ChatGPT et données clients : ce que le RGPD impose
Quand un salarié saisit des données clients dans ChatGPT, l'entreprise reste responsable. Voici les règles à fixer sans bloquer les usages.
Quand un collaborateur utilise un outil IA pour une activité de l'entreprise, celle-ci doit déterminer et encadrer le traitement au regard des articles 4(7), 24 et 28 du RGPD. Si le fournisseur traite des données personnelles pour son compte, un contrat de sous-traitance est requis. Chez OpenAI, les espaces personnels Free, Plus et Pro ne relèvent pas du contrat professionnel et de son DPA. Dans ces espaces personnels, le partage des données pour améliorer les modèles est activé par défaut, mais l'utilisateur peut le désactiver dans les contrôles de données.
Ce scénario existe déjà dans de nombreux bureaux.
Ce que ça donne sur un chantier
Deux situations concrètes, courantes dans les bureaux.
Un conducteur de travaux rentre d'une réunion. Les notes sont dans son carnet, le compte rendu doit être propre et partir ce soir. Il colle son texte scanné dans ChatGPT et demande un CR structuré. Le document contient le nom du maître d'ouvrage, l'adresse du chantier, un numéro de lot, des contacts téléphoniques. S'il le fait dans un espace personnel Free, Plus ou Pro, il n'utilise pas le cadre contractuel professionnel d'OpenAI. Le partage pour l'entraînement peut aussi être actif s'il ne l'a pas désactivé.
Un chargé d'affaires reçoit un CCTP de 90 pages pour une soumission. Il n'a pas le temps de tout lire. Il charge le document dans ChatGPT pour en avoir un résumé rapide. Le CCTP contient le nom du maître d'ouvrage, celui du bureau d'études, des coordonnées, parfois des données techniques liées à des bâtiments identifiables. Le point à vérifier reste le même : quel espace utilise-t-il, avec quel contrat et quels réglages ?
Les deux collaborateurs ont obtenu rapidement le résultat attendu. Si leur compte est un espace personnel, des données peuvent alors avoir circulé sans le DPA prévu pour les services professionnels. Il faut vérifier le compte et ses réglages avant de conclure.
Pourquoi c'est répandu
Le calcul est compréhensible : l'outil fait gagner du temps, tout de suite.
Une étude internationale de Software AG, en octobre 2024 auprès de salariés de bureau, estimait qu'environ la moitié utilisait des outils IA non approuvés par leur employeur. Le Data Privacy Benchmark 2024 de Cisco va dans le même sens, avec 48 % des répondants qui reconnaissaient y avoir saisi des informations d'entreprise non publiques.
Les équipes trouvent les outils utiles et les adoptent souvent avant que l'entreprise ait posé un cadre.
Ce phénomène a un nom, le shadow AI. Le BTP y est particulièrement exposé : des équipes terrain qui travaillent vite, des bureaux sans DSI dédiée, des documents volumineux à traiter.
Ce que dit le RGPD, sans le détour
L'article 4(1) du RGPD définit les données personnelles comme toute information se rapportant à une personne physique identifiable. Dans le bâtiment, la plupart des documents clients entrent dans cette catégorie. Dès qu'un nom de maître d'ouvrage, une adresse ou un numéro de lot identifiant figure dans un compte rendu ou un devis, les données sont personnelles. Les données purement techniques, sans lien avec une personne identifiable, font exception, et leur qualification revient à l'entreprise en tant que responsable de traitement. Dans le doute, mieux vaut les considérer comme personnelles.
L'article 44 et suivants encadrent les transferts de ces données hors de l'Union européenne. Dès qu'un prestataire externe traite des données personnelles pour le compte de l'entreprise, le RGPD prévoit un contrat de sous-traitance (article 28). C'est la condition de base.
Outils grand public ou outils professionnels : ce que ça change
La version et sa configuration changent le cadre contractuel et technique d'un outil IA accessible au grand public.
Pour OpenAI, les espaces personnels Free, Plus et Pro permettent de désactiver l'utilisation des nouveaux échanges pour l'entraînement, mais le partage est activé par défaut. À l'inverse, ChatGPT Business, ChatGPT Enterprise et l'API sont exclus de l'entraînement par défaut. L'ancien nom ChatGPT Team a été remplacé par ChatGPT Business en août 2025.
Le DPA d'OpenAI fait partie du cadre contractuel applicable aux services professionnels régis par le contrat de services OpenAI, dont ChatGPT Business, Enterprise et l'API. Sa disponibilité apporte une pièce contractuelle nécessaire lorsque OpenAI agit comme sous-traitant. Elle ne permet pas, seule, de conclure qu'un usage donné respecte le RGPD : les données, la finalité, les réglages, les accès et les transferts restent à examiner.
Cet article fournit un repère général. Les conditions des fournisseurs évoluent, et la question de quelle version est adaptée à quelles données dépend du cas d'usage. Avant d'engager des données clients, le bon réflexe est de vérifier quelle version est en service.
La politique de confidentialité d'OpenAI indique que des données personnelles peuvent être traitées aux États-Unis et dans d'autres juridictions. OpenAI propose une résidence européenne à certains nouveaux clients ChatGPT Enterprise ou Edu et à certains clients API éligibles. Cette option doit être activée. La documentation de résidence des données précise aussi que certaines métadonnées, intégrations et opérations peuvent rester hors région. Business, Free, Plus et Pro ne bénéficient donc pas automatiquement d'une garantie générale de résidence européenne.
