ChatGPT en entreprise : ce qui est autorisé, et ce qui ne l'est pas

Oui, vous pouvez utiliser ChatGPT au travail. Les vraies questions sont : quelle version, avec quelles données, et selon quelle règle.

À jour au 14 septembre 2026 — IA générative, RGPD & AI Act

Utiliser ChatGPT ou un autre assistant d’IA en entreprise est autorisé. Ce qui pose problème, ce sont trois pratiques très répandues : utiliser une version grand public pour des données de travail, y coller des données personnelles sans cadre, et laisser chacun faire sans règle écrite.

La différence qui compte : offre grand public ou offre professionnelle

Tout se joue sur l’offre utilisée, pas sur le nom de l’outil. Prenons l’exemple de ChatGPT, d’après les informations publiées par OpenAI.

  • Versions gratuite et Plus. Les conversations peuvent servir à améliorer les modèles, sauf si l’utilisateur désactive l’option dans Paramètres, Contrôles des données, « Améliorer le modèle pour tout le monde ». Aucun accord de traitement des données n’est signé avec l’entreprise.

  • Offres Business et Enterprise, et accès par API. Les données ne sont pas utilisées pour l’entraînement par défaut, et un accord de traitement des données peut être conclu. Un hébergement des données en Europe est proposé pour certaines offres entreprise et pour l’API.

Désactiver l’entraînement sur une version gratuite réduit un risque, mais ne vous donne pas de contrat. Or dès qu’il y a des données personnelles, le RGPD exige un contrat avec l’éditeur. Le même raisonnement vaut pour les autres assistants du marché : vérifiez l’offre, le contrat et les conditions de réutilisation à la date où vous souscrivez, car elles évoluent.

Ce que l’on peut faire sans difficulté particulière

  • Rédiger ou reformuler un texte qui ne contient ni donnée personnelle ni information confidentielle.

  • Résumer un document public, préparer un plan, chercher des idées.

  • Traduire un contenu destiné à être publié.

  • Obtenir de l’aide sur une formule de tableur ou un point technique général.

Même pour ces usages, une relecture reste nécessaire : l’outil peut se tromper avec assurance, y compris en inventant des références.

Ce qu’il ne faut jamais coller dans un outil non encadré

  • Des données personnelles : CV, dossiers de salariés, fichiers clients, échanges nominatifs.

  • Des données sensibles : santé, opinions, origine, condamnations.

  • Des secrets d’affaires : tarifs, marges, contrats, code source, stratégie.

  • Des données confiées par un client, souvent couvertes par une obligation de confidentialité.

Retirer le nom ne suffit pas à anonymiser : un poste, un lieu et une date permettent souvent de retrouver la personne. Sur ce point précis, voyez notre article Est-ce que je peux mettre un CV dans ChatGPT ?

Ce que le RGPD exige dès qu’il y a des données personnelles

Utiliser une IA générative avec des données personnelles n’est pas interdit, mais c’est un traitement de données à part entière. Dans ses questions-réponses sur l’utilisation des systèmes d’IA générative, la CNIL recommande notamment :

  • de partir de besoins concrets et d’évaluer les risques : un assistant de rédaction présente moins de risques qu’un outil utilisé pour prendre des décisions sur des clients ou des candidats ;

  • d’encadrer la relation avec l’éditeur par un contrat qui précise les rôles, les accès et les transferts de données hors de l’Union européenne ;

  • de définir les usages autorisés et interdits, et de proscrire la saisie d’informations confidentielles ou personnelles lorsque l’éditeur peut réutiliser les données ;

  • de former les utilisateurs au fonctionnement et aux limites de ces outils, et de toujours vérifier ce qu’ils produisent.

S’y ajoutent les obligations habituelles : informer les personnes concernées, inscrire le traitement au registre, et réaliser une analyse d’impact pour les usages à risque comme le profilage en ressources humaines.

Ce que l’AI Act ajoute

  • Pour un usage courant — rédaction, synthèse, traduction —, l’usage relève en général du risque minimal : pas d’obligation spécifique, en dehors des mesures de littératie IA de l’article 4, qui valent pour tous les usages.

  • Si l’outil sert à trier des candidatures ou à évaluer des salariés, l’usage devient à haut risque, avec un régime complet à partir du 2 décembre 2027 — et les exigences du RGPD dès aujourd’hui. Voyez Trier des candidatures avec l’IA : est-ce autorisé ?

  • Si vous publiez des textes générés pour informer le public sur des sujets d’intérêt général sans relecture ni responsabilité éditoriale humaine, une mention s’impose depuis le 2 août 2026 (article 50). Un article relu et assumé par vous n’est pas concerné.

Une règle interne en six lignes

La CNIL recommande de fixer les usages autorisés et interdits. Voici une base à adapter :

  1. Outil autorisé : [nom de l’outil], offre entreprise uniquement.

  2. Interdit d’y saisir : données personnelles de clients, de candidats ou de salariés, données de santé, tarifs, contrats, code source.

  3. Tout document envoyé à l’extérieur est relu et vérifié par son auteur.

  4. Recrutement, évaluation ou décision concernant une personne : accord préalable de [responsable].

  5. Question ou doute : [contact], sans risque de sanction.

  6. Règle revue le [date].

Si vous voulez pouvoir sanctionner un manquement, cette règle doit suivre la procédure du règlement intérieur. Tout est expliqué dans Politique d’usage de l’IA en entreprise : modèle et guide.

Et si vos salariés utilisent déjà la version gratuite ?

C’est le cas dans la plupart des entreprises. La bonne réaction tient en quatre gestes :

  1. Ne sanctionnez pas rétroactivement un usage qu’aucune règle n’interdisait.

  2. Recensez les usages, service par service, sans esprit de reproche.

  3. Proposez une solution encadrée — une offre professionnelle — plutôt qu’une interdiction pure, qui pousse à l’usage caché.

  4. Écrivez la règle et formez, en gardant une trace datée.

Pour le recensement, suivez la méthode de notre article Registre des systèmes d’IA : modèle et mode d’emploi.

Le kit de conformité — 199 €

Déclarez vos outils et leurs usages : le kit classe chaque usage par niveau de risque et génère à votre nom votre politique d’usage de l’IA — outils autorisés, données interdites, relecture —, votre registre des systèmes d’IA, votre journal des usages sensibles et une note d’information au personnel.

Obtenir le kit →

Pas encore prêt ? Commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.

À lire ensuite

Sources

Cet article présente l’état du droit et des offres à la date indiquée. Il ne constitue pas un conseil juridique et ne se substitue pas à l’analyse d’un conseil pour une situation particulière.

Recevez les prochains articles par email. Un article par semaine sur l'IA, le RGPD et l'AI Act en entreprise, gratuit : s'abonner à IA en Règle.

Commentaires

Enregistrer un commentaire