Utiliser ChatGPT au travail sans violer le RGPD : le guide pratique

Vos équipes utilisent déjà ChatGPT pour rédiger des e-mails, résumer des comptes-rendus ou analyser des fichiers — et c'est souvent une bonne chose pour leur productivité. Le problème n'est pas l'outil : c'est ce qu'on y saisit. Dès qu'un nom de client, un CV, un bilan ou un dossier passe dans un prompt, vous traitez des données personnelles, et le RGPD s'applique. Ce guide explique en clair les risques concrets, ce qu'en dit la CNIL, les sanctions encourues — déjà aujourd'hui, sans attendre l'AI Act — et surtout comment encadrer l'usage sans tout interdire.

Une précision d'emblée : le RGPD n'interdit pas ChatGPT. Il encadre le traitement de données personnelles, quel que soit l'outil. Bien utilisé, un assistant d'IA est parfaitement compatible avec vos obligations. Mal utilisé — c'est-à-dire en y collant des données sensibles sans réfléchir — il transforme un gain de temps en risque juridique. Toute la différence se joue sur quelques règles d'usage.

Pourquoi le RGPD entre en jeu dès le premier prompt

Le RGPD s'applique dès qu'il y a un traitement de données personnelles : toute information se rapportant à une personne identifiée ou identifiable. Un nom, un e-mail, un numéro de dossier, un CV, un bilan nominatif, un compte-rendu d'entretien — tout cela est une donnée personnelle. Quand un salarié saisit ces informations dans ChatGPT, votre entreprise effectue un traitement, et elle en est responsable au sens du règlement.

Or ce traitement est risqué pour trois raisons. Les données quittent votre système d'information pour un éditeur tiers ; selon l'offre, ces contenus peuvent être conservés voire réutilisés pour améliorer le service ; et le salarié agit le plus souvent sans validation de la direction — le fameux shadow AI. Le dirigeant reste pourtant juridiquement responsable d'un traitement qu'il ne voit pas.

Les risques RGPD concrets

Quatre points de friction reviennent systématiquement. Les connaître, c'est déjà savoir où agir.

Données personnelles dans les prompts. C'est le risque central. Coller un fichier client, une liste de salariés ou un CV revient à communiquer des données personnelles à un tiers. Si vous n'avez pas informé les personnes concernées de cet usage, ni vérifié que vous en avez le droit, le traitement est irrégulier — indépendamment de toute fuite.

Transfert de données hors UE. Beaucoup d'IA grand public hébergent et traitent les données aux États-Unis. Le RGPD encadre strictement les transferts hors de l'Union européenne, et l'IA générative ne fait pas exception. S'ajoute le CLOUD Act, la loi américaine de 2018 qui permet aux autorités des États-Unis d'exiger l'accès à des données détenues par un fournisseur soumis à leur juridiction, même stockées ailleurs. Pour des données sensibles, ce point est rarement neutre.

Base légale et information. Tout traitement doit reposer sur une base légale (article 6 du RGPD) — par exemple l'intérêt légitime de l'entreprise — et les personnes concernées doivent être informées de l'usage fait de leurs données. Faire analyser des candidatures par une IA sans l'avoir prévu dans votre information aux candidats, c'est un manquement, même si rien ne fuite.

Durée de conservation. Le RGPD impose de ne pas conserver les données plus longtemps que nécessaire. Une fois un contenu envoyé à un service tiers, vous perdez largement la maîtrise de sa durée de vie : vous ne décidez plus seul quand il est supprimé. Ce point est difficile à documenter dans un registre, ce qui complique la démonstration de conformité.

Ce qu'en dit la CNIL

La CNIL, autorité française de protection des données, ne diabolise pas l'IA — elle l'encadre. Elle a publié des recommandations sur le développement et l'usage des systèmes d'IA, ainsi que des fiches pratiques destinées aux organisations, avec une ligne constante : l'IA n'est pas une zone de non-droit, le RGPD continue de s'appliquer pleinement.

Trois messages reviennent dans sa communication. L'IA est compatible avec le RGPD à condition de respecter les principes de base : finalité déterminée, minimisation des données, base légale, information des personnes. La minimisation est essentielle : ne saisir que les données réellement nécessaires à la tâche, et pas un fichier entier « au cas où ». Et la vigilance s'impose sur les outils grand public, dont les conditions d'utilisation et les lieux de traitement ne sont pas toujours alignés avec les exigences européennes.

Pour un dirigeant, la traduction opérationnelle est simple : vous n'avez pas besoin d'interdire l'IA, vous avez besoin de savoir quelles données y transitent et de pouvoir le justifier. C'est exactement ce qu'un encadrement, même léger, permet de démontrer.

Les sanctions RGPD s'appliquent déjà

C'est le point que beaucoup d'entreprises sous-estiment en attendant l'AI Act : le RGPD est en vigueur depuis 2018 et il est pleinement applicable aujourd'hui. Vous n'avez pas à attendre une échéance future pour être exposé.

Les manquements les plus graves exposent à des amendes administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel (le montant le plus élevé étant retenu). Au-delà du chiffre, le risque réel pour une PME est souvent ailleurs : mise en demeure de la CNIL, contrôle, obligation de revoir ses pratiques dans l'urgence, et surtout perte de confiance des clients dont les données ont été exposées. Pour les professions réglementées, s'ajoute le secret professionnel, dont la violation peut entraîner des poursuites disciplinaires.

