ChatGPT et RGPD : peut-on y mettre les données de vos clients ? 🔒

Est-ce que ChatGPT respecte le RGPD ?

ChatGPT n'est ni conforme ni interdit en soi. OpenAI propose des garanties RGPD surtout sur ses offres professionnelles. La conformité dépend surtout de ce que vous y mettez.

Le RGPD, c’est le règlement européen sur la protection des données personnelles. Il s’applique depuis 2018 à toute entreprise qui traite des informations sur des personnes. Pour en comprendre les grandes lignes, la présentation du RGPD par la CNIL est claire et courte.

Premier point important : il n’existe pas de « label RGPD » officiel pour un logiciel. Personne ne peut donc vous dire « ChatGPT est certifié RGPD ». On regarde plutôt ce que l’éditeur s’engage à faire.

Ce qu’OpenAI met en place

• Une entité européenne, basée en Irlande, pour les utilisateurs de l’Union.
• Une politique de confidentialité publique, qui explique quelles données sont collectées.
• Des réglages pour refuser que vos conversations servent à améliorer ses modèles.
• Sur les offres professionnelles, un contrat de traitement des données (en anglais DPA, le document qui fixe ce que le prestataire a le droit de faire de vos données).

Ce qui a fait débat

En 2023, l’autorité italienne de protection des données a suspendu temporairement ChatGPT. Elle reprochait notamment un manque d’information des utilisateurs. OpenAI a modifié plusieurs points avant la reprise du service. Ce cas montre que les autorités surveillent ces outils de près.

La vraie question pour vous

Le RGPD ne juge pas un outil isolé. Il juge un usage. Un coiffeur qui demande à ChatGPT un texte pour sa vitrine ne traite aucune donnée client. Un cabinet d’avocat qui colle le dossier complet d’un client dans la version gratuite, si.

Pour aller plus loin sur l’ensemble des outils d’intelligence artificielle, et pas seulement ChatGPT, consultez notre guide IA et RGPD : utiliser l’IA sans exposer les données de ses clients.

Peut-on mettre des données clients dans ChatGPT ?

Dans la version gratuite ou individuelle, mieux vaut éviter. Anonymisez d'abord les données, ou utilisez une offre professionnelle avec contrat de traitement, et jamais de données sensibles.

La réponse honnête : c’est possible dans certains cas, mais pas n’importe comment. Tout dépend de trois choses.

1. La version utilisée

Avec la version gratuite ou l’abonnement individuel, il n’y a pas de contrat de traitement entre votre entreprise et OpenAI. Vous confiez des données à un service sans cadre écrit. C’est le cas le plus risqué.

Avec une offre équipe, entreprise ou l’API, OpenAI propose ce contrat. Vos conversations ne servent pas à entraîner les modèles par défaut. Le cadre est nettement plus solide.

2. Le type de données

• Un prénom dans un brouillon de mail : risque faible, mais évitable.
• Un nom, une adresse et un téléphone : données personnelles classiques, à protéger.
• Un diagnostic de santé, une situation judiciaire, un numéro de carte bancaire : à proscrire.

3. L’utilité réelle

Le RGPD impose de ne traiter que les données nécessaires. Souvent, ChatGPT n’a pas besoin du nom du client pour faire son travail. Il a besoin du contexte.

Prenons un plombier qui veut répondre à une réclamation. Il peut écrire : « Un client se plaint d’une fuite revenue deux semaines après mon intervention. » Le résultat sera aussi bon qu’avec le nom, l’adresse et le numéro de téléphone.

La règle pratique

Posez-vous une question avant chaque collage : « Est-ce que je serais gêné si ce texte sortait de mon entreprise ? » Si oui, retirez les informations qui identifient la personne. Si vous ne pouvez pas les retirer, n’utilisez pas ChatGPT pour cette tâche, ou passez par une offre professionnelle encadrée.

Qu’est-ce qu’une donnée personnelle, concrètement, pour une TPE ?

Une donnée personnelle est toute information qui permet d'identifier une personne, directement ou par recoupement : nom, e-mail, téléphone, adresse, plaque d'immatriculation, photo ou numéro de dossier.

Beaucoup de patrons pensent qu’une donnée personnelle, c’est seulement le nom et le prénom. C’est plus large que ça.

Les données qui identifient directement

• Nom et prénom.
• Adresse e-mail, même professionnelle (prenom.nom@…).
• Numéro de téléphone.
• Adresse postale.
• Photo ou voix d’une personne.

Les données qui identifient par recoupement

C’est le piège. Une information seule ne dit rien, mais plusieurs ensemble désignent une personne.

