- Coller un nom, un e-mail ou un dossier client dans un assistant IA est un traitement de données personnelles au sens du RGPD.
- Par défaut, les comptes gratuits et personnels de ChatGPT et de Mistral servent à entraîner les modèles, sauf si vous le désactivez ; chez Claude, c'est un choix demandé à l'utilisateur. Les offres professionnelles et les API ne le font pas par défaut.
- Six règles suffisent pour l'essentiel : pas de données identifiantes sans nécessité, offre professionnelle avec contrat (article 28), réglages vérifiés, registre à jour, clients informés, charte d'équipe.
- AI Act : pour une TPE qui utilise ces outils, l'obligation concrète est de former et sensibiliser son équipe (article 4). Les obligations des systèmes « à haut risque » ont été reportées à décembre 2027.
- L'IA ne décide jamais seule sur un client, ne remplace pas un avis juridique et ne reçoit pas de données de santé.
Ce guide donne des repères généraux, vérifiés le 23 octobre 2026. Ce n'est pas un avis juridique : il ne remplace pas l'avis d'un juriste ou de votre délégué à la protection des données (DPO) sur votre situation.
Coller un e-mail client dans ChatGPT, est-ce un traitement de données ?
Oui. Le RGPD (règlement (UE) 2016/679, article 4) appelle « traitement » toute opération sur des données personnelles : les collecter, les consulter, les transmettre, les conserver. Une donnée personnelle, c'est toute information qui se rapporte à une personne identifiée ou identifiable : un nom, une adresse e-mail, un numéro de téléphone, mais aussi un dossier où l'on reconnaît quelqu'un sans que son nom apparaisse.
Quand un salarié copie l'e-mail d'un client dans un assistant IA pour préparer une réponse, l'entreprise transmet donc des données personnelles à un prestataire. C'est vous, l'entreprise, qui en êtes responsable, même si le salarié l'a fait de sa propre initiative. Cela ne veut pas dire que c'est interdit. Cela veut dire que les questions habituelles du RGPD s'appliquent : pourquoi ces données, est-ce nécessaire, chez qui partent-elles, combien de temps restent-elles, que deviennent-elles.
La CNIL a publié en juillet 2024 ses premières recommandations pour les organismes qui déploient une IA générative (« Comment déployer une IA générative ? »). Elles se résument en quelques principes très applicables à une petite entreprise : partir d'un besoin concret, encadrer les usages (avec une liste de ce qui est autorisé et interdit, par exemple ne pas fournir de données personnelles à l'outil ou ne pas lui confier de décision), connaître les limites de l'outil, choisir un mode de déploiement sécurisé en vérifiant si le fournisseur réutilise les données, et former les utilisateurs.
Versions gratuites, payantes, entreprise : qu'est-ce qui change pour vos données ?
Trois questions comptent : vos échanges servent-ils à entraîner les modèles de l'éditeur, combien de temps sont-ils conservés, et où sont-ils traités. Les réponses dépendent moins de la marque que de l'offre souscrite. Voici ce qu'annoncent les éditeurs dans leurs pages officielles, consultées le 23 octobre 2026. Ces conditions changent souvent : relisez-les avant de choisir.
| Outil | Comptes gratuits ou personnels | Offres professionnelles et API |
|---|---|---|
| ChatGPT (OpenAI) | Échanges utilisés pour l'entraînement par défaut (Free, Plus, Pro), désactivable dans Paramètres > Contrôle des données (« Améliorer le modèle pour tous »). | ChatGPT Business (ex-Team), Enterprise, Edu et API : pas d'entraînement par défaut. Hébergement des données en Europe proposé pour Enterprise, Edu et l'API. |
| Claude (Anthropic) | Depuis la mise à jour des conditions grand public de 2025, l'utilisateur choisit s'il autorise l'utilisation de ses conversations pour améliorer Claude (Free, Pro, Max). | Claude for Work (Team, Enterprise) et API : régies par les conditions commerciales, hors de ce dispositif. |
| Copilot (Microsoft) | L'application Copilot grand public a ses propres réglages de confidentialité, à vérifier. | Microsoft 365 Copilot Chat avec un compte professionnel (Entra ID) : « protection des données d'entreprise », les invites et réponses ne servent pas à entraîner les modèles de fondation. |
| Mistral AI | Données utilisées pour l'entraînement par défaut sur les offres grand public, désactivable dans les réglages. | Clients entreprise exclus de l'entraînement par défaut. Entreprise française, ce qui simplifie la question des transferts hors de l'Union européenne. |
Deux détails souvent ignorés : chez plusieurs éditeurs, un pouce levé ou baissé envoyé sur une réponse autorise l'utilisation de la conversation concernée pour améliorer les modèles, même si l'entraînement est désactivé ; et désactiver l'entraînement ne supprime pas la conservation des échanges, qui reste régie par la politique de l'éditeur.