La soumission d'un fournisseur au droit américain fait partie de l'analyse des transferts et des accès publics. Elle ne signifie pas qu'un accès au titre du CLOUD Act a lieu automatiquement, et l'emplacement d'un serveur ne suffit pas non plus à clore l'analyse. Il faut vérifier le destinataire, les flux réels, le DPA, le mécanisme de transfert et les mesures complémentaires. Retirer les éléments identifiants peut réduire l'exposition. Une simple pseudonymisation laisse toutefois les données dans le champ du RGPD si une réidentification reste possible.
Le principe de réponse
Le shadow AI naît d'un besoin réel. Une interdiction laissée sans solution de remplacement déplace le comportement vers d'autres outils.
Une réponse pragmatique commence par distinguer les types de données. Des métrés, des calculs de structure et des plans dépourvus d'information personnelle identifiable sortent du champ des règles de transfert des articles 44 et suivants. Un compte rendu avec le nom du maître d'ouvrage entre dans ce champ. L'entreprise peut définir des catégories claires pour ses équipes sans que ça ressemble à une contrainte.
Pour les usages qui impliquent des données personnelles, des outils hébergés en Europe avec contrat de sous-traitance existent. Le contrat encadre les instructions données au prestataire. Les engagements sur l'entraînement, la conservation et la résidence doivent être vérifiés dans les conditions et la configuration de l'offre retenue.
Une règle claire et simple fonctionne souvent mieux qu'une interdiction. Une courte liste de ce qu'on ne met jamais dans un outil public, pourquoi, et quelles alternatives existent. L'efficacité de cette règle tient à ce qu'elle s'applique aux bonnes catégories de données. Et c'est précisément cette classification qui est le point difficile. Une heure de formation sur les bases du RGPD appliquées aux outils IA aide plus qu'une note de service, et constitue un point de départ concret. La proportionnalité de l'effort dépend des usages réels dans l'entreprise.
La formulation actuelle de l'article 4 de l'EU AI Act s'applique depuis le 2 février 2025. Elle demande aux fournisseurs et déployeurs de prendre, dans la mesure de leurs possibilités, des mesures pour assurer un niveau suffisant de maîtrise de l'IA aux personnes qui exploitent ou utilisent ces systèmes pour leur compte. Le Parlement a adopté le Digital Omnibus le 16 juin 2026, puis le Conseil lui a donné son approbation finale le 29 juin 2026. Au 22 juillet 2026, sa publication restait attendue selon le dossier législatif OEIL. Jusqu'à l'entrée en vigueur du nouveau texte, la formulation actuelle de l'article 4 reste applicable.
Ce que ça révèle dans les bureaux
Avant de décider quoi faire, il est utile de cartographier ce qui se passe déjà.
Quelques signes que des outils IA non encadrés circulent :
- Des comptes rendus ou devis présentent soudainement une mise en forme plus soignée que d'habitude, sans que personne n'ait changé de logiciel.
- Des collaborateurs mentionnent avoir « demandé à l'IA » pour reformuler un mail ou résumer un document, sans préciser lequel.
- Il n'existe pas de liste des outils numériques utilisés par les équipes dans leur travail quotidien.
- La question « quels outils IA utilisez-vous ? » génère des réponses différentes selon les interlocuteurs.
Ces signaux indiquent simplement que l'usage existe et mérite une attention.
Questions fréquentes
Est-ce interdit d'utiliser ChatGPT au travail ?
L'usage professionnel de ChatGPT est possible, mais le compte et sa configuration comptent. Les espaces personnels Free, Plus et Pro ne relèvent pas du contrat professionnel d'OpenAI. ChatGPT Business, Enterprise et l'API sont couverts par les conditions professionnelles, avec un DPA disponible et aucun entraînement sur les données de l'organisation par défaut. Un DPA ne suffit pas, à lui seul, à conclure qu'un usage concret respecte le RGPD.
Est-ce que ChatGPT utilise mes données pour s'entraîner ?
Dans un espace personnel Free, Plus ou Pro, le partage des données pour améliorer les modèles est activé par défaut et peut être désactivé dans les paramètres. OpenAI indique ne pas entraîner ses modèles sur les données de ChatGPT Business, Enterprise et de l'API par défaut. Team s'appelle Business depuis août 2025. Il faut vérifier l'espace réellement utilisé, pas seulement le nom du compte.
Qui est responsable si un employé met des données clients dans ChatGPT ?
L'entreprise. Les articles 4(7) et 24 du RGPD désignent le responsable de traitement comme celui qui détermine les finalités et les moyens. Le fait qu'un collaborateur agisse de sa propre initiative ne transfère pas cette responsabilité.
Mes données partent-elles aux États-Unis ?
On ne peut pas répondre oui ou non à partir du seul nom ChatGPT. OpenAI indique que les données personnelles peuvent être traitées aux États-Unis et dans d'autres pays. La résidence européenne est réservée à certaines offres Enterprise, Edu et API éligibles, et doit être activée. Même alors, certains traitements, métadonnées ou services externes peuvent rester hors région. Il faut vérifier l'offre, la configuration, le DPA et les mécanismes de transfert.
J'ai déjà mis des données clients dans ChatGPT. Suis-je en danger ?
Une saisie déjà transmise ne peut pas être annulée rétroactivement. Vous pouvez vérifier les contrôles et délais de conservation du compte, supprimer les conversations lorsque l'option existe, désactiver la contribution à l'entraînement pour les futurs échanges et faire l'inventaire des données concernées. La conduite à tenir dépend du contenu, du compte et du contexte. Un audit des usages IA permet d'établir cet état des lieux technique et organisationnel.
La cartographie utile précise quels usages IA impliquent aujourd'hui des données personnelles dans votre bureau, dans quelle mesure et sous quel encadrement contractuel.