IA et RGPD : les règles à connaître avant d’utiliser ChatGPT au travail
En bref
IA et RGPD vont de pair dès qu’un salarié utilise ChatGPT au travail : les données personnelles et confidentielles restent hors des outils grand public utilisés sans cadre, et les principes du RGPD s’appliquent à chaque usage. L’entreprise choisit des versions professionnelles correctement paramétrées, fixe ses règles dans une charte IA et organise la vérification humaine des contenus produits. Depuis le 2 février 2025, le règlement européen sur l’IA lui demande en outre de veiller à la maîtrise de l’IA par ses équipes.
IA et RGPD : pourquoi le règlement s’applique à ChatGPT au travail
Le RGPD s’applique dès qu’une donnée personnelle est traitée, c’est-à-dire toute information se rapportant à une personne physique identifiée ou identifiable : un nom, une adresse email, un numéro de téléphone, un identifiant client, mais aussi le contenu d’un email ou d’un compte rendu qui mentionne un collaborateur ou un client. Coller un tel contenu dans un outil d’IA générative constitue un traitement de données personnelles.
L’entreprise est responsable de ce traitement. Elle en détermine le but et les moyens, et répond de la manière dont ses salariés utilisent les outils mis à leur disposition comme ceux qu’ils adoptent de leur propre initiative.
Garder les données sensibles hors des outils grand public
Un compte personnel ou grand public, utilisé sans cadre défini par l’entreprise, est inadapté aux données personnelles, aux informations sur les clients, aux données RH, aux documents financiers et aux éléments stratégiques.
Paramètres d’historique et d’entraînement
Les outils grand public conservent en général l’historique des conversations et peuvent utiliser les échanges pour améliorer leurs modèles. ChatGPT propose dans ses paramètres une option pour désactiver l’utilisation des conversations à des fins d’entraînement, ainsi qu’un mode de conversation temporaire, exclu de l’historique. Ces réglages réduisent l’exposition des données ; la règle de fond demeure : les données sensibles restent hors des comptes grand public.
Versions entreprise
Les offres professionnelles d’OpenAI, de Microsoft, de Google et d’Anthropic reposent sur un cadre contractuel : administration centralisée des comptes, gestion des accès, engagements de l’éditeur sur l’usage des données et contrat de sous-traitance au sens du RGPD. Ces offres excluent par défaut les données des clients professionnels de l’entraînement des modèles. Le service informatique vérifie ces engagements dans les conditions contractuelles avant tout déploiement. Les droits d’accès et la confidentialité dans Copilot sont d’ailleurs étudiés dans notre formation Microsoft 365 et IA.
Les principes du RGPD appliqués à l’IA générative
Finalité : chaque usage répond à un objectif déterminé et légitime, comme rédiger une réponse client, résumer une réunion ou analyser un document. Les données collectées pour un objectif servent cet objectif.
Minimisation : on transmet à l’outil les données strictement nécessaires. La plupart des demandes se formulent avec des informations anonymisées ou pseudonymisées : « le client A », « un collaborateur du service comptable ».
Base légale : tout traitement de données personnelles repose sur l’une des six bases légales prévues par le RGPD, par exemple l’exécution d’un contrat, l’intérêt légitime ou le consentement.
Information des personnes : les clients, candidats ou salariés dont les données sont traitées en sont informés, notamment sur la finalité du traitement et les destinataires des données.
Sécurité : comptes protégés par une authentification forte, accès réservés aux personnes habilitées, outils validés par l’entreprise. Les usages d’IA qui portent sur des données personnelles trouvent leur place dans le registre des traitements.
Recommandations de la CNIL et secret des affaires
La CNIL publie sur son site des recommandations et des fiches pratiques consacrées à l’intelligence artificielle. Elles précisent l’application des principes du RGPD aux systèmes d’IA et accompagnent les organismes dans leurs choix. Elles constituent la référence à consulter pour toute question d’interprétation.
