Données clients collées dans ChatGPT : que faire en 72 h
Violation de données ou simple incident ? Comment le savoir, quoi faire heure par heure, et ce que la loi n’exige pas.
À jour au 17 septembre 2026 — AI Act & PME
Un salarié a collé un fichier ou un échange client dans ChatGPT : ce n’est pas automatiquement une notification à la CNIL, mais cela ne doit pas être ignoré. Par prudence, traitez-le comme une violation de données possible : documentez l’incident, évaluez le risque pour les personnes et, si ce risque existe, notifiez la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Voici comment trancher, et dans quel ordre agir.
Check-list gratuite. Faites le point en 15 minutes sur les 10 points AI Act et RGPD à vérifier dans votre PME. Ouvrir la check-list →
Est-ce une violation de données au sens du RGPD ?
Le RGPD définit la violation de données à caractère personnel comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, notamment « la divulgation non autorisée » de données personnelles (article 4, point 12). La perte de confidentialité en fait partie, au même titre que la perte ou la destruction.
Or l’article 32 impose de veiller à ce que toute personne agissant sous votre autorité ne traite les données qu’« sur instruction » de l’entreprise. Un salarié qui transmet des données clients à un service externe non autorisé sort de ce cadre. Le texte ne vise pas ce cas précis, mais la lecture prudente est de le traiter comme une violation de confidentialité potentielle, puis d’en mesurer la gravité.
Qualifier l’événement de violation ne veut pas dire qu’il faut notifier : tout dépend du risque.
Ce qui change tout : l’offre utilisée
Le degré de gravité dépend beaucoup des conditions du service. Voici ce qu’affichent les pages d’OpenAI consultées le 17 septembre 2026 — elles évoluent régulièrement, vérifiez-les à la date de votre incident.
Offres ChatGPT pour les particuliers (par exemple gratuite, Plus ou Pro). OpenAI indique pouvoir utiliser le contenu des conversations pour entraîner ses modèles, sauf si l’utilisateur désactive « Improve the model for everyone » dans les contrôles des données. Cette désactivation vaut pour les nouvelles conversations. Sa politique de confidentialité pour l’Europe précise qu’OpenAI collecte les données personnelles fournies dans les prompts et fichiers.
Offres Business, Enterprise et API. OpenAI indique ne pas entraîner ses modèles sur ces données par défaut, et propose un accord de traitement des données (DPA) pour ces offres.
Suppression (offres pour particuliers). Une conversation supprimée disparaît aussitôt de l’historique et est programmée pour une suppression définitive des systèmes d’OpenAI dans les 30 jours, sauf si elle a déjà été dé-identifiée ou si OpenAI doit la conserver pour des obligations de sécurité ou légales.
Un compte Business de l’entreprise ne crée donc pas la même situation qu’un compte gratuit personnel. Si le salarié a utilisé un outil autorisé par l’entreprise, couvert par un accord de traitement des données signé et dans le respect de la règle interne, il ne s’agit pas forcément d’une violation de données ; si l’outil n’était pas autorisé, la lecture prudente décrite plus haut s’applique.
Le document est gratuit. Vous n’avez pas à le rédiger. Le modèle de politique d’usage de l’IA reprend les neuf clauses d’une politique d’usage, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Essayer le modèle — remplir et voir le document →
ou recevoir le modèle complet, gratuitement
Gratuit. Une adresse email suffit pour le recevoir.
Ce que disent les articles 33 et 34 du RGPD
La notification à la CNIL (article 33)
Le délai. Le responsable du traitement notifie « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance », sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Au-delà de 72 heures, il faut expliquer le retard.
Le point de départ. Pour le comité européen de la protection des données (CEPD, qui réunit les autorités de protection des données européennes, dont la CNIL), vous avez « pris connaissance » quand vous avez un degré raisonnable de certitude qu’un incident a compromis des données personnelles. Une courte vérification préalable est admise, mais elle doit commencer tout de suite.
Le contenu. La nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements, un contact, les conséquences probables et les mesures prises.