• « La cliente de 82 ans qui habite au-dessus de la boulangerie de la place de l’église. »
• Un numéro de client ou de commande.
• Une plaque d’immatriculation chez un garagiste.
• Une date de séjour avec une ville d’origine, pour un gîte.

Les données sensibles

Le RGPD protège encore plus certaines catégories : santé, opinions politiques ou religieuses, orientation sexuelle, données biométriques, condamnations. Un kinésithérapeute, un ostéopathe ou un avocat en manipule tous les jours. Elles n’ont rien à faire dans un outil d’IA grand public.

Exemples par métier

Métier	Donnée à surveiller
Coiffeur	Fiche cliente avec téléphone et allergies aux produits
Garagiste	Plaque, nom du propriétaire, kilométrage
Gîte	Noms des voyageurs, dates, pièce d’identité
Avocat	Tout le contenu d’un dossier
Boutique en ligne	Adresse de livraison, historique de commandes

La bonne nouvelle : beaucoup de tâches confiées à ChatGPT n’en contiennent aucune. Une boutique en ligne, comme l’Armurerie NéA dont nous avons remis le site au propre, a surtout besoin de textes produits et d’articles de blog. Aucune donnée client là-dedans.

Que devient ce que vous tapez dans ChatGPT ?

Vos messages sont envoyés aux serveurs d'OpenAI, conservés dans votre historique et, en version grand public, peuvent servir à améliorer les modèles, sauf si vous désactivez cette option.

Quand vous tapez un message dans ChatGPT, il ne reste pas sur votre ordinateur. Il part sur les serveurs d’OpenAI, qui calculent la réponse et vous la renvoient.

Trois usages possibles de vos messages

1. L’historique. Vos conversations sont gardées pour que vous puissiez les retrouver. Vous pouvez les supprimer une par une ou toutes d’un coup.
2. L’amélioration des modèles. En version gratuite et individuelle, OpenAI peut utiliser vos conversations pour entraîner ses futurs modèles. Cette option est activée par défaut et se désactive.
3. La sécurité. OpenAI conserve certaines données un temps limité pour détecter les abus, même quand l’entraînement est coupé.

Ce que ça veut dire pour vos clients

Si vous collez le mail d’un client avec son nom, ce mail est stocké chez un prestataire américain. Il peut être relu par des personnes chargées de vérifier la qualité ou la sécurité. Le risque n’est pas que ChatGPT « recrache » ce mail à un inconnu demain. Le risque, c’est d’avoir confié des données sans cadre ni nécessité.

Les fichiers aussi

Un PDF, une capture d’écran ou un tableur envoyé à ChatGPT suit le même chemin. Un tableur de devis avec cinquante noms de clients, c’est cinquante personnes concernées d’un coup.

Où se renseigner

OpenAI publie une foire aux questions sur les contrôles des données de ChatGPT. Elle est en anglais, mais elle détaille ce qui est conservé et comment le désactiver. Les règles évoluent régulièrement : relisez-la de temps en temps plutôt que de vous fier à un souvenir.

Quelle version de ChatGPT choisir pour un usage professionnel ?

Pour des textes sans données personnelles, la version gratuite suffit. Dès que votre équipe manipule des documents clients, une offre professionnelle avec contrat de traitement devient le choix raisonnable.

OpenAI propose plusieurs formules. Les noms et les prix changent souvent, mais la logique reste la même.

Les offres individuelles

• Gratuite : pratique pour tester. Conversations utilisées pour l’entraînement par défaut, pas de contrat de traitement.
• Plus et Pro : abonnements payants, de quelques dizaines à plus d’une centaine d’euros par mois selon la formule. Plus de puissance, mais côté données, le cadre ressemble à la version gratuite.

Les offres professionnelles

• Team ou Business (offre pour les équipes) : facturée par utilisateur, généralement quelques dizaines d’euros par mois chacun. Pas d’entraînement par défaut, contrat de traitement proposé, espace partagé et géré par un administrateur.
• Enterprise : pour les structures plus importantes, avec des contrôles avancés. Tarif sur devis.
• API : l’accès technique qui permet de brancher ChatGPT dans vos propres outils. Facturé à l’usage. Utile quand un prestataire construit une automatisation pour vous.

OpenAI détaille ses engagements sur sa page confidentialité des offres entreprise.

