ChatGPT et RGPD : ce que vous risquez vraiment en entrant des données clients

Le malentendu de départ : « Je ne stocke rien, donc je ne risque rien »

C'est l'argument le plus courant. Vous rédigez une réponse à un client, vous collez son e-mail dans ChatGPT pour gagner dix minutes, et vous pensez que ça s'arrête là. Le problème, c'est que le RGPD ne porte pas uniquement sur le stockage. Il encadre tout traitement de données personnelles — y compris la simple transmission à un tiers.

Dès que vous copiez-collez un nom, un prénom, une adresse e-mail, un numéro de téléphone ou tout élément qui permet d'identifier une personne physique dans un outil tiers, vous effectuez un traitement au sens du règlement. Peu importe que vous ne conserviez pas le résultat. Peu importe que vous soyez micro-entrepreneur ou dirigeant d'une entreprise de cinq salariés. Le RGPD s'applique à toute personne qui traite des données de résidents européens, sans seuil de taille.

Qui est quoi dans cette histoire : vous, OpenAI, et le RGPD

Le RGPD distingue deux rôles principaux : le responsable de traitement et le sous-traitant. Dans la relation que vous avez avec un outil comme ChatGPT, vous êtes le responsable de traitement — vous décidez pourquoi et comment les données sont utilisées. OpenAI est votre sous-traitant — il traite ces données pour vous rendre un service.

Cette distinction a une conséquence directe : vous devez avoir conclu avec OpenAI un accord de sous-traitance conforme à l'article 28 du RGPD. OpenAI propose un tel document, appelé Data Processing Agreement (DPA), accessible depuis les paramètres de compte ou les conditions générales professionnelles. Si vous utilisez la version grand public sans l'avoir activé ou signé, vous opérez sans filet.

La CNIL a publié une série de questions-réponses pour les professionnels qui détaille précisément ces obligations. Elle y rappelle que l'utilisation d'un outil d'IA par une entreprise pour traiter des données personnelles engage la responsabilité de cette entreprise, quelle que soit sa taille.

Ce que vous transférez sans vous en rendre compte

Voici les situations les plus fréquentes relevées chez les indépendants :

• Coller un e-mail client complet pour demander à l'IA de formuler une réponse.
• Décrire un litige en nommant le client, son entreprise, sa situation financière.
• Demander à l'IA de rédiger un devis personnalisé en précisant le nom du prospect et ses coordonnées.
• Transmettre un compte-rendu de réunion contenant des données de santé, des données contractuelles ou des informations financières identifiantes.
• Importer un tableau de contacts pour « faire le tri » ou rédiger des relances personnalisées.

Chacun de ces usages déclenche l'application du RGPD. Certains concernent même des catégories de données sensibles — données de santé, situation financière détaillée — pour lesquelles les règles sont plus strictes.

Les risques réels, sans exagération

Pour comprendre les bases légales qui justifient un traitement, le texte officiel du RGPD sur EUR-Lex reste la référence incontournable. L'article 6 liste les six fondements possibles ; aucun d'entre eux ne couvre l'usage d'un outil IA par défaut.

Ce que vous pouvez faire concrètement dès cette semaine

Pseudonymisez avant de coller

La mesure la plus simple et la plus immédiate : avant de transmettre un texte à un outil d'IA, remplacez les données identifiantes par des termes génériques. « Marie Dupont, consultante RH à Lyon » devient « une cliente, consultante RH en région ». Vous obtenez un résultat de même qualité, sans exposer votre client.

Activez ou signez le DPA de votre fournisseur

Si vous utilisez ChatGPT dans un contexte professionnel, vérifiez que vous avez accès à la version API ou à l'offre Teams/Enterprise, qui proposent un DPA explicite. Pour les autres outils, cherchez la section « Data Processing Agreement » dans les paramètres ou contactez le support. Conservez une trace écrite.

Mettez à jour vos mentions légales

Vos clients ont le droit de savoir que leurs données peuvent transiter via un outil d'IA. Une phrase suffit dans votre politique de confidentialité : indiquez la finalité, le nom du sous-traitant, et la possibilité de transfert hors UE le cas échéant. La CNIL détaille les bases légales applicables et fournit des modèles adaptés aux TPE.

Notez vos usages dans un registre simplifié

Même si vous n'êtes pas formellement obligé de tenir un registre complet en dessous de certains seuils, le documenter vous protège. Un tableau simple suffit : quel outil, pour quelle finalité, quelles catégories de données, quel sous-traitant, quelle base légale. En cas de plainte, vous pouvez montrer que vous avez agi de bonne foi.

La question du consentement n'est pas celle que vous croyez

Beaucoup d'indépendants pensent que demander l'accord de leur client avant d'utiliser l'IA règle le problème. C'est une bonne pratique relationnelle, mais ce n'est pas suffisant sur le plan juridique. Le consentement est l'une des six bases légales du RGPD, pas la seule, et elle n'est pas toujours la plus adaptée dans un contexte BtoB. L'exécution d'un contrat ou l'intérêt légitime peuvent être des bases plus solides selon les cas — à condition de les documenter correctement.

Ce qui compte, c'est que vous ayez une base légale identifiée pour chaque traitement, que vos clients soient informés, et que votre sous-traitant soit encadré par un accord conforme. Le consentement oral ou le simple fait d'envoyer un message à votre client ne remplace aucune de ces trois exigences.

En résumé

Utiliser ChatGPT ou n'importe quel outil d'IA générative avec des données clients n'est pas interdit — c'est même utile et légitime dans de nombreux cas. Mais cela déclenche des obligations précises : un accord de sous-traitance avec le fournisseur, une information claire des personnes concernées, une base légale identifiée pour le traitement, et une vigilance sur ce que vous transmettez réellement. La pseudonymisation systématique reste la mesure la plus simple pour réduire votre exposition sans ralentir votre travail. Faire l'impasse sur ces étapes, c'est s'exposer à une plainte client ou à un contrôle pour lequel vous n'avez aucun document à produire.