Guide pour les directions, DSI, RSSI et DPO

IA et RGPD : utiliser ChatGPT, Claude ou Copilot sans prendre de risque inutile

Utiliser l'IA générative en entreprise est compatible avec le RGPD si vous prenez une offre professionnelle avec accord de traitement des données (DPA), réglez la rétention et l'entraînement, et décidez quelles données vont dans quel outil. Le RGPD vise moins l'outil que ce que vos équipes y mettent.

Prendre 20 minutes Voir la checklist

01Le cadre

Ce que le RGPD change quand on utilise un outil d'IA

Le RGPD s'applique dès qu'une donnée personnelle passe dans un outil d'IA : un nom, un e-mail, un CV. Il n'interdit pas l'outil, il demande de savoir qui fait quoi de ces données.

Vous restez responsable

Votre entreprise est responsable du traitement. Sur une offre professionnelle, l'éditeur est sous-traitant : un contrat (DPA, article 28 du RGPD) fixe ce qu'il peut faire.

Une base légale par usage

Chaque usage a sa base légale, souvent l'intérêt légitime ou le contrat, et sa ligne au registre des traitements.

Le minimum de données

N'envoyez que ce dont la tâche a besoin. « Client A » à la place d'un nom suffit souvent.

Les transferts hors UE

OpenAI, Anthropic et Microsoft sont américains. Le transfert repose sur le Data Privacy Framework, validé par le Tribunal de l'UE le 3 septembre 2025 (pourvoi pendant), ou sur des clauses contractuelles types.

Les personnes informées

Si des données clients ou salariés passent dans l'outil, votre politique de confidentialité le dit.

02La question

ChatGPT est-il conforme au RGPD ?

Aucun outil n'est « conforme au RGPD » en soi : c'est votre usage qui l'est, ou non. La différence se joue entre offre grand public et offre professionnelle.

  • Offre grand public (ChatGPT Free ou Plus, Claude Free, Pro ou Max) : aucun contrat de sous-traitance, entraînement réglé compte par compte. Chez Anthropic, une conversation versée à l'entraînement peut être conservée jusqu'à 5 ans.
  • Offre professionnelle (ChatGPT Business ou Enterprise, Claude Team ou Enterprise, Microsoft 365 Copilot) : DPA, pas d'entraînement sur vos données par défaut, comptes gérés par l'entreprise.
  • Détail utile : dans Microsoft 365 Copilot, les modèles d'Anthropic sont exclus de l'EU Data Boundary, l'engagement de Microsoft de traiter les données dans l'UE.

Le choix et le réglage des offres Claude Team et Enterprise sont détaillés à part.

Sources consultées le 11 octobre 2026 : OpenAI, Anthropic, Microsoft.

03La grille

Quelles données mettre dans quel outil d'IA ?

Décidez par type de donnée, pas par outil. Voici notre grille de départ, à ajuster avec votre DPO.

DonnéeCompte personnel, offre grand publicOffre professionnelle réglée
Publique : site, plaquette, offre publiéeouioui
Interne : process, notes, brouillonsnonoui
Confidentielle : contrats, chiffres, codenonoui, si votre règle le prévoit
Personnelle : clients, salariés, candidatsnonoui, avec base légale, minimum de données et information
Sensible : santé, opinions, condamnationsnonau cas par cas, après avis du DPO et AIPD

La CNIL va dans le même sens : sur un service grand public, ne jamais partager de données personnelles ni d'informations couvertes par un secret, comme le secret des affaires.

04Le réglage

Les 6 points à vérifier avant d'ouvrir un outil d'IA

Avant d'ouvrir les comptes, votre DSI ou votre RSSI vérifie six réglages, puis à chaque changement d'offre.

Le DPA

Contrat de sous-traitance signé, avec la liste des sous-traitants ultérieurs.

La localisation

Où les données sont stockées et traitées, et sur quelle base elles sortent de l'UE.

L'entraînement

Désactivé pour toute l'organisation, y compris le bouton de retour d'avis, qui peut l'autoriser.