Comment trancher

Votre situation	Choix raisonnable
Artisan seul, textes de site et de devis génériques	Gratuit ou Plus, entraînement désactivé
Commerce avec deux ou trois salariés qui écrivent aux clients	Offre équipe
Cabinet qui traite des dossiers confidentiels	Offre équipe ou entreprise, et règles strictes
Automatisation de vos e-mails ou de votre service client	API, avec un prestataire sérieux

Une erreur fréquente

Payer l’abonnement Plus en pensant être « couvert ». Plus vous apporte un meilleur modèle, pas un contrat de protection des données. Ce sont deux sujets différents.

Comment empêcher ChatGPT d’utiliser vos conversations pour s’entraîner ?

Dans les paramètres de ChatGPT, rubrique des contrôles des données, désactivez l'option d'amélioration du modèle. Pour un essai ponctuel, utilisez aussi la discussion temporaire, qui n'est pas gardée.

C’est le réglage le plus simple et le plus utile. Il prend une minute.

Les étapes

1. Ouvrez ChatGPT et cliquez sur votre nom ou votre photo, en bas à gauche ou en haut à droite.
2. Allez dans Paramètres.
3. Ouvrez la rubrique consacrée aux contrôles des données (Data controls en anglais).
4. Désactivez l’option qui propose d’améliorer le modèle pour tout le monde.

L’interface change régulièrement. Si vous ne trouvez pas le réglage exact, la foire aux questions d’OpenAI indique son emplacement actuel.

La discussion temporaire

ChatGPT propose aussi un mode « discussion temporaire ». La conversation n’apparaît pas dans votre historique et ne sert pas à l’entraînement. OpenAI la conserve encore un temps limité, environ 30 jours, pour des raisons de sécurité.

C’est pratique pour un besoin ponctuel. Mais attention : temporaire ne veut pas dire invisible. N’y mettez pas pour autant des données sensibles.

Pensez à vos salariés

Le réglage se fait compte par compte. Si trois personnes utilisent ChatGPT chez vous avec leur compte perso, il faut le faire trois fois. Et vous n’avez aucun moyen de vérifier.

C’est l’un des intérêts des offres équipe : l’administrateur gère le cadre pour tout le monde.

Ce que ce réglage ne fait pas

• Il ne supprime pas vos anciennes conversations : faites-le à la main.
• Il ne remplace pas un contrat de traitement.
• Il ne vous autorise pas à coller n’importe quoi.

Voyez-le comme une ceinture de sécurité. Indispensable, mais elle n’empêche pas de conduire prudemment.

Comment anonymiser des données avant de les coller dans ChatGPT ?

Remplacez noms, coordonnées et numéros par des repères neutres comme « Client A » ou « [adresse] ». Retirez aussi les détails qui permettent de reconnaître la personne par recoupement.

Anonymiser, c’est rendre impossible l’identification de la personne. Dans la pratique d’une TPE, on fait surtout de la pseudonymisation : on remplace les informations identifiantes par des repères.

La méthode en quatre gestes

1. Remplacez les noms par « Client A », « Madame X », « le locataire ».
2. Supprimez les coordonnées : téléphone, e-mail, adresse deviennent [téléphone], [e-mail], [adresse].
3. Neutralisez les numéros : commande, dossier, plaque, contrat.
4. Floutez les détails parlants : « une cliente âgée » plutôt que « Madame Dupont, 84 ans, rue des Lilas ».

Exemple avant / après

Avant : « Réponds à Jean Martin, 06 12 34 56 78, qui conteste la facture n°2024-118 pour sa chaudière installée au 12 rue Victor-Hugo. »

Après : « Réponds à un client qui conteste une facture pour l’installation de sa chaudière. Il trouve le prix trop élevé par rapport au devis. »

La réponse de ChatGPT sera tout aussi utile. Vous ajoutez ensuite le nom dans votre messagerie, au moment d’envoyer.

Les pièges classiques

• La signature du mail recopiée en bas, avec nom et téléphone.
• Les captures d’écran qui montrent une fiche client entière.
• Les tableurs où l’on oublie une colonne.
• Les détails trop précis : « le seul boulanger bio du village » suffit à reconnaître quelqu’un.

Quand l’anonymisation ne suffit pas

Certaines tâches exigent les vraies données : relancer une liste de clients, analyser un fichier de réservations. Dans ce cas, ChatGPT grand public n’est pas le bon outil. Il faut une offre professionnelle encadrée, ou un logiciel métier qui intègre déjà ces fonctions.

Qui est responsable en cas de problème : vous ou OpenAI ?

Vous restez responsable des données de vos clients. OpenAI agit comme prestataire, appelé sous-traitant, uniquement si un contrat de traitement vous lie. Sans contrat, votre responsabilité est entière.

Le RGPD distingue deux rôles. Il faut les comprendre pour savoir qui répond de quoi.

