ChatGPT et le RGPD / AI Act : le guide de conformité pour votre entreprise

Présentation et données traitées

ChatGPT est l'assistant conversationnel d'OpenAI (société américaine), reposant sur les modèles GPT. Pour l'Espace économique européen, c'est en principe OpenAI Ireland Limited qui est responsable de la conformité au RGPD. ChatGPT existe en versions Free/Plus (grand public) et Team/Enterprise (entreprise) : cette distinction conditionne toute la conformité.

Trois flux transitent par les serveurs d'OpenAI : le contenu de vos échanges (prompts et réponses — le plus sensible : noms de clients, e-mails, données RH ou de santé), les données de compte, et les données techniques (IP, navigateur, usage). En Free/Plus, l'entraînement sur vos conversations est activé par défaut (désactivation manuelle, non rétroactive). En Team/Enterprise, les données professionnelles ne sont pas utilisées pour l'entraînement par défaut. Les serveurs étant aux États-Unis, un transfert hors UE a lieu, encadré par des clauses contractuelles types (SCC).

Les risques pour votre entreprise

Quatre risques majeurs : fuite de données, responsabilité juridique (l'entreprise répond des actes de ses salariés), atteinte à l'image, sanction réglementaire. Selon le baromètre IFOP/Talan 2025, 43 % des utilisateurs d'IA générative s'en servent au travail mais seuls 9 % via un outil fourni par l'organisation ; le « shadow AI » est déjà dans l'entreprise.

Principaux risques RGPD :

• Base légale absente pour transmettre les données d'un tiers à OpenAI.
• Minimisation : on saisit souvent plus que nécessaire.
• Transfert hors UE : hébergement US, risque d'accès par les autorités américaines (CLOUD Act, FISA), sujet sensible depuis Schrems II.
• Droits des personnes difficiles à exercer (accès, rectification, effacement).
• Décision automatisée : l'article 22 s'applique si ChatGPT alimente une décision affectant une personne.

La CNIL et le Comité européen de la protection des données (EDPB), qui a publié un rapport dédié sur ChatGPT en mai 2024, ont confirmé que ces outils entrent dans le champ du RGPD dès qu'ils traitent des données personnelles.

Les obligations RGPD

1. Signer un DPA avec OpenAI (uniquement Team/Enterprise/Business).
2. Inscrire l'usage au registre des traitements.
3. Réaliser une AIPD en cas de risque élevé (données sensibles, profilage à grande échelle, surveillance systématique).
4. Informer les personnes concernées.
5. Encadrer les transferts hors UE (SCC, localisation vérifiée).
6. Sécuriser et gouverner : charte IA, formation, DPO.

Les obligations AI Act

ChatGPT est un modèle d'IA à usage général (GPAI) : les obligations correspondantes s'appliquent depuis le 2 août 2025. Côté fournisseur (OpenAI) : documentation technique, information des acteurs en aval, politique de droit d'auteur, résumé des données d'entraînement. Côté déployeur (votre entreprise) : transparence (article 50 — signaler l'usage d'une IA et les contenus générés), supervision humaine, littératie IA des équipes (obligation entrée en application le 2 février 2025). Attention : un usage RH ou de décision peut faire basculer le système en « haut risque » (Annexe III). Voir le guide AI Act.

Cybersécurité et bonnes pratiques

Risques cyber : fuite via les prompts, shadow AI via comptes personnels (invisible pour la DSI), prompt injection sur des assistants connectés à vos données, comptes compromis exposant l'historique. Les entités NIS 2 doivent intégrer ces risques.

Réflexes : version pro + DPA ; entraînement désactivé ; jamais de données sensibles ; pseudonymisation ; charte IA ; formation ; référent IA ; documentation au registre.

Sanctions, conclusion et recommandations

Sanctions (deux régimes cumulables) : RGPD jusqu'à 20 M€ ou 4 % du CA mondial ; AI Act jusqu'à 35 M€ ou 7 % pour les pratiques interdites, 15 M€ ou 3 % pour la plupart des autres manquements. En mars 2023, l'autorité italienne (Garante) a temporairement suspendu ChatGPT, puis prononcé fin 2024 une amende de 15 millions d'euros contre OpenAI.

Recommandation : ChatGPT n'est ni interdit ni « conforme par magie » — tout dépend de la version, des données saisies et de la gouvernance. Le vrai risque n'est pas l'outil mais son usage non encadré via des comptes personnels. Reprenez le contrôle plutôt que d'interdire : version pro encadrée, charte IA, formation, documentation, gouvernance RGPD + AI Act unifiée. Comparez avec les autres assistants : Copilot, Gemini, Claude, Mistral.