ChatGPT et données clients : ce que le RGPD impose

Quand un collaborateur utilise un outil IA pour une activité de l'entreprise, celle-ci doit déterminer et encadrer le traitement au regard des articles 4(7), 24 et 28 du RGPD. Si le fournisseur traite des données personnelles pour son compte, un contrat de sous-traitance est requis. Chez OpenAI, les espaces personnels Free, Plus et Pro ne relèvent pas du contrat professionnel et de son DPA. Dans ces espaces personnels, le partage des données pour améliorer les modèles est activé par défaut, mais l'utilisateur peut le désactiver dans les contrôles de données.

Commencez par vérifier quels comptes et quels outils vos équipes utilisent réellement.

Ce que ça donne sur un chantier

Voici deux situations possibles.

Un conducteur de travaux rentre d'une réunion. Les notes sont dans son carnet, le compte rendu doit être propre et partir ce soir. Il colle son texte scanné dans ChatGPT et demande un CR structuré. Le document contient le nom du maître d'ouvrage, l'adresse du chantier, un numéro de lot, des contacts téléphoniques. S'il le fait dans un espace personnel Free, Plus ou Pro, il n'utilise pas le cadre contractuel professionnel d'OpenAI. Le partage pour l'entraînement peut aussi être actif s'il ne l'a pas désactivé.

Un chargé d'affaires reçoit un CCTP de 90 pages pour une soumission. Il n'a pas le temps de tout lire. Il charge le document dans ChatGPT pour en avoir un résumé rapide. Le CCTP contient le nom du maître d'ouvrage, celui du bureau d'études, des coordonnées, parfois des données techniques liées à des bâtiments identifiables. Le point à vérifier reste le même : quel espace utilise-t-il, avec quel contrat et quels réglages ?

Dans ces exemples, les documents sont transmis pour obtenir un brouillon ou un résumé. Si le compte est personnel, le DPA des services professionnels ne s'applique pas. Vérifiez donc l'espace utilisé et les données transmises avant d'évaluer la situation.

Pourquoi c'est répandu

Obtenir rapidement un résumé ou un brouillon peut inciter à utiliser un outil avant de vérifier ses conditions.

Dans une étude internationale de Software AG publiée en 2024, plus de la moitié des répondants qui utilisaient l'IA déclaraient se servir d'outils personnels ou non fournis par leur entreprise. Il ne s'agit pas nécessairement d'outils interdits. Dans le Data Privacy Benchmark 2024 de Cisco, fondé sur une enquête menée à l'été 2023, 48 % des professionnels de la confidentialité et de la sécurité interrogés déclaraient avoir saisi des informations d'entreprise non publiques dans des outils d'IA générative.

Ces enquêtes justifient de faire l'inventaire des usages internes. Elles ne mesurent pas ceux de votre entreprise.

L'usage d'outils non encadrés par l'entreprise est souvent appelé « shadow AI ». Dans le BTP, le risque peut apparaître lorsque des équipes de terrain et des bureaux échangent rapidement des documents volumineux.

Ce que dit le RGPD, sans le détour

L'article 4(1) du RGPD vise les informations relatives à une personne physique identifiée ou identifiable. Un compte rendu ou un devis peut en contenir : nom d'un particulier, coordonnées d'un interlocuteur ou éléments permettant de reconnaître une personne. Un nom de société ou une adresse de chantier n'est pas automatiquement une donnée personnelle. Il faut regarder à qui l'information se rapporte et ce qu'elle permet d'identifier, seule ou croisée avec d'autres données.

L'article 44 et suivants encadrent les transferts de ces données hors de l'Espace économique européen (EEE). Dès qu'un prestataire externe traite des données personnelles pour le compte de l'entreprise, le RGPD prévoit un contrat de sous-traitance (article 28). C'est la condition de base.

Outils grand public ou outils professionnels : ce que ça change

La version et sa configuration changent le cadre contractuel et technique d'un outil IA accessible au grand public.

Pour OpenAI, les espaces personnels Free, Plus et Pro permettent de désactiver l'utilisation des nouveaux échanges pour l'entraînement, mais le partage est activé par défaut. À l'inverse, ChatGPT Business, ChatGPT Enterprise et l'API sont exclus de l'entraînement par défaut. L'ancien nom ChatGPT Team a été remplacé par ChatGPT Business en août 2025.

Le DPA d'OpenAI fait partie du cadre contractuel applicable aux services professionnels régis par le contrat de services OpenAI, dont ChatGPT Business, Enterprise et l'API. Sa disponibilité apporte une pièce contractuelle nécessaire lorsque OpenAI agit comme sous-traitant. Elle ne permet pas, seule, de conclure qu'un usage donné respecte le RGPD : les données, la finalité, les réglages, les accès et les transferts restent à examiner.

Vérifiez l'offre et les réglages au moment du choix, puis lors des changements de conditions. Une même marque peut proposer plusieurs cadres contractuels.

La politique de confidentialité d'OpenAI indique que des données personnelles peuvent être traitées aux États-Unis et dans d'autres juridictions. OpenAI propose une résidence européenne à certains nouveaux clients ChatGPT Enterprise ou Edu et à certains clients API éligibles. Cette option doit être activée. La documentation de résidence des données précise aussi que certaines métadonnées, intégrations et opérations peuvent rester hors région. Business, Free, Plus et Pro ne bénéficient donc pas automatiquement d'une garantie générale de résidence européenne.

La soumission d'un fournisseur au droit américain fait partie de l'analyse des transferts et des accès publics. Elle ne signifie pas qu'un accès au titre du CLOUD Act a lieu automatiquement, et l'emplacement d'un serveur ne suffit pas non plus à clore l'analyse. Il faut vérifier le destinataire, les flux réels, le DPA, le mécanisme de transfert et les mesures complémentaires. Retirer les éléments identifiants peut réduire l'exposition. Une simple pseudonymisation laisse toutefois les données dans le champ du RGPD si une réidentification reste possible.

Le principe de réponse

Demandez aux équipes ce qu'elles cherchent à faire avec l'IA. Pour les usages utiles, prévoyez une solution autorisée et expliquez les limites des autres outils.

Distinguez les données techniques, les informations confidentielles et les données personnelles. Un plan sans lien avec une personne physique identifiable peut rester confidentiel même s'il ne relève pas du RGPD. Un compte rendu contenant des données personnelles relève de ce règlement ; ses articles 44 et suivants s'appliquent lorsqu'un transfert concerné vers un pays hors EEE a lieu.

Pour les usages qui impliquent des données personnelles, des outils hébergés en Europe avec contrat de sous-traitance existent. Le contrat encadre les instructions données au prestataire. Les engagements sur l'entraînement, la conservation et la résidence doivent être vérifiés dans les conditions et la configuration de l'offre retenue.

Donnez des consignes concrètes : quels documents peuvent aller dans quel outil, lesquels sont exclus et qui contacter en cas de doute. Une formation appliquée aux usages IA et aux données peut travailler ces règles sur des exemples adaptés à l'équipe. Sa durée et son contenu dépendent des tâches et des risques concernés.

Depuis le 27 juillet 2026, la version modifiée de l'article 4 de l'EU AI Act demande aux fournisseurs et déployeurs de systèmes d'IA de prendre des mesures pour favoriser le développement de la maîtrise de l'IA des personnes qui utilisent ces systèmes pour leur compte. Ils tiennent compte notamment des connaissances, de la formation et du contexte d'utilisation. Ils n'ont pas à garantir un niveau précis de maîtrise pour chaque personne. La modification figure dans le règlement (UE) 2026/1744.

Ce que ça révèle dans les bureaux

Demandez à chaque équipe quels outils elle utilise et pour quelles tâches.

Quelques signes que des outils IA non encadrés circulent :

• Des comptes rendus ou devis présentent soudainement une mise en forme plus soignée que d'habitude, sans que personne n'ait changé de logiciel.
• Des collaborateurs mentionnent avoir « demandé à l'IA » pour reformuler un mail ou résumer un document, sans préciser lequel.
• Il n'existe pas de liste des outils numériques utilisés par les équipes dans leur travail quotidien.
• La question « quels outils IA utilisez-vous ? » génère des réponses différentes selon les interlocuteurs.

Ces indices justifient une discussion avec les équipes. Une mise en forme plus soignée ne prouve pas, à elle seule, l'utilisation d'une IA.

---

Questions fréquentes

Est-ce interdit d'utiliser ChatGPT au travail ?

L'usage professionnel de ChatGPT est possible, mais le compte et sa configuration comptent. Les espaces personnels Free, Plus et Pro ne relèvent pas du contrat professionnel d'OpenAI. ChatGPT Business, Enterprise et l'API sont couverts par les conditions professionnelles, avec un DPA disponible et aucun entraînement sur les données de l'organisation par défaut. Un DPA ne suffit pas, à lui seul, à conclure qu'un usage concret respecte le RGPD.

Est-ce que ChatGPT utilise mes données pour s'entraîner ?

Dans un espace personnel Free, Plus ou Pro, le partage des données pour améliorer les modèles est activé par défaut et peut être désactivé dans les paramètres. OpenAI indique ne pas entraîner ses modèles sur les données de ChatGPT Business, Enterprise et de l'API par défaut. Team s'appelle Business depuis août 2025. Il faut vérifier l'espace réellement utilisé, pas seulement le nom du compte.

Qui est responsable si un employé met des données clients dans ChatGPT ?

Pour les traitements réalisés pour son activité, l'entreprise est en principe responsable lorsqu'elle en détermine les finalités et les moyens. Un salarié agissant pour ses propres finalités peut avoir un rôle distinct. Les responsabilités dépendent des faits ; une initiative individuelle ne décharge pas automatiquement l'employeur de ses obligations.

Mes données partent-elles aux États-Unis ?

On ne peut pas répondre oui ou non à partir du seul nom ChatGPT. OpenAI indique que les données personnelles peuvent être traitées aux États-Unis et dans d'autres pays. La résidence européenne est réservée à certaines offres Enterprise, Edu et API éligibles, et doit être activée. Même alors, certains traitements, métadonnées ou services externes peuvent rester hors région. Il faut vérifier l'offre, la configuration, le DPA et les mécanismes de transfert.

J'ai déjà mis des données clients dans ChatGPT. Suis-je en danger ?

Une saisie déjà transmise ne peut pas être annulée rétroactivement. Vous pouvez vérifier les contrôles et délais de conservation du compte, supprimer les conversations lorsque l'option existe, désactiver la contribution à l'entraînement pour les futurs échanges et faire l'inventaire des données concernées. La conduite à tenir dépend du contenu, du compte et du contexte. Un audit des usages IA permet d'établir cet état des lieux technique et organisationnel.

---

Consignez les outils utilisés, les données transmises, les comptes concernés et les contrats applicables. Cet inventaire servira à choisir les actions à mener.

---