Utiliser un outil d'IA générative avec des données personnelles constitue un traitement de données au sens du RGPD : il faut donc une base légale, une information des personnes, une durée de conservation définie et une inscription au registre des traitements. La règle pratique la plus utile reste de limiter les données envoyées au strict nécessaire et de vérifier les engagements contractuels du fournisseur avant tout usage professionnel.
Cet article présente des repères généraux et ne constitue pas un conseil juridique. Pour un cas précis, consultez les publications de la CNIL et, si nécessaire, un professionnel du droit.
Les notions clés
Donnée personnelle désigne toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement.
Traitement désigne toute opération portant sur des données personnelles : collecte, consultation, transmission, conservation, effacement.
Responsable de traitement désigne l'entité qui détermine les finalités et les moyens d'un traitement. Si vous décidez d'envoyer des données clients à un outil d'IA, ce rôle vous revient.
Sous-traitant désigne le prestataire qui traite les données pour votre compte, selon vos instructions. Le fournisseur de l'outil d'IA occupe généralement cette position, ce qui suppose un contrat conforme à l'article 28 du RGPD.
Six vérifications avant d'utiliser un outil d'IA
1. Identifier les données réellement envoyées. Nom, e-mail, contenu d'un dossier client, enregistrement d'une réunion : listez-les précisément.
2. Vérifier la base légale. Intérêt légitime, exécution d'un contrat, obligation légale ou consentement, selon le cas. Elle doit être déterminée avant l'usage, pas après.
3. Lire les conditions du fournisseur. Trois points à repérer : l'utilisation éventuelle de vos données pour l'entraînement des modèles, la localisation d'hébergement, et la durée de conservation.
4. Vérifier l'existence d'un contrat de sous-traitance. Les offres professionnelles proposent en général un accord de traitement des données ; les offres grand public rarement.
5. Informer les personnes concernées. Vos clients, prospects et salariés doivent savoir que des outils d'IA interviennent dans le traitement de leurs données, dans votre politique de confidentialité.
6. Inscrire le traitement au registre. Le registre des activités de traitement reste l'outil central de démonstration de conformité.
Ce qu'il vaut mieux ne pas envoyer
Certaines catégories exigent une prudence renforcée : données de santé, données relatives à des condamnations, données bancaires complètes, documents couverts par le secret professionnel, et informations confidentielles d'un client sous accord de confidentialité.
Pour ces cas, privilégiez l'anonymisation préalable, une solution hébergée dans un cadre contractuel adapté, ou l'absence d'usage d'IA.
Tableau des configurations d'usage
| Configuration | Niveau de risque | Conditions à réunir | Adapté à |
|---|---|---|---|
| Outil grand public, données fictives ou anonymisées | Faible | Aucune donnée identifiante | Test, apprentissage, rédaction générique |
| Offre professionnelle avec accord de traitement | Modéré | Contrat conforme, information, registre | Usage courant en entreprise |
| Traitement de données sensibles | Élevé | Analyse d'impact, cadre contractuel strict, avis spécialisé | Santé, RH sensible, juridique |
| Modèle auto-hébergé | Variable | Compétences internes, sécurisation, maintenance | Contrainte forte de confidentialité |
Deux exemples (hypothétiques)
Exemple hypothétique 1 — un cabinet de recrutement. Il souhaite résumer des CV avec un outil d'IA. Les CV contiennent des données personnelles étendues. Points à traiter : information des candidats, base légale, durée de conservation, absence de décision automatisée sur la seule base du résultat produit par le modèle.
Exemple hypothétique 2 — une PME industrielle. Elle veut synthétiser ses comptes rendus de réunion. Si les comptes rendus nomment des salariés et évoquent leur activité, il s'agit d'un traitement de données de salariés : information du personnel et consultation des représentants du personnel, le cas échéant, sont à prévoir.
Erreurs fréquentes
Considérer qu'un usage interne échappe au RGPD. Fréquent car aucun client n'est visible. Conséquence : traitement non documenté portant sur des données de salariés. Correction : appliquer les mêmes règles en interne.
Croire qu'anonymiser consiste à retirer le nom. Un faisceau d'informations peut réidentifier une personne. Correction : évaluer le risque de réidentification, pas seulement la présence du nom.
Utiliser une offre grand public en production. Conséquence : absence de cadre contractuel adapté. Correction : basculer sur une offre professionnelle proposant un accord de traitement.
Laisser chaque salarié choisir ses outils. Conséquence : perte de visibilité sur les flux de données. Correction : une liste d'outils autorisés et une règle interne écrite.
Questions fréquentes
Peut-on utiliser ChatGPT avec des données clients ?
C'est possible dans un cadre professionnel documenté : offre avec accord de traitement des données, base légale identifiée, information des personnes et inscription au registre. En revanche, coller des données clients dans un compte grand public sans ces éléments expose l'entreprise à un manquement, même si aucune fuite ne survient.
Le RGPD interdit-il l'IA générative ?
Non. Le règlement encadre le traitement des données personnelles, quel que soit l'outil employé. L'IA générative n'est ni autorisée ni interdite en tant que telle : ce sont les finalités, les données mobilisées et les garanties mises en place qui déterminent la conformité d'un usage donné.
Faut-il recueillir le consentement des clients ?
Pas systématiquement. Le consentement n'est que l'une des bases légales possibles ; l'exécution d'un contrat ou l'intérêt légitime peuvent convenir selon le contexte. En revanche, l'information des personnes est due dans tous les cas, généralement via la politique de confidentialité.
Qu'est-ce qu'une analyse d'impact et quand est-elle requise ?
L'analyse d'impact relative à la protection des données est une évaluation formalisée des risques d'un traitement. Elle s'impose notamment pour les traitements susceptibles d'engendrer un risque élevé pour les personnes, par exemple à grande échelle ou portant sur des données sensibles. La CNIL publie des listes de cas concernés.
Où sont hébergées les données envoyées à un modèle ?
Cela dépend du fournisseur et de l'offre souscrite. Certaines proposent un hébergement dans l'Union européenne, d'autres non. Vérifiez cette information dans la documentation contractuelle et, en cas de transfert hors UE, l'existence de garanties appropriées telles que les clauses contractuelles types.
Que dire à ses salariés ?
Formalisez une note interne indiquant quels outils sont autorisés, quelles données peuvent être saisies, et lesquelles sont proscrites. Cette clarté protège autant l'entreprise que les salariés, qui utilisent souvent ces outils spontanément faute de règle explicite.
Le règlement européen sur l'IA change-t-il ces obligations ?
Le règlement européen sur l'intelligence artificielle s'ajoute au RGPD sans le remplacer : il porte sur les systèmes d'IA et leurs niveaux de risque, avec une entrée en application progressive. Vérifiez le calendrier et les obligations applicables à votre situation auprès des sources officielles européennes et de la CNIL.
Conclusion
La conformité tient à trois réflexes : limiter les données envoyées, choisir une offre contractuellement adaptée, documenter le traitement. Prochaine action : lister les outils d'IA déjà utilisés dans votre entreprise et les données qui y transitent.
Pour construire des outils internes qui gardent vos données sous votre contrôle, découvrez la formation vibe coding en ligne.