L’échelonnement. Si vous n’avez pas tout, vous pouvez transmettre les informations « de manière échelonnée ». La CNIL parle d’une notification initiale puis complémentaire.
La documentation. Le responsable du traitement « documente toute violation », notifiée ou non : faits, effets, mesures prises (article 33, paragraphe 5).
L’information des personnes (article 34)
Les clients concernés ne doivent être informés que si la violation est susceptible d’engendrer un risque élevé pour eux. Même dans ce cas, l’information n’est pas nécessaire si les données étaient rendues incompréhensibles (chiffrement, par exemple), si des mesures ultérieures garantissent que le risque élevé ne peut plus se matérialiser, ou si elle exigerait des efforts disproportionnés — une communication publique ou une mesure similaire la remplace alors.
Si les données vous ont été confiées par un client professionnel
Si vous traitez ces données pour le compte d’un client (vous êtes alors son sous-traitant), ce n’est pas à vous de notifier la CNIL : vous devez prévenir votre client « dans les meilleurs délais » (article 33, paragraphe 2), puis l’aider à évaluer la situation. Relisez aussi votre contrat : il peut prévoir un délai de signalement précis.
Évaluer le risque : les bonnes questions
Le CEPD recommande d’examiner la probabilité et la gravité des conséquences pour les personnes, à partir de critères concrets :
Quelles données ? Un nom et une adresse électronique pèsent moins lourd que des données bancaires, une pièce d’identité ou des données de santé. Ces dernières font partie des catégories particulières de l’article 9 du RGPD.
Combien ? Trois lignes pour rédiger une relance ne sont pas un export de 2 000 fiches. Mais une seule donnée très sensible peut suffire à créer un risque.
Les personnes sont-elles identifiables ? Directement, ou en croisant les informations.
Quelle offre, quels réglages ? Entraînement activé ou non, contrat signé ou non, conversation supprimée ou non.
Quelles conséquences possibles ? Fraude, usurpation d’identité, atteinte à la réputation, détresse. Les personnes vulnérables appellent plus de prudence.
Un exemple du CEPD (lignes directrices 01/2021, cas n° 09) éclaire le raisonnement, avec prudence : un agent d’assurance reçoit un fichier mal paramétré qui lui donne accès aux données d’une vingtaine de clients. Il est tenu au secret professionnel, signale aussitôt l’erreur et confirme par écrit avoir supprimé le fichier. Conclusion du CEPD : pas de risque, donc documentation interne seulement. Attention : ces garanties (destinataire unique tenu au secret, suppression confirmée par écrit) manquent généralement avec un compte ChatGPT personnel, où la suppression intervient dans les 30 jours et où l’entraînement peut être activé. La comparaison vaut surtout avec une offre professionnelle encadrée par contrat. Et en cas d’hésitation, le CEPD comme la CNIL disent la même chose : dans le doute, notifiez.
Le plan d’action, heure par heure
Heure 0 : le signalement
Remerciez la personne qui signale, qu’il s’agisse du salarié lui-même ou d’un collègue.
Notez l’heure à laquelle l’entreprise (y compris un manager) a été informée, et depuis quand l’incident a pu être connu en interne. Par prudence, prenez cette heure comme point de départ des 72 heures.
Prévenez la personne chargée des données : délégué à la protection des données s’il existe, sinon le dirigeant.
Si vous êtes sous-traitant (données confiées par un client professionnel) : prévenez votre client dans les meilleurs délais, sans attendre la fin de votre analyse.
Dans les 24 heures : établir les faits
Reconstituez ce qui a été saisi avec le salarié : quelles données, combien de personnes, quel outil, quel compte, quelle date.
Conservez une trace avant toute suppression : copie ou capture de la conversation, limitée au nécessaire, stockée en accès restreint et conservée pour une durée limitée.
Vérifiez les réglages du compte : entraînement activé ou non, compte personnel ou professionnel.
