IA et RGPD au bureau : ce que vous avez le droit de mettre dans un outil d'IA
La question arrive dans toutes les équipes : « j'ai le droit de mettre ça dans ChatGPT ? ». Voici la réponse en trois couleurs, utilisable telle quelle dans votre règlement interne.
- Feu vert : vos contenus sans données personnelles, les informations publiques, les données réellement anonymisées.
- Feu orange : les données personnelles, uniquement avec un cadre (offre professionnelle avec accord de traitement, base légale, information des personnes).
- Feu rouge : données sensibles, données de tiers sans base légale, secrets d'affaires dans un outil grand public.
- Retirer le nom ne suffit pas : une personne ré-identifiable par recoupement reste une donnée personnelle.
Le RGPD ne dit pas un mot sur ChatGPT, et pourtant il répond très bien à la question que tout le monde se pose. Le raisonnement tient en deux étapes : est-ce qu'il y a des données personnelles dans ce que je m'apprête à envoyer ? Et si oui, l'outil dans lequel je l'envoie offre-t-il un cadre de traitement ? Trois couleurs suffisent à en faire une règle d'équipe.
Feu vert : ce qui peut y aller sans se poser de question
- Vos propres contenus sans données personnelles : un argumentaire à reformuler, une notice produit, un texte de site.
- Les informations publiques factuelles : un texte de loi, une documentation technique, un article public.
- Les données réellement anonymisées : chiffres agrégés, exemples fictifs, gabarits avec des variables ([CLIENT], [MONTANT]) à la place des vraies valeurs.
Feu orange : possible, mais seulement avec un cadre
Dès qu'une personne est identifiable (un nom, un email, mais aussi un poste dans une petite structure, un dossier reconnaissable), c'est une donnée personnelle : le RGPD s'applique, et vous en restez responsable. L'usage devient possible quand trois conditions sont réunies : une offre professionnelle avec un accord de traitement des données (DPA), une base légale pour ce traitement, et des personnes informées de vos usages. C'est exactement la différence entre l'offre grand public et les offres Business, Enterprise ou l'API des grands fournisseurs.
Feu rouge : ce qui n'entre jamais dans un outil grand public
- Les données sensibles : santé, opinions, appartenance syndicale, données biométriques.
- Les données de tiers sans base légale : le CV d'un candidat, le dossier d'un client, la liste des salariés.
- Les secrets d'affaires et documents confidentiels : contrats, marges, code propriétaire, dans un outil sans cadre contractuel.
Le piège du faux anonymat
Retirer le nom ne suffit pas. « Notre directeur commercial à Lyon, en poste depuis mars » est identifiable par recoupement : c'est de la pseudonymisation, pas de l'anonymisation, et le RGPD s'applique toujours. Le test honnête : si un collègue peut deviner de qui il s'agit, la donnée est personnelle. La parade simple : des gabarits à variables, et les vraies valeurs remplies hors de l'outil.
Qui est responsable si un salarié colle quand même ?
L'entreprise, en tant que responsable de traitement : c'est elle qui répond des données de ses clients et de ses salariés, y compris quand la fuite vient d'un usage individuel non encadré. D'où les deux mesures qui comptent : une règle écrite en trois couleurs comme celle-ci, et des équipes formées à l'appliquer. C'est le cœur de la littératie IA que demande l'article 4, et c'est ce que couvre notre formation Données du campus.
Ai-je besoin d'un DPA pour utiliser ChatGPT au travail ?
Dès que des données personnelles transitent par l'outil, oui : le fournisseur agit comme sous-traitant et le RGPD demande un contrat de traitement. Les offres professionnelles et l'API en proposent un ; les offres grand public, non.
Enlever le nom et les initiales suffit-il à anonymiser ?
Non. Si la personne reste identifiable par recoupement (poste, lieu, contexte), c'est une pseudonymisation et le RGPD s'applique. L'anonymisation véritable rend la ré-identification impossible, ce qui est rare sur des cas individuels.
Que risque concrètement l'entreprise ?
La responsabilité classique du RGPD : c'est l'entreprise, responsable de traitement, qui répond d'un traitement sans base légale ou sans cadre, pas le fournisseur d'IA. La CNIL publie des recommandations dédiées à l'IA : les suivre, c'est l'assurance raisonnable.
Un outil hébergé en Europe règle-t-il la question ?
Pas à lui seul. La localisation aide, mais le cadre contractuel (DPA), la base légale et l'information des personnes restent exigés. Et un fournisseur soumis au droit américain reste dans le périmètre du CLOUD Act, où que soient ses serveurs.
- → La formation Données du campus couvre exactement ça : ce qu'on met, ce qu'on ne met jamais, et pourquoi.
- → Premier module gratuit, sans carte bancaire ; parcours AI Act complet 59 € avec attestation vérifiable.