RGPD et IA
Peut-on utiliser ChatGPT avec des données clients dans une PME ?
Pas avec ChatGPT gratuit ou Plus tel quel : OpenAI peut utiliser ces conversations pour entraîner ses modèles, sauf si l'utilisateur le désactive, et ces offres grand public ne s'accompagnent pas d'un contrat de sous-traitance. Avec ChatGPT Business ou Enterprise, les données ne servent pas à l'entraînement par défaut et OpenAI peut signer un DPA ; il reste à définir les usages autorisés, à informer vos clients et à encadrer les transferts hors de l'Union européenne, comme le recommande la CNIL.
En bref
- ChatGPT gratuit et Plus : entraînement possible par défaut (désactivable), pas de contrat de sous-traitance. À réserver aux contenus sans données personnelles ni confidentielles.
- ChatGPT Business et Enterprise : pas d'entraînement par défaut, DPA possible.
- Stockage des données en Europe : proposé aux clients éligibles d'Enterprise, Edu, Healthcare et de l'API, pas à Business.
- La CNIL recommande une liste d'usages autorisés et interdits, un contrat avec le fournisseur, une analyse d'impact et la formation des utilisateurs.
Tout dépend de l'offre utilisée
Pour ses services destinés aux particuliers, OpenAI indique pouvoir utiliser le contenu des conversations pour entraîner ses modèles, sauf si l'utilisateur s'y oppose dans les paramètres de contrôle des données.
Pour ChatGPT Business, Enterprise, Edu et l'API, OpenAI indique ne pas utiliser par défaut les requêtes et les réponses pour entraîner ses modèles, et peut signer un avenant de traitement des données (DPA). Les clients éligibles d'Enterprise, Edu, ChatGPT for Healthcare et de l'API peuvent stocker leurs données au repos en Europe ; Business n'est pas cité dans cette liste.
Ce que demande le RGPD à la PME
Dès que vous saisissez des données personnelles de clients (nom, situation, échanges), votre PME est responsable de ce traitement. Il faut une finalité précise, une base légale, une information des clients (articles 13 et 14), un contrat de sous-traitance avec le fournisseur (article 28) et des garanties pour tout transfert hors de l'Union européenne, OpenAI étant une société américaine.
Le réflexe le plus efficace reste la minimisation : remplacer les noms par des initiales, retirer les coordonnées, ne jamais saisir de données de santé, de données bancaires ni d'identifiants.
Ce que recommande la CNIL
Dans ses questions-réponses du 18 juillet 2024 sur l'utilisation d'un système d'IA générative, la CNIL recommande de partir d'un besoin concret, de fixer une liste d'usages autorisés et interdits (par exemple, ne pas fournir de données personnelles au système), d'encadrer le recours à un fournisseur externe par un contrat de sous-traitance et de réaliser une analyse d'impact (AIPD).
Pour les données sensibles, elle estime que les solutions déployées sur site sont généralement plus adaptées. Elle recommande aussi d'associer le DPO et de former les utilisateurs au fonctionnement et aux limites de l'outil. Depuis le 2 février 2025, le règlement européen sur l'IA demande d'ailleurs aux organisations qui utilisent des systèmes d'IA de veiller à la maîtrise de l'IA de leur personnel (article 4).
Au-delà du RGPD : secret professionnel et confidentialité
Avocats, experts-comptables, professionnels de santé, conseillers en gestion de patrimoine : certains métiers sont tenus au secret professionnel, et beaucoup de PME ont signé des clauses de confidentialité avec leurs clients. Verser ces informations dans un outil externe doit être compatible avec ces engagements, quelle que soit l'offre choisie.
Une charte simple en 5 règles
1. Uniquement des comptes professionnels, jamais de compte personnel pour des données de l'entreprise.
2. Jamais de données de santé, bancaires, d'identifiants ni de mots de passe.
3. Anonymiser avant de saisir : initiales, montants arrondis, pas de coordonnées.
4. Pour traiter des données de clients, une offre professionnelle avec contrat de sous-traitance, et de préférence un hébergement dans l'Union européenne.
5. Relire et vérifier chaque réponse avant de l'envoyer à un client.
Le cas des réunions et rendez-vous clients
Les données les plus sensibles d'une PME passent souvent par l'oral. Coller la transcription d'un rendez-vous client dans un chatbot généraliste revient à y verser tout l'échange. Un outil dédié aux comptes rendus évite ce détour : Gilbert est édité en France, hébergé chez OVHcloud sur une instance qualifiée SecNumCloud et certifiée HDS, traite les réunions avec des modèles open-weight exécutés chez OVHcloud, supprime l'audio après traitement et signe un DPA.
ChatGPT : ce qui change selon l'offre
| Offre | Entraînement sur vos contenus | Contrat de sous-traitance (DPA) | Stockage des données en Europe |
|---|---|---|---|
| ChatGPT gratuit et Plus | Possible par défaut, désactivable dans les paramètres | Non, service destiné aux particuliers | Non proposé |
| ChatGPT Business | Non par défaut | Oui | Non cité parmi les offres éligibles |
| ChatGPT Enterprise | Non par défaut | Oui | Oui, pour les clients éligibles |
| API OpenAI | Non par défaut | Oui | Oui, pour les clients éligibles |
Source : pages « Confidentialité des données des entreprises » et « Comment vos données sont utilisées » d'OpenAI, consultées le 26 septembre 2026.
Questions fréquentes
Peut-on utiliser ChatGPT avec des données clients dans une PME ?
Pas avec la version gratuite ou Plus telle quelle. Avec ChatGPT Business ou Enterprise, les données ne servent pas à l'entraînement par défaut et un DPA peut être signé ; il faut encore définir les usages autorisés, informer les clients et encadrer les transferts hors UE.
ChatGPT est-il conforme au RGPD ?
La question se pose offre par offre et usage par usage : c'est votre organisation, responsable du traitement, qui doit pouvoir justifier son usage. Les offres professionnelles d'OpenAI apportent un DPA et l'absence d'entraînement par défaut ; il vous revient de fixer les usages, d'informer les personnes et d'évaluer les transferts.
Comment désactiver l'entraînement dans ChatGPT ?
Dans les paramètres, section « Contrôle des données », désactivez l'option d'amélioration du modèle pour tout le monde. Cela ne transforme pas pour autant un compte personnel en outil adapté aux données de clients.
Quelle alternative à ChatGPT pour les réunions confidentielles d'une PME ?
Un outil spécialisé, hébergé en France, qui n'envoie pas vos échanges à un modèle américain. Gilbert rédige les comptes rendus de réunions et de rendez-vous clients, hébergé chez OVHcloud sur une instance qualifiée SecNumCloud et certifiée HDS, avec 2 h gratuites par mois.
Faut-il une analyse d'impact (AIPD) pour utiliser une IA générative ?
La CNIL la recommande dans ses questions-réponses de juillet 2024 sur l'utilisation d'un système d'IA générative, en associant le DPO lorsqu'il y en a un.
Sources
Pages consultées le 26 septembre 2026. Les éditeurs peuvent modifier leurs conditions : vérifiez-les avant tout choix.
- OpenAI : confidentialité, sécurité et conformité des données des entreprises
- OpenAI : comment vos données sont utilisées pour améliorer les modèles
- CNIL : questions-réponses sur l'utilisation d'un système d'IA générative (18 juillet 2024)
- RGPD, articles 13 et 14 (CNIL)
- Règlement (UE) 2024/1689 sur l'intelligence artificielle (EUR-Lex)
- Gilbert : centre de confiance
- Gilbert : politique de confidentialité (localisation, conservation, entraînement, DPA)
- DINUM : panorama des solutions IA sur étagère (ligne Lexia France, Gilbert)
Aller plus loin
Gilbert : hébergé en France chez OVHcloud, sur une instance qualifiée SecNumCloud et certifiée HDS. 2 h gratuites par mois, sans carte bancaire.
Tester Gilbert gratuitement