Limitez l’exposition : supprimez la conversation une fois la trace conservée, révoquez les éventuels liens de partage et ne donnez pas d’avis (pouce levé ou baissé) sur cette conversation. Désactivez aussi l’entraînement pour l’avenir, en sachant qu’OpenAI indique que ce réglage ne vaut que pour les nouvelles conversations. S’il s’agit du compte personnel du salarié, demandez-lui de faire ces manipulations devant vous.
Ouvrez la fiche d’incident (modèle plus bas).
Avant la 72e heure : décider
Évaluez le risque avec les critères ci-dessus : pas de risque, risque, ou risque élevé.
Pas de risque : documentez votre raisonnement et la décision de ne pas notifier.
Risque : notifiez sur le téléservice de la CNIL, quitte à compléter ensuite.
Risque élevé : notifiez la CNIL et informez les clients concernés dans les meilleurs délais, en termes clairs et simples.
Ensuite : éviter la récidive
Complétez la notification si de nouvelles informations apparaissent.
Écrivez ou précisez la règle : outils autorisés et données interdites.
Formez les équipes et clôturez la fiche.
Ce qu’il ne faut pas faire
Supprimer la conversation avant d’avoir noté ce qu’elle contenait.
Attendre la fin de l’enquête pour commencer à compter les 72 heures.
Décider oralement de ne pas notifier, sans trace écrite.
Écrire à tous vos clients dans l’urgence, sans avoir évalué le risque.
Mettre en cause le salarié publiquement ou le sanctionner dans la précipitation.
Les autres obligations à vérifier
Vos contrats clients. Une clause de confidentialité peut imposer de prévenir le client, même si aucune donnée personnelle n’est en jeu. La CNIL recommande de ne jamais partager dans un service grand public des informations confidentielles, qu’il s’agisse de données personnelles ou de données de l’entreprise, en particulier celles couvertes par le secret des affaires.
Les données sensibles. Santé, données bancaires ou pièces d’identité alourdissent nettement l’évaluation du risque.
Le salarié. Une sanction suppose une faute, appréciée au cas par cas. Si aucune règle écrite n’interdisait cet usage, la prudence s’impose. Une note ou une charte qui fixe des obligations générales et permanentes en matière de discipline doit suivre la procédure du règlement intérieur (article L. 1321-5 du Code du travail) : à défaut, la Cour de cassation a jugé qu’on ne pouvait pas reprocher au salarié de ne pas l’avoir respectée (Cass. soc., 9 mai 2012, n° 11-13.687). Une procédure disciplinaire doit en outre être engagée dans un délai limité. En cas de doute, faites-vous conseiller avant toute mesure.
NIS 2. Cette directive européenne sur la cybersécurité ne concerne que les « entités essentielles » et « entités importantes » de certains secteurs, pour les incidents importants touchant leurs services. En France, sa transposition passe par le projet de loi dit « Résilience » : selon l’ANSSI, elle n’entrera en vigueur qu’une fois la loi et ses textes d’application publiés. La plupart des PME ne sont pas concernées ; pour le vérifier, l’ANSSI propose un test sur MonEspaceNIS2.
Cinq idées reçues
« Il faut toujours notifier la CNIL. » Non : seulement si la violation est susceptible d’engendrer un risque. En revanche, il faut toujours documenter.
« Il suffit de supprimer la conversation. » Non : la suppression définitive intervient dans les 30 jours selon OpenAI, avec des exceptions. Supprimer limite l’exposition, mais n’efface pas l’incident.
« On doit prévenir tous les clients. » Non : l’article 34 ne l’exige qu’en cas de risque élevé, et prévoit des exceptions.
« Le salarié est automatiquement fautif. » Non : une éventuelle faute s’apprécie au cas par cas. Et vis-à-vis de la CNIL, c’est l’entreprise, responsable du traitement, qui porte les obligations des articles 33 et 34.
Ce que la loi n’exige pas
Un registre des violations dans un format imposé. Le CEPD laisse le choix de la méthode, pourvu que les éléments clés y figurent. Un registre séparé n’est pas obligatoire, même si le CEPD l’encourage.
