ChatGPT en entreprise : ce qui est autorisé ou non
Voir un exemple de dossier rempli (gratuit, 32 pages) →
Oui, vous pouvez utiliser ChatGPT au travail. Les vraies questions sont : quelle version, avec quelles données, et selon quelle règle.
À jour au 14 septembre 2026 — IA générative, RGPD & AI Act
Faites le point en 3 minutes
Dix questions, réponse immédiate, aucune adresse e-mail demandée et rien ne quitte ce site. Vous obtenez la liste de vos points à régler, dans l’ordre.
Ou consultez directement la check-list des 10 points, à cocher et à imprimer.
Utiliser ChatGPT ou un autre assistant d’IA en entreprise est autorisé. Ce qui pose problème, ce sont trois pratiques très répandues : utiliser une version grand public pour des données de travail, y coller des données personnelles sans cadre, et laisser chacun faire sans règle écrite.
Modèle prêt à compléter. Les règles décrites ci-dessous existent en modèle de charte : outils autorisés, données interdites, relecture obligatoire. Vous saisissez vos informations, le document se met en forme, vous l’imprimez ou l’enregistrez en PDF. l’obtenir gratuitement — le modèle complet
Ou l’essayer d’abord : remplissez le formulaire, le document se compose sous vos yeux →
La différence qui compte : offre grand public ou offre professionnelle
Tout se joue sur l’offre utilisée, pas sur le nom de l’outil. Prenons l’exemple de ChatGPT, d’après les informations publiées par OpenAI.
Versions gratuite et Plus. Les conversations peuvent servir à améliorer les modèles, sauf si l’utilisateur désactive l’option dans Paramètres, Contrôles des données, « Améliorer le modèle pour tout le monde ». Aucun accord de traitement des données n’est signé avec l’entreprise.
Offres Business et Enterprise, et accès par API. Les données ne sont pas utilisées pour l’entraînement par défaut, et un accord de traitement des données peut être conclu. Un hébergement des données en Europe est proposé pour certaines offres entreprise et pour l’API.
Désactiver l’entraînement sur une version gratuite réduit un risque, mais ne vous donne pas de contrat. Or dès qu’il y a des données personnelles, le RGPD exige un contrat avec l’éditeur. Le même raisonnement vaut pour les autres assistants du marché : vérifiez l’offre, le contrat et les conditions de réutilisation à la date où vous souscrivez, car elles évoluent.
Ce que l’on peut faire sans difficulté particulière
Rédiger ou reformuler un texte qui ne contient ni donnée personnelle ni information confidentielle.
Résumer un document public, préparer un plan, chercher des idées.
Traduire un contenu destiné à être publié.
Obtenir de l’aide sur une formule de tableur ou un point technique général.
Même pour ces usages, une relecture reste nécessaire : l’outil peut se tromper avec assurance, y compris en inventant des références.
Ce qu’il ne faut jamais coller dans un outil non encadré
Des données personnelles : CV, dossiers de salariés, fichiers clients, échanges nominatifs.
Des données sensibles : santé, opinions, origine, condamnations.
Des secrets d’affaires : tarifs, marges, contrats, code source, stratégie.
Des données confiées par un client, souvent couvertes par une obligation de confidentialité.
Retirer le nom ne suffit pas à anonymiser : un poste, un lieu et une date permettent souvent de retrouver la personne. Sur ce point précis, voyez notre article Est-ce que je peux mettre un CV dans ChatGPT ?
Ce que le RGPD exige dès qu’il y a des données personnelles
Utiliser une IA générative avec des données personnelles n’est pas interdit, mais c’est un traitement de données à part entière. Dans ses questions-réponses sur l’utilisation des systèmes d’IA générative, la CNIL recommande notamment :
de partir de besoins concrets et d’évaluer les risques : un assistant de rédaction présente moins de risques qu’un outil utilisé pour prendre des décisions sur des clients ou des candidats ;
d’encadrer la relation avec l’éditeur par un contrat qui précise les rôles, les accès et les transferts de données hors de l’Union européenne ;
de définir les usages autorisés et interdits, et de proscrire la saisie d’informations confidentielles ou personnelles lorsque l’éditeur peut réutiliser les données ;
de former les utilisateurs au fonctionnement et aux limites de ces outils, et de toujours vérifier ce qu’ils produisent.