Le responsable de traitement : vous

C’est celui qui décide pourquoi et comment les données sont utilisées. Quand un garagiste enregistre les coordonnées de ses clients, il est responsable de traitement. Quand il choisit de les coller dans ChatGPT, c’est encore sa décision.

Il doit donc pouvoir justifier :

• pourquoi il a utilisé ces données ;
• pourquoi l’outil choisi était adapté ;
• quelles précautions il a prises.

Le sous-traitant : le prestataire

C’est celui qui traite les données pour votre compte, selon vos instructions. Pour qu’OpenAI joue ce rôle, il faut un contrat de traitement signé. C’est le cas sur les offres équipe, entreprise et l’API.

Sans contrat, que se passe-t-il ?

En version gratuite ou individuelle, OpenAI traite vos messages selon ses propres conditions, pas selon vos instructions. Vous avez transmis des données clients à un tiers sans cadre. Si un client se plaint, c’est à vous de rendre des comptes.

Le transfert hors d’Europe

OpenAI est une entreprise américaine. Les transferts de données vers les États-Unis sont encadrés par des mécanismes juridiques européens. Ils existent, mais ils ont été remis en cause plusieurs fois par le passé. C’est une raison de plus pour limiter ce que vous envoyez.

En résumé

Situation	Votre position
Texte sans donnée personnelle	Aucun souci RGPD
Données anonymisées	Risque faible
Données clients, offre pro avec contrat	Cadre correct, restez vigilant
Données clients, version gratuite	Responsabilité exposée

Quelles données ne faut-il jamais mettre dans ChatGPT ?

Jamais de données de santé, de numéros bancaires, de pièces d'identité, de mots de passe, ni de dossiers confidentiels. Ces informations exigent des outils dédiés et un cadre strict.

Certaines informations n’ont rien à faire dans un outil d’IA grand public, quelle que soit la version.

La liste rouge

• Données de santé : ordonnances, pathologies, allergies, comptes rendus. Valable pour les kinés, infirmiers, opticiens, mais aussi pour la coiffeuse qui note une allergie.
• Données bancaires : numéros de carte, RIB complets, relevés.
• Pièces d’identité : copies de carte d’identité ou de passeport, numéros de sécurité sociale.
• Mots de passe et codes d’accès : y compris ceux de vos propres outils.
• Dossiers confidentiels : contenu d’un dossier juridique, d’un litige, d’une expertise.
• Données sur les mineurs : élèves d’une auto-école, enfants d’un centre de loisirs.
• Données de vos salariés : arrêts maladie, évaluations, salaires.

Où mettre ces données à la place

Vos fichiers clients ont leur place dans des outils conçus pour ça. Un bon logiciel de gestion d’entreprise centralise clients, devis et factures avec des accès contrôlés. Pour un gîte, un salon ou un cabinet, un logiciel de réservation en ligne gère les rendez-vous et les coordonnées sans passer par un outil d’IA grand public.

Beaucoup de ces logiciels intègrent aujourd’hui leurs propres fonctions d’IA. Avant de les activer, vérifiez dans leurs conditions comment les données sont traitées.

Le test du tiroir

Un bon réflexe : ne mettez dans ChatGPT que ce que vous laisseriez sur le comptoir, à la vue des clients qui passent. Un modèle de devis, oui. La fiche santé d’un client, non.

Faut-il prévenir ses clients qu’on utilise ChatGPT ?

Si vous traitez leurs données avec ChatGPT, oui : votre politique de confidentialité doit le mentionner. Si un chatbot leur répond directement, l'AI Act impose aussi de signaler qu'il s'agit d'une IA.

Deux règles différentes se croisent ici : le RGPD et la loi européenne sur l’IA.

Côté RGPD : l’information

Le RGPD impose d’informer les personnes sur l’usage de leurs données. Concrètement, votre politique de confidentialité, sur votre site ou vos documents, doit indiquer :

• quelles données vous collectez ;
• pourquoi vous les utilisez ;
• à quels prestataires vous les confiez ;
• si elles partent hors de l’Union européenne.

Si vous n’envoyez que des textes anonymisés à ChatGPT, aucune donnée personnelle ne part chez OpenAI. Il n’y a donc rien à déclarer de ce côté. Si vous utilisez une offre pro avec de vraies données, OpenAI devient un prestataire à citer.

Côté AI Act : la transparence

La loi européenne sur l’IA ajoute une obligation simple. Quand une personne échange avec une IA, elle doit le savoir. Un chatbot sur votre site, une réponse automatique par message : le client doit comprendre qu’il ne parle pas à un humain.