Un dossier complet à 72 heures. La notification peut être échelonnée.
Une notification quand il n’y a pas de risque. Une décision motivée et documentée suffit.
Informer les personnes en l’absence de risque élevé.
Modèle : la fiche interne de documentation de l’incident
L’article 33, paragraphe 5, impose de consigner les faits, leurs effets et les mesures prises. Copiez cette fiche et remplissez-la au fil de l’eau.
Référence et rédacteur : n° d’incident, nom, fonction.
Date et heure de l’incident : [à compléter].
Date et heure de prise de connaissance par l’entreprise, et par qui : [à compléter].
Description des faits et causes : outil, type de compte (personnel ou professionnel), réglage d’entraînement, contenu saisi, raison de la saisie (absence de règle, méconnaissance, erreur…).
Données concernées : catégories (identité, coordonnées, bancaires, santé…), nombre approximatif de personnes et d’enregistrements.
Rôle de l’entreprise : responsable du traitement ou sous-traitant (client donneur d’ordre : [nom]).
Conséquences probables pour les personnes : [à compléter].
Niveau de risque retenu : aucun, risque, risque élevé — et pourquoi.
Mesures prises : trace conservée, suppression de la conversation, révocation des liens de partage, désactivation de l’entraînement pour l’avenir, autres (avec dates).
Décision de notification CNIL : oui (date, n° de dossier, point de contact indiqué, motifs du retard si plus de 72 heures) ou non (motifs).
Information des personnes : oui (date, moyen) ou non (motifs, et justificatifs si une exception de l’article 34 est invoquée).
Autres informations : client, assureur, contrats concernés.
Mesures pour éviter la récidive et date de clôture.
Conservez cette fiche avec vos documents RGPD : elle doit permettre à la CNIL de vérifier le respect de l’article 33.
Le modèle de politique d’usage — gratuit
Les neuf clauses d’une politique d’usage de l’IA, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Gratuit. Une adresse email suffit pour le recevoir.
Le kit de conformité — 199 €
Pour limiter le risque que cet incident se reproduise, le kit propose notamment un modèle de politique d’usage de l’IA au texte fixe, que vous complétez, avec une clause sur les données interdites, et un modèle de note d’information au personnel.
Vous renseignez votre raison sociale et la liste de vos outils. Vous choisissez vous-même la catégorie de risque de chaque usage — interdit, haut risque, risque limité, risque minimal, ou « Je ne sais pas encore — à faire vérifier » — à l’aide d’un rappel des règles. Le kit met ensuite en forme votre politique d’usage de l’IA dont les neuf clauses sont complétées avec les informations que vous avez saisies, votre registre des systèmes d’IA, votre journal des usages sensibles et votre note d’information au personnel.
Pas encore prêt ? Faites l’auto-diagnostic en 3 minutes ou commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.
La newsletter. Un numéro tous les quinze jours : une question de conformité IA traitée avec les textes applicables et leurs dates, chaque affirmation sourcée. Gratuite, sans publicité. Lire le premier numéro — « Le premier risque de l’IA en entreprise n’est pas européen ».
À lire ensuite
Sources
CNIL — Questions-réponses sur l’utilisation d’un système d’IA générative (18 juillet 2024)
OpenAI — Supprimer et archiver des conversations (en anglais, consulté le 17 septembre 2026)
OpenAI — Confidentialité des offres entreprise, mise à jour du 8 janvier 2026 (en anglais)
OpenAI — Politique de confidentialité pour l’Europe, mise à jour du 24 août 2026
Rédigé par Adrien Bano, fondateur d’IA en Règle. Nous ne sommes pas avocats : cet article a été préparé avec l’aide d’outils d’IA et vérifié sur les textes officiels cités.
Cet article a un but d’information générale, établi d’après les textes en vigueur au 17 septembre 2026 ; il ne constitue pas un conseil juridique. En cas d’incident réel, rapprochez-vous de votre délégué à la protection des données ou d’un avocat.