S’y ajoutent les obligations habituelles : informer les personnes concernées, inscrire le traitement au registre, et réaliser une analyse d’impact pour les usages à risque comme le profilage en ressources humaines.
Ce que l’AI Act ajoute
Pour un usage courant — rédaction, synthèse, traduction —, l’usage relève en général du risque minimal : pas d’obligation spécifique, en dehors des mesures de littératie IA de l’article 4, qui valent pour tous les usages.
Si l’outil sert à trier des candidatures ou à évaluer des salariés, l’usage entre dans un domaine de l’annexe III, point 4, en principe à haut risque sauf exceptions de l’article 6, paragraphe 3, avec un régime complet à partir du 2 décembre 2027 — et les exigences du RGPD dès aujourd’hui. Voyez Trier des candidatures avec l’IA : est-ce autorisé ?
Si vous publiez des textes générés pour informer le public sur des sujets d’intérêt général sans relecture ni responsabilité éditoriale humaine, une mention s’impose depuis le 2 août 2026 (article 50). Un article relu et assumé par vous n’est pas concerné.
Une règle interne en six lignes
La CNIL recommande de fixer les usages autorisés et interdits. Voici une base à adapter :
Outil autorisé : [nom de l’outil], offre entreprise uniquement.
Interdit d’y saisir : données personnelles de clients, de candidats ou de salariés, données de santé, tarifs, contrats, code source.
Tout document envoyé à l’extérieur est relu et vérifié par son auteur.
Recrutement, évaluation ou décision concernant une personne : accord préalable de [responsable].
Question ou doute : [contact], sans risque de sanction.
Règle revue le [date].
Si vous voulez pouvoir sanctionner un manquement, cette règle doit suivre la procédure du règlement intérieur. Tout est expliqué dans Politique d’usage de l’IA en entreprise : modèle et guide.
Et si vos salariés utilisent déjà la version gratuite ?
C’est le cas dans la plupart des entreprises. La bonne réaction tient en quatre gestes :
Ne sanctionnez pas rétroactivement un usage qu’aucune règle n’interdisait.
Recensez les usages, service par service, sans esprit de reproche.
Proposez une solution encadrée — une offre professionnelle — plutôt qu’une interdiction pure, qui pousse à l’usage caché.
Écrivez la règle et formez, en gardant une trace datée.
Pour le recensement, suivez la méthode de notre article Registre des systèmes d’IA : modèle et mode d’emploi.
Le modèle de politique d’usage — gratuit
Les neuf clauses d’une politique d’usage de l’IA, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Gratuit. Une adresse email suffit pour le recevoir.
Le kit de conformité — 199 €
Vous déclarez vos outils et leurs usages, et vous choisissez vous-même la catégorie de risque de chaque usage à l’aide d’un rappel des règles. Le kit met en forme, à partir de modèles, votre politique d’usage de l’IA — outils autorisés, données interdites, relecture —, votre registre des systèmes d’IA, votre journal des usages sensibles et une note d’information au personnel.
Pas encore prêt ? Faites l’auto-diagnostic en 3 minutes ou commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.
La newsletter. Un numéro tous les quinze jours : une question de conformité IA traitée avec les textes applicables et leurs dates, chaque affirmation sourcée. Gratuite, sans publicité. Lire le premier numéro — « Le premier risque de l’IA en entreprise n’est pas européen ».
À lire ensuite
Sources
Règlement (UE) 2016/679 (RGPD), articles 13, 28, 30 et 35 ; règlement (UE) 2024/1689, articles 4, 50 et annexe III, modifié par le règlement (UE) 2026/1744
CNIL — Questions-réponses sur l’utilisation d’un système d’IA générative (juillet 2024)
OpenAI — Désactiver l’entraînement des modèles sur vos conversations
Rédigé par Adrien Bano, fondateur d’IA en Règle. Nous ne sommes pas avocats : cet article a été préparé avec l’aide d’outils d’IA et vérifié sur les textes officiels cités.
Cet article présente l’état du droit et des offres à la date indiquée. Il ne constitue pas un conseil juridique et ne se substitue pas à l’analyse d’un conseil pour une situation particulière.