Au-delà de l'entraînement, ce qui distingue vraiment une offre professionnelle, c'est le contrat : un accord de traitement des données (souvent appelé DPA) par lequel l'éditeur agit comme votre sous-traitant au sens de l'article 28 du RGPD, ne traite vos données que sur vos instructions et s'engage sur la sécurité. Avec un compte personnel gratuit, vous n'avez en général pas ce contrat à votre nom. C'est le premier critère à vérifier, avant le prix.
Même logique pour les outils d'automatisation qui appellent une IA en coulisses (Make, n8n, Zapier) : le lieu d'hébergement et le contrat comptent autant que pour l'assistant lui-même. Le comparatif Make, Zapier et n8n détaille les options d'hébergement en Europe.
Quelles règles appliquer ? Les six règles pratiques
1. Pas de données identifiantes sans nécessité
Pour reformuler un e-mail, résumer une réunion ou rédiger un devis type, l'IA n'a pas besoin de savoir qui est le client. Remplacez les noms par « Client A », retirez adresses, téléphones et numéros de dossier. C'est le principe de minimisation du RGPD, et c'est la mesure qui protège le plus pour le moins d'effort. Ne collez jamais, quel que soit l'outil sans validation préalable :
- des données de santé, d'opinions, d'appartenance syndicale ou toute autre donnée « sensible » au sens de l'article 9 du RGPD ;
- des numéros de sécurité sociale, des coordonnées bancaires, des pièces d'identité ;
- des bulletins de paie, des évaluations ou des arrêts maladie de salariés ;
- des mots de passe, des accès, des informations couvertes par un secret professionnel ou un accord de confidentialité ;
- un fichier clients complet « pour voir ce que l'IA en tire ».
2. Une offre professionnelle, avec un contrat
Dès que des données de l'entreprise ou des clients passent dans l'outil, utilisez une offre professionnelle ou une API dont le contrat exclut l'entraînement et prévoit un accord de traitement des données (article 28). Privilégiez un traitement dans l'Union européenne quand l'offre le permet. Si les données partent aux États-Unis, le transfert doit reposer sur une garantie reconnue (le cadre de protection des données UE–États-Unis, auquel l'éditeur déclare adhérer, ou des clauses contractuelles types).
3. Des réglages vérifiés, compte par compte
Un compte professionnel mal paramétré ou un compte personnel utilisé « juste pour dépanner » suffit à annuler le reste. Vérifiez sur chaque compte : entraînement désactivé, historique et durée de conservation, connecteurs activés (accès à la messagerie, aux documents partagés), partage de conversations par lien. Une personne de l'équipe est chargée de refaire ce contrôle quand l'éditeur change ses conditions.
4. Le registre des traitements à jour
Une entreprise de moins de 250 salariés doit inscrire à son registre au moins ses traitements non occasionnels, comme la gestion des clients ou de la paie : la CNIL précise que la dérogation pour les petites structures ne joue que dans des cas très rares, et propose un modèle de registre simplifié. Si l'IA intervient dans un de ces traitements (réponses aux clients, rédaction des devis), ajoutez l'éditeur comme destinataire ou sous-traitant, avec le lieu de traitement et la durée de conservation.
5. Des clients et des salariés informés
Votre politique de confidentialité doit indiquer les destinataires des données, y compris vos sous-traitants. Si un outil d'IA traite des données de vos clients pour votre compte, il doit y figurer. Pour l'équipe, la charte d'usage (voir plus bas) tient lieu d'information : chacun sait ce qui est permis, ce qui ne l'est pas et pourquoi. Si votre entreprise a un comité social et économique, son information ou sa consultation peut être nécessaire avant d'introduire un nouvel outil : c'est un point à voir avec votre conseil.
6. Une charte d'équipe, courte et connue
Une page suffit. L'essentiel est qu'elle soit lue, expliquée et appliquée, pas qu'elle soit longue. Un modèle est proposé plus bas.
Si aucune offre du marché ne vous convient pour un usage précis (par exemple préparer des réponses aux clients sans que leurs noms quittent votre système), un petit outil interne peut retirer les données identifiantes avant d'appeler une IA par API, sans entraînement, hébergée en Europe quand c'est possible, et garder une trace de ce qui a été envoyé. Je ne vous vends pas un logiciel tout fait : je construis celui qu'il vous faut, à partir de 1 500 €, prix fixe annoncé par écrit. Voir la page logiciel sur mesure et les tarifs.
Et le règlement européen sur l'IA (AI Act) ?
Le règlement (UE) 2024/1689, dit AI Act, est entré en vigueur le 1er août 2024 et s'applique par étapes. Pour une TPE qui utilise ChatGPT ou Copilot (le texte parle de « déployeur »), la plupart des obligations lourdes ne la concernent pas : elles visent les fournisseurs de modèles et les systèmes « à haut risque » (recrutement, éducation, crédit, biométrie…). Le calendrier, tel que l'indique la Commission européenne au 23 octobre 2026 :
| Date | Ce qui s'applique | Ce que ça change pour une TPE utilisatrice |
|---|---|---|
| 2 février 2025 | Pratiques interdites et maîtrise de l'IA (article 4) | Former et sensibiliser les personnes qui utilisent l'IA dans l'entreprise. |
| 2 août 2025 | Obligations des fournisseurs de modèles d'IA à usage général | Concerne OpenAI, Anthropic, Mistral, Microsoft, pas vous. |
| 2 août 2026 | Application générale, dont les règles de transparence | Si vous installez un chatbot, les personnes doivent savoir qu'elles échangent avec une IA. |
| 2 décembre 2027 | Systèmes à haut risque de l'annexe III (date reportée, initialement 2 août 2026) | À regarder seulement si vous utilisez l'IA pour trier des candidatures, évaluer des salariés ou des élèves, accorder un crédit. |
| 2 août 2028 | Systèmes à haut risque intégrés à des produits réglementés (annexe I) | Concerne surtout les fabricants. |
Le report des obligations « haut risque » vient de l'omnibus numérique sur l'IA, le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026. Ce même texte a réécrit l'article 4 : les entreprises doivent prendre des mesures pour favoriser la maîtrise de l'IA par leur personnel, sans avoir à garantir un niveau précis pour chaque personne. Concrètement, pour une TPE : une sensibilisation ou une formation adaptée aux outils réellement utilisés, et une trace écrite (date, contenu, participants). Pour le chatbot d'un site, l'article chatbot IA en entreprise détaille les précautions de confidentialité à prévoir.
Ma formation IA travaille sur les cas réels de votre équipe, avec un temps dédié au cadre : confidentialité, RGPD, vérification des réponses et charte d'usage. Chacun repart avec des usages testés sur son propre travail. 890 € la journée, jusqu'à 8 personnes ; on regarde ensemble les financements possibles. La méthode est détaillée dans l'article former son équipe à l'IA générative.
À quoi ressemble une charte d'usage de l'IA en une page ?
Voici un modèle à adapter. Il est volontairement court : une charte de dix pages ne sera pas lue.
Charte d'usage de l'IA générative — [nom de l'entreprise] — version du [date]
Outils autorisés. [Nom de l'offre professionnelle], avec le compte fourni par l'entreprise. Aucun compte personnel pour un usage professionnel.
Usages encouragés. Reformuler, résumer, traduire, préparer un premier jet de courrier, de devis type ou de publication, chercher une idée, expliquer une notion.
Jamais dans l'outil. Données de santé, données bancaires, numéros de sécurité sociale, pièces d'identité, informations sur les salariés, mots de passe, documents confidentiels de clients. Les noms de clients sont remplacés par « Client A ».
Toujours relire. L'IA peut se tromper avec assurance. Chiffres, dates, références juridiques et noms sont vérifiés avant tout envoi. Celui qui envoie est responsable du contenu.
Jamais seule. L'IA ne prend aucune décision qui concerne un client ou un salarié (refus, tarif, sanction, recrutement).
En cas de doute ou d'erreur. On demande avant, et on signale tout de suite à [nom] une donnée envoyée par erreur.
Référent. [Nom], qui tient la liste des outils, vérifie les réglages et met à jour cette charte.
La charte gagne à être présentée en équipe, avec des exemples tirés de votre activité : c'est ce qui fait la différence entre une règle comprise et une règle signée puis oubliée.
Qu'est-ce que l'IA ne doit pas faire seule ?
- Décider sur une personne. Accepter ou refuser un client, fixer un tarif individuel, trier des candidatures, évaluer un salarié : l'IA peut préparer, un humain décide. Le RGPD (article 22) encadre strictement les décisions entièrement automatisées qui produisent des effets importants sur une personne.
- Répondre sur le droit, la fiscalité ou la santé. Elle produit des réponses plausibles, parfois fausses, sans le dire. Elle aide à préparer une question pour un professionnel, pas à s'en passer.
- Traiter des données de santé ou d'autres données sensibles, sauf cadre spécifique validé (hébergement, contrat, analyse d'impact).
- Envoyer quoi que ce soit sans relecture : un e-mail, un devis, une publication.
Les professions soumises à un secret professionnel ont des contraintes supplémentaires. L'article ChatGPT et IA en cabinet comptable détaille les précautions pour un cabinet, et la page automatisation pour les avocats les usages compatibles avec le secret.
Questions fréquentes
Ai-je le droit d'utiliser ChatGPT avec des données de mes clients ?
Ce n'est pas interdit, mais c'est un traitement de données personnelles soumis au RGPD. Il faut que ce soit nécessaire, passer par une offre professionnelle qui n'entraîne pas ses modèles sur vos échanges et qui signe un accord de traitement des données (article 28), l'inscrire au registre et informer vos clients dans votre politique de confidentialité. Dans la plupart des cas, retirer les noms et coordonnées avant de coller le texte suffit à éviter la question.
Mistral est-il plus conforme parce qu'il est français ?
Pas automatiquement. Une entreprise européenne qui traite les données dans l'Union européenne simplifie la question des transferts hors UE, c'est un vrai avantage. Mais l'offre grand public de Mistral utilise aussi les échanges pour l'entraînement par défaut. Ce qui compte, c'est l'offre souscrite, le contrat, les réglages et ce que vous y mettez, quelle que soit la nationalité de l'éditeur.
Faut-il prévenir ses clients qu'on utilise l'IA ?
Si l'outil traite leurs données personnelles, oui : votre politique de confidentialité doit mentionner les destinataires et sous-traitants, et les transferts hors UE le cas échéant. Si vous utilisez l'IA sans données identifiantes (rédiger un modèle, reformuler un texte anonymisé), le RGPD n'impose rien de particulier. Pour un chatbot, l'AI Act prévoit que les personnes sachent qu'elles échangent avec une IA.
Une TPE doit-elle désigner un DPO pour utiliser l'IA ?
En général non. L'article 37 du RGPD impose un délégué à la protection des données aux organismes publics et aux entreprises dont l'activité principale consiste à suivre des personnes à grande échelle ou à traiter à grande échelle des données sensibles. Utiliser un assistant IA ne change pas cela. En revanche, quelqu'un doit être référent sur le sujet dans l'entreprise.
Que risque-t-on en cas de manquement ?
Le RGPD (article 83) prévoit des amendes plafonnées à 20 millions d'euros ou 4 % du chiffre d'affaires mondial pour les manquements les plus graves, et la CNIL peut aussi prononcer des mises en demeure. Pour une TPE, le risque le plus probable est ailleurs : une donnée client qui fuit, un client qui l'apprend, une confiance perdue. Une charte et une offre professionnelle coûtent bien moins cher.
Sources : règlement (UE) 2016/679 (RGPD), articles 4, 9, 22, 28, 30, 37 et 83 ; CNIL, « Comment déployer une IA générative ? La CNIL apporte de premières précisions », 18 juillet 2024 ; CNIL, « RGPD : le registre des activités de traitement » ; Commission européenne, page « Regulatory framework for AI » (calendrier d'application) ; règlement (UE) 2024/1689 (AI Act), article 4, modifié par le règlement (UE) 2026/1744 ; OpenAI, centre d'aide « How your data is used to improve model performance » et annonce « Introducing data residency in Europe » ; Anthropic, « Updates to our consumer terms » ; Microsoft Learn, « Enterprise data protection in Microsoft 365 Copilot and Microsoft 365 Copilot Chat » ; Mistral AI, centre d'aide sur l'utilisation des données pour l'entraînement. Pages consultées le 23 octobre 2026.