Les détails sont expliqués dans notre guide sur l’article 50 de l’AI Act et l’obligation de transparence des chatbots.

Et pour un simple texte rédigé avec ChatGPT ?

Si vous écrivez un mail avec l’aide de ChatGPT, puis le relisez et l’envoyez sous votre nom, vous en restez l’auteur. Rien n’oblige à ajouter « rédigé par IA » sur chaque message. C’est comme utiliser un correcteur d’orthographe évolué.

Un conseil d’honnêteté

Au-delà de la loi, la transparence rassure. Un client qui découvre qu’un robot lui répondait sans le dire perd confiance. Une phrase claire suffit souvent à éviter le malentendu.

Que change l’AI Act pour votre usage de ChatGPT ?

L'AI Act ne remplace pas le RGPD, il s'y ajoute. Pour une TPE qui utilise ChatGPT, il impose surtout de former les utilisateurs et d'être transparent avec les clients.

L’AI Act est la loi européenne sur l’intelligence artificielle. Elle entre en application par étapes. Elle ne parle pas d’abord des données personnelles : ça, c’est le rôle du RGPD. Elle encadre l’usage des outils d’IA eux-mêmes.

Qui est concerné ?

La loi distingue les fournisseurs, qui créent les outils, et les déployeurs, qui les utilisent dans leur activité. OpenAI est fournisseur. Vous, dès que vous utilisez ChatGPT pour votre entreprise, vous êtes déployeur.

Ce qui vous concerne directement

• La formation : les entreprises doivent s’assurer que les personnes qui utilisent l’IA ont un niveau de connaissance suffisant.
• La transparence : signaler aux clients quand ils échangent avec une IA.
• Les usages à haut risque : recrutement, crédit, accès à certains services. Ils sont très encadrés. Une TPE qui trie des CV avec ChatGPT entre dans une zone sensible.

Ce qui ne vous concerne pas vraiment

La plupart des obligations lourdes pèsent sur les fournisseurs de grands modèles. Un fleuriste qui rédige ses publications avec ChatGPT n’a pas de dossier technique à constituer.

RGPD et AI Act : le duo

Sujet	RGPD	AI Act
Données des clients	Oui, au cœur du texte	Indirectement
Former l’équipe	Recommandé	Obligation
Informer le client	Sur ses données	Sur l’échange avec une IA

Pour une vue d’ensemble claire, lisez notre guide principal : ce que l’AI Act change pour une TPE. Vous y trouverez le calendrier et les obligations triées par situation.

Comment mettre en place une règle simple dans votre entreprise ?

Écrivez une charte d'une page : outils autorisés, données interdites, réglages obligatoires et réflexe de relecture. Expliquez-la à chaque salarié, puis faites-la évoluer avec vos usages.

Le risque principal dans une TPE, ce n’est pas l’outil. C’est que chacun l’utilise à sa façon, sans règle commune. Une page suffit pour changer ça.

Le contenu de votre charte

1. Les outils autorisés : par exemple « ChatGPT, compte d’équipe uniquement ». Pas de compte perso pour le travail.
2. Les données interdites : reprenez la liste rouge (santé, banque, identité, mots de passe, dossiers confidentiels).
3. La règle d’anonymisation : noms et coordonnées remplacés avant tout collage.
4. Les réglages obligatoires : entraînement désactivé, historique nettoyé régulièrement.
5. La relecture : tout texte produit par l’IA est relu avant envoi. ChatGPT peut se tromper, inventer un chiffre ou une règle.
6. Le contact en cas de doute : qui on prévient si une donnée part par erreur.

Exemple dans un salon de coiffure

Trois coiffeuses utilisent ChatGPT pour les messages Instagram et les rappels. La règle : jamais de nom ni de numéro de cliente dans l’outil. Les rappels de rendez-vous passent par le logiciel de réservation, pas par ChatGPT.

Exemple dans une entreprise du bâtiment

Le gérant rédige ses devis types avec ChatGPT. La secrétaire y prépare des réponses aux réclamations, sans nom ni adresse. Les fichiers clients restent dans le logiciel de gestion.

Former plutôt qu’interdire

Interdire ChatGPT ne marche pas : les salariés l’utilisent quand même, sur leur téléphone. Mieux vaut leur apprendre à bien s’en servir. C’est aussi ce qu’exige l’article 4 de l’AI Act sur la formation des salariés à l’IA.

Si vous voulez un cadre clé en main pour vous et votre équipe, notre formation IA pour les petites entreprises couvre les usages utiles, les bons réglages et les règles RGPD, sur vos propres exemples.