La rétention

Durée de conservation des conversations et fichiers, fixée par l'administrateur quand l'offre le permet.

Les comptes

Connexion par SSO avec l'adresse professionnelle. Aucun compte personnel pour le travail.

Les journaux et connecteurs

Qui lit les journaux d'activité, et à quelles sources l'outil accède : messagerie, drive, CRM.

Avec les agents IA, ce point devient central : un agent lit et agit dans plusieurs outils (note CNIL du 20 juillet 2026).

05L'AI Act

RGPD et AI Act : ce qui s'ajoute

Le RGPD protège les données personnelles, l'AI Act encadre les systèmes d'IA selon leur niveau de risque. Les deux s'appliquent ensemble.

  • Maîtrise de l'IA (article 4) : depuis le 2 février 2025, développer la maîtrise de l'IA de vos équipes. Le règlement omnibus, en vigueur depuis le 27 juillet 2026, l'a assouplie sans la supprimer.
  • Transparence (article 50) : dire à une personne qu'elle échange avec une IA, et signaler certains contenus générés, comme les hypertrucages.
  • Haut risque : trier des CV ou évaluer des salariés relève de l'annexe III. Ces obligations s'appliquent à partir du 2 décembre 2027.

Pour rédiger, résumer ou traduire, l'essentiel reste donc le RGPD, plus la formation des équipes.

Sources consultées le 11 octobre 2026 : CNIL, Commission européenne, EUR-Lex.

06La méthode

Checklist IA et RGPD : ce que vos équipes font lundi matin

Une mise en conformité tient en cinq étapes, avec le DPO, la DSI et les métiers. La plus oubliée : écrire la règle.

Checklist : avant de généraliser un outil d'IA

Lister les usages
qui utilise quel outil, pour quelle tâche, avec quelles données. Sans sanction, sinon les usages cachés le restent.
Choisir l'offre
une offre professionnelle avec DPA, puis les six réglages ci-dessus.
Documenter
chaque usage au registre, avec sa base légale. Une AIPD quand le risque est élevé : données sensibles, évaluation ou surveillance de personnes.
Informer
mettre à jour la politique de confidentialité et l'information des salariés.
Écrire la règle
quelles données vont dans quel outil, qui valide : écrire la règle dans une charte IA, puis former les équipes.

On peut faire ce point avec vos DSI, RSSI et DPO, sur vos outils et vos données.

Prendre 20 minutes

Kailli, cabinet de transformation IA appliquée, aide les entreprises qui utilisent déjà l'IA à décider quelles données vont dans quel outil. Il ne vend aucun outil.

Ce contenu ne constitue pas un avis juridique. Faites valider vos règles par votre juriste ou votre DPO.

Rédigé par Rémi Carbonnefondateur et directeur technique de Kailli

Questions fréquentes sur l'IA et le RGPD

Est-ce que ChatGPT est RGPD ?

ChatGPT n'est ni conforme ni non conforme en soi : c'est l'usage qui compte. ChatGPT Business et Enterprise prévoient un accord de traitement des données et n'entraînent pas les modèles sur vos données par défaut. Un compte personnel ne convient pas aux données personnelles de l'entreprise.

Quels outils d'IA sont conformes au RGPD ?

Aucun outil n'a de label « conforme au RGPD ». Cherchez une offre professionnelle avec contrat de sous-traitance, entraînement désactivé, rétention réglable et transferts hors UE encadrés. Le réglage et la règle d'usage restent à votre charge.

L'IA est-elle confidentielle ?

Pas par défaut. Ce que vous saisissez est transmis à l'éditeur, conservé un temps et, sur un compte personnel, peut entraîner ses modèles. Sur une offre professionnelle réglée, vos données restent sous contrat.

Peut-on mettre des données clients dans Claude ?

Oui, avec Claude Team, Enterprise ou l'API, sous contrat de sous-traitance, si l'usage a une base légale et que vous n'envