ChatGPT en entreprise : que disent le RGPD, l'AI Act et le secret des affaires ?
·
Mis à jour le ·
Par 
Aymeric Guyard · 5 min de lecture
En bref
- Utiliser ChatGPT en entreprise est légal, à trois conditions. Côté RGPD : ne pas y soumettre de données personnelles sans cadre (version professionnelle, accord de sous-traitance, information des personnes). Côté AI Act : former les utilisateurs (article 4) et signaler l'IA quand elle est exposée aux clients (article 50). Côté secret des affaires : interdire la saisie d'informations confidentielles dans les versions grand public, car une divulgation non maîtrisée peut faire perdre la protection juridique du secret.
Le vrai risque n'est pas l'outil, c'est la version
Toutes les offres OpenAI ne se valent pas juridiquement, et la plupart des incidents viennent de là.
| Version | Entraînement sur vos données | Cadre contractuel | Usage professionnel |
|---|---|---|---|
| ChatGPT gratuit / Plus (compte individuel) | Oui par défaut (désactivable dans les réglages) | Conditions grand public, pas d'accord de sous-traitance | À proscrire pour toute donnée personnelle ou confidentielle |
| ChatGPT Team / Enterprise | Non par défaut | Accord de traitement des données (DPA), engagements de confidentialité, administration centralisée | Acceptable avec paramétrage et charte |
| API OpenAI | Non par défaut | DPA, rétention limitée | Pour les intégrations développées par l'entreprise |
OpenAI propose par ailleurs des options de résidence des données en Europe pour ses offres professionnelles et son API ; vérifiez ce point dans votre contrat, ainsi que la durée de conservation des conversations et les sous-traitants ultérieurs listés au DPA.
RGPD : les quatre règles qui s'appliquent à chaque prompt
- Minimisation (article 5) : un prompt contenant le nom d'un client, un dossier RH ou un historique médical est un traitement de données personnelles. La règle d'or opérationnelle : anonymiser ou pseudonymiser avant de soumettre, et bannir les données sensibles (santé, opinions, biométrie) des outils généralistes.
- Base légale et information (articles 6 et 13) : l'usage interne s'appuie en général sur l'intérêt légitime, à condition d'informer les personnes concernées (salariés via la charte et la politique de confidentialité RH, clients si leurs données transitent par l'outil).
- Sous-traitance (article 28) : sans DPA, pas de données personnelles. C'est le critère qui disqualifie les comptes individuels gratuits pour tout usage impliquant des tiers.
- Transferts hors UE (chapitre V) : vérifiez le mécanisme de transfert (clauses contractuelles types, certification Data Privacy Framework) et l'option de traitement en Europe quand elle existe.
La CNIL a publié des recommandations sur le développement et l'utilisation des systèmes d'IA et a fait des données d'entraînement une priorité de contrôle ; le comité européen de la protection des données a, de son côté, coordonné les travaux des autorités sur ChatGPT.
AI Act : vos deux obligations immédiates de déployeur
En utilisant ChatGPT, votre entreprise est déployeuse d'un système d'IA (voir l'article sur les obligations AI Act 2026). Deux obligations sont en vigueur :
- Maîtrise de l'IA (article 4) : former les salariés qui l'utilisent, à un niveau proportionné à leur rôle. La preuve de formation est le premier document demandé en cas de contrôle ou de litige.
- Transparence (article 50) : si ChatGPT alimente un agent exposé à vos clients (chatbot, réponses automatisées), les personnes doivent savoir qu'elles interagissent avec une IA ; les contenus générés publiés pour informer le public doivent être signalés, sauf relecture humaine avec responsabilité éditoriale.
Les usages RH (tri de candidatures, évaluation) relèveront du régime « haut risque » au 2 décembre 2027 : mieux vaut les cartographier dès maintenant.
Secret des affaires : le risque que tout le monde oublie
La protection du secret des affaires (articles L.151-1 et suivants du code de commerce, issus de la directive 2016/943) repose sur trois conditions, dont des « mesures de protection raisonnables » prises par l'entreprise. Saisir une formule, un plan stratégique ou un code source dans un outil grand public, sans cadre contractuel de confidentialité, peut être analysé comme une divulgation incompatible avec ces mesures : l'information risque de perdre sa protection juridique, indépendamment de tout incident technique. Les clauses de confidentialité signées avec vos propres clients peuvent en outre interdire ce type de partage. La parade est organisationnelle : classifier l'information, et réserver les éléments confidentiels aux outils sous contrat d'entreprise.
La charte d'usage de l'IA en 8 points
- Liste des outils validés par l'entreprise (et des versions : compte entreprise, pas de compte personnel).
- Données interdites en toutes circonstances : données sensibles, données clients nominatives hors outil sous DPA, secrets d'affaires, codes d'accès.
- Règle d'anonymisation avant tout prompt contenant des informations internes.
- Relecture humaine obligatoire avant toute utilisation externe d'un contenu généré (client, publication, contrat) : l'entreprise reste responsable des erreurs et hallucinations.
- Signalement de l'IA dans les contenus et agents exposés au public (article 50).
- Interdiction d'utiliser l'IA pour des décisions individuelles ayant un effet juridique sur une personne sans validation humaine documentée.
- Formation initiale obligatoire et rappels annuels (article 4 AI Act), tracés.
- Canal de signalement des incidents (fuite de données dans un prompt, sortie problématique) relié à la procédure violation de données.
Passez à l’action
Pilotez votre conformité avec Data Comply One : logiciel tout-en-un et experts DPO/RSSI externalisés.
Découvrir le logiciel AI Act →Tester ma conformité IA →Sources
- Règlement (UE) 2016/679 (RGPD), articles 5, 6, 13, 28, 35 et chapitre V, EUR-Lex.
- Règlement (UE) 2024/1689 (AI Act), articles 4, 26 et 50, EUR-Lex.
- Directive (UE) 2016/943 sur le secret des affaires et articles L.151-1 et suivants du code de commerce, Légifrance.
- CNIL, recommandations sur le développement des systèmes d'IA ; EDPB, travaux coordonnés sur ChatGPT.