Les informations stratégiques relèvent d’une autre protection : le secret des affaires. Tarifs négociés, procédés, fichiers clients, projets en cours : leur protection juridique suppose que l’entreprise ait mis en place des mesures de protection raisonnables. Encadrer la saisie de ces informations dans les outils d’IA fait partie de ces mesures.
Vérification humaine et règlement européen sur l’IA
Relire et valider chaque production
L’IA générative produit des textes plausibles qui peuvent contenir des erreurs, des approximations ou des informations inventées, appelées hallucinations. Chaque contenu est relu, vérifié et validé par une personne avant usage, en particulier lorsqu’il est adressé à un client, qu’il engage l’entreprise ou qu’il concerne une personne.
L’obligation de maîtrise de l’IA
Le règlement européen sur l’intelligence artificielle, dit AI Act, prévoit en son article 4 une obligation de maîtrise de l’IA, applicable depuis le 2 février 2025. Les fournisseurs et les déployeurs de systèmes d’IA, ce qui inclut les entreprises qui utilisent ces outils dans leur activité professionnelle, prennent des mesures pour garantir un niveau suffisant de maîtrise de l’IA chez les personnes qui les utilisent pour leur compte. La formation des équipes répond directement à cette exigence.
Formaliser les règles dans une charte IA interne
La charte IA traduit les exigences d’IA et RGPD en consignes claires, partagées avec toutes les équipes. Elle précise quatre points.
Les outils autorisés et les comptes à utiliser pour chaque usage.
Les catégories de données admises dans les outils d’IA et celles qui en restent exclues.
Les usages encouragés par métier et les circuits de validation associés.
Les réflexes de sécurité et la personne à contacter en cas de doute, en général le délégué à la protection des données (DPO).
Ce contenu a une vocation informative : chaque situation particulière s’examine avec le DPO de l’entreprise et à la lumière des publications de la CNIL. Pour structurer cette démarche, le programme Sécurité, RGPD et conformité des usages de l’IA accompagne les équipes jusqu’à la rédaction de leur charte et d’un plan d’action à 30, 60 et 90 jours, en inter-entreprises à La Ciotat ou dans vos locaux, partout en France. Cette formation de 7 h est finançable, selon les démarches décrites dans notre article sur le financement d’une formation IA par son OPCO.
Questions fréquentes
Peut-on utiliser ChatGPT au travail en respectant le RGPD ?
Oui, dans un cadre défini : outil validé par l’entreprise, version professionnelle, données minimisées, personnes informées et contenus vérifiés. Le DPO de l’entreprise valide les usages qui portent sur des données personnelles.
Quelles données garder hors d’un outil d’IA grand public ?
Les données personnelles des clients, des candidats et des salariés, les catégories particulières de données comme les données de santé, les informations financières et les éléments couverts par le secret des affaires. En cas de doute, la donnée reste hors de l’outil.
Les paramètres de confidentialité protègent-ils entièrement les données ?
Ces paramètres réduisent la conservation et l’utilisation des échanges. La protection complète repose sur l’ensemble du cadre : version professionnelle, règles de saisie, contrôle des accès et charte IA.
Qui est concerné par l’obligation de maîtrise de l’IA ?
Les fournisseurs de systèmes d’IA et les déployeurs, c’est-à-dire toute entreprise qui utilise un système d’IA dans son activité professionnelle. Cette obligation s’applique depuis le 2 février 2025 et se traduit concrètement par la sensibilisation et la formation des personnes qui utilisent ces outils.
Programme lié
Sécurité, RGPD et conformité des usages de l’IA (7 h)
AI Act, RGPD, recommandations de la CNIL, protection des comptes et des fichiers, circuits de validation : la journée aboutit à une charte IA et à un plan d’action. Formation finançable par votre OPCO, organisme certifié Qualiopi.
À lire aussi
Pour aller plus loin
Deux articles complémentaires et la page de formation associée, pour approfondir le sujet.
