez le traitement.
Information des personnes (articles 13 et 14)
Salariés, candidats, clients : s’ils sont concernés par le traitement, ils doivent être informés (finalité, base légale, destinataires, durées, droits, etc.). Un paragraphe dans le règlement intérieur, la politique RH ou la politique de confidentialité ne suffit que s’il décrit réellement l’usage. Informer les salariés qui utilisent l’outil n’exonère pas d’informer les personnes dont les données y passent.
Base légale (article 6)
Chaque traitement a besoin d’une base : contrat, obligation légale, intérêt légitime, consentement, etc. L’intérêt légitime, souvent invoqué pour un usage interne, suppose une mise en balance documentée. Le consentement n’est pas la seule base, et il est rarement le plus adapté dans un lien de subordination. Ne copiez pas une base « parce que le voisin l’a mise ».
AIPD pour les cas sensibles (article 35)
Une analyse d’impact relative à la protection des données est requise si le traitement est susceptible d’engendrer un risque élevé. Le tri automatisé de candidatures, un scoring, un suivi fin de salariés ou un chatbot qui consigne des données sensibles sont des cas à qualifier, pas des cases à cocher par réflexe. L’AIPD n’est pas due pour chaque résumé de mail. Elle n’est pas « offerte » par l’éditeur de l’outil.
Ces quatre points s’inscrivent dans une gouvernance IA plus large (inventaire, rôles, risques). Un format d’acculturation existe : Gouvernance IA et AI Act. Suivre une session ne produit pas une conformité automatique.
L’article 4 de l’AI Act (maîtrise de l’IA du personnel) est un régime distinct. Ne le fusionnez pas avec le registre RGPD : l’un porte sur les données, l’autre sur les personnes qui utilisent les systèmes.
Cas concrets PME
Quatre situations fréquentes. Ce sont des scénarios de cadrage, pas des résultats clients.
Compte-rendu de réunion
La transcription contient des noms, des opinions, parfois des sujets RH ou commerciaux. Dans un outil grand public, c’est le cas d’école du « on n’aurait pas dû coller ». Avant d’automatiser, voyez le cas d’usage compte-rendu : outil, conservation, accès, information des participants, interdiction des sujets sensibles. Une offre entreprise avec DPA réduit une partie du risque contractuel ; elle ne dispense pas d’informer ni de relire.
Tri de CV
Un CV est une donnée personnelle. Un classement automatisé peut affecter une personne. À vérifier avant d’envoyer une pile de candidatures dans un prompt : finalité, base légale, information des candidats, discrimination, intervention humaine, et AIPD si le risque est élevé. Certains systèmes destinés au recrutement relèvent aussi du régime haut risque de l’AI Act — à faire qualifier, calendrier compris. Détail opérationnel : tri de CV par IA.
Traitement de factures
Une facture porte souvent l’identité d’un client ou d’un fournisseur, une adresse, un montant. Ce n’est pas « que de la compta ». Coller un lot de PDF dans un outil grand public pour extraire les lignes mélange confidentialité commerciale et données personnelles. Cadrez l’outil, la conservation, les personnes habilitées, et évitez d’y joindre des pièces d’identité ou des RIB « pour aider le modèle ».
Chatbot client
Dès que le visiteur s’identifie ou raconte sa commande, vous traitez des données. Il faut une finalité, une information (art. 13), un sous-traitant contractuel s’il y a un éditeur, une durée de conservation des fils, et une escalade humaine. Ne faites pas passer le système pour une personne. La transparence attendue par l’AI Act (notamment l’article 50) s’ajoute au RGPD ; elle ne le remplace pas.
Plan d’action en 30 jours
Un ordre de marche, pas une promesse de mise en conformité.
Jours 1 à 7 — Voir ce qui se passe vraiment
Qui utilise quoi (y compris les comptes perso) ? Pour quelle tâche ? Avec quelles données ? Coupez tout de suite les usages « jamais » : CV, paie, export clients dans un outil grand public. Un diagnostic IA donne une lecture indicative de maturité ; il ne remplace pas l’inventaire interne.
Jours 8 à 14 — Choisir le canal
Décidez d’une offre entreprise ou d’une option locale / mieux maîtrisée si les données l’exigent. Demandez le DPA. Passez les 5 points du contrat. N’achetez pas sur la page marketing.
Jours 15 à 21 — Documenter
Inscrivez les traitements au registre (art. 30). Posez la base légale (art. 6). Mettez à jour l’information salariés / candidats / clients (art. 13 et 14). Qualifiez les cas à risque (tri de CV, scoring, chatbot nominatif) pour une éventuelle AIPD (art. 35).
Jours 22 à 30 — Rendre le cadre opérant
Rédigez ou mettez à jour la charte IA, présentez-la, reliez-la à une formation sur les outils réellement utilisés. L’article 4 de l’AI Act demande des mesures de maîtrise de l’IA : c’est le moment de les caler, sans les confondre avec le registre RGPD.
Si le sujet dépasse une checklist — plusieurs outils, RH, clients, automatisation — passez par l’accompagnement : l’appel de qualification (30 minutes) est gratuit et sans engagement. Le pré-diagnostic n’est proposé que si cet échange le justifie. L’audit complet est une mission payante, au périmètre défini avant de commencer.
FAQ — IA, RGPD et outils grand public
Peut-on utiliser ChatGPT, Copilot ou Gemini gratuitement au travail ?
Techniquement, oui. Dès qu’une donnée personnelle entre dans le prompt, le RGPD s’applique. Vérifiez entraînement, conservation, localisation et DPA dans les conditions de l’offre au moment de la souscription. En pratique, cadrez une offre entreprise et des comptes fournis par l’employeur.
Un DPA suffit-il pour utiliser ChatGPT en entreprise légalement ?
Non. L’article 28 est nécessaire lorsque le fournisseur est sous-traitant. Il ne remplace ni la base légale, ni l’information, ni le registre, ni une AIPD le cas échéant. Aucun contrat n’équivaut à une conformité automatique.
Faut-il une AIPD pour un tri de CV par IA ?
Pas automatiquement. L’article 35 vise les traitements susceptibles d’un risque élevé. Un tri ou un scoring de candidatures peut en faire partie. Faites qualifier le cas.
L’IA locale exonère-t-elle du RGPD ?
Non. Elle peut réduire des transferts et des sous-traitants. Elle ne dispense pas des obligations du responsable de traitement.
Charte, registre ou AI Act : par quoi commencer ?
Les trois. La charte guide le quotidien. Le registre et l’information documentent le traitement. L’article 4 de l’AI Act porte sur la maîtrise de l’IA. Aucun à lui seul ne « clôt » le sujet.
Faut-il interdire l’IA en attendant d’avoir tout documenté ?
Interdire sans alternative pousse au shadow IT (comptes perso, hors de vue). Mieux vaut fermer les usages « jamais », ouvrir un canal officiel, et documenter en parallèle. C’est le sens d’une charte courte, présentée, pas d’un PDF oublié.
Pour cadrer les usages, former les équipes ou poser une gouvernance, parlez-nous de votre situation. L’appel de qualification (30 minutes) est gratuit et sans engagement ; le périmètre et le tarif d’une mission se confirment ensuite sur devis.
Basés à Wattrelos (Hauts-de-France), nous intervenons sur site dans la région et à distance.
Sources. Règlement (UE) 2016/679 (RGPD), articles 5, 6, 9, 13, 14, 28, 30 et 35. Page CNIL « Intelligence artificielle ». Règlement (UE) 2024/1689 (AI Act), renvoyé pour l’article 4 vers notre article dédié. Cette page n’est pas un avis juridique et ne constitue pas une analyse de votre traitement. Faites valider les cas sensibles par votre DPO ou un juriste.