Autrement dit, l'usage non encadré de ChatGPT au travail est un risque présent, pas un risque à venir. L'AI Act, applicable pour l'essentiel le 2 août 2026, ne fait qu'ajouter une couche d'obligations par-dessus un socle RGPD déjà contraignant — nous détaillons cette échéance dans notre guide AI Act pour les PME.

Encadrer sans interdire : la bonne approche

Interdire l'IA est tentant mais contre-productif : l'usage continue dans l'ombre, hors de tout contrôle, et le risque augmente au lieu de diminuer. L'objectif n'est pas de fermer la porte, mais de canaliser l'usage. Trois leviers, du plus simple au plus structurant.

1. Une charte d'usage de l'IA. C'est la première marche, peu coûteuse et immédiate. Donnez à vos équipes des règles claires : quels outils sont autorisés, quelles catégories de données ne doivent jamais être saisies (données clients nominatives, données de santé, pièces de dossier, informations RH), et quels usages sont proscrits. Une charte transforme un shadow AI subi en usage encadré et documenté.

2. L'anonymisation avant l'envoi. C'est la mesure technique qui réduit le plus le risque : si aucune donnée personnelle ne quitte votre périmètre en clair, l'essentiel de l'exposition RGPD disparaît. Attention toutefois à une illusion courante : le simple remplacement de noms ne suffit pas. Les modèles de langage réinfèrent fréquemment l'identité d'une personne à partir du contexte (fonction, ville, montant, date). Nous expliquons cette limite en détail dans notre comparatif sur l'anonymisation simple.

3. Un outil souverain qui journalise les usages. Pour passer d'une bonne intention à une preuve, il faut un outil qui anonymise systématiquement et garde une trace. C'est le rôle d'un proxy IA souverain comme MASKAI : il s'intercale entre vos équipes et les IA grand public (ChatGPT, Claude, Gemini, Mistral), masque les données sensibles avant qu'elles ne partent — avec des jetons réversibles, pour que la réponse vous revienne en clair — puis journalise chaque usage. Les données sensibles restent en France, et le journal constitue une trace exploitable face à un contrôle. Vous pouvez demander une démo pour voir le fonctionnement, ou consulter notre page de transparence sur l'hébergement et la stack technique.

Par où commencer

Avant de choisir un outil, la première étape utile est de savoir où vous en êtes. Un audit cartographie quels outils d'IA sont utilisés chez vous, par qui, avec quelles données, et identifie vos écarts de conformité — côté RGPD comme côté AI Act. C'est l'objet de notre audit AI Act et RGPD : un accompagnement humain qui vous remet un état des lieux et un plan d'action priorisé, pas un questionnaire généré automatiquement.

Selon votre métier, les obligations se cumulent différemment. Le secret professionnel s'ajoute au RGPD chez les experts-comptables, dont les collaborateurs collent régulièrement des bilans clients dans des assistants, et chez les avocats, où le secret couvre l'intégralité des pièces de dossier et ne s'arrête pas au prompt.

Questions fréquentes

Peut-on utiliser ChatGPT au travail sans enfreindre le RGPD ?

Oui. Le RGPD n'interdit pas ChatGPT : il encadre le traitement de données personnelles. L'usage reste conforme tant que vous ne saisissez pas de données personnelles ou confidentielles en clair, que l'usage repose sur une base légale et que les personnes concernées sont informées. La clé est d'encadrer et d'anonymiser, pas d'interdire.

Coller des données clients dans ChatGPT est-il une violation du RGPD ?

Cela peut en être une. Communiquer des données personnelles à un service tiers sans base légale, sans information des personnes ni encadrement du transfert hors UE constitue un traitement irrégulier, même en l'absence de fuite. Le risque existe dès la saisie. Anonymiser les données avant l'envoi supprime l'essentiel de cette exposition.

Que dit la CNIL sur l'usage de l'IA générative ?

La CNIL considère que l'IA est compatible avec le RGPD à condition de respecter ses principes : finalité, minimisation, base légale, information. Elle a publié des recommandations et des fiches pratiques en ce sens, et appelle à la vigilance sur les outils grand public, dont les lieux de traitement et les conditions ne sont pas toujours alignés avec les exigences européennes.

Faut-il attendre l'AI Act pour se mettre en conformité ?

Non. Le RGPD est applicable depuis 2018 : l'usage non encadré de l'IA est déjà sanctionnable aujourd'hui, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires. L'AI Act, applicable pour l'essentiel le 2 août 2026, ajoute des obligations par-dessus ce socle, mais ne le remplace pas. Agir maintenant couvre les deux.

Comment laisser mes équipes utiliser l'IA sans risquer une sanction ?

En trois étapes : une charte d'usage qui fixe ce qui est permis, l'anonymisation des données avant tout envoi à un modèle, et un outil souverain qui journalise les usages pour en garder la preuve. Vous conservez le gain de productivité de l'IA tout en réduisant l'exposition RGPD et en pouvant le démontrer en cas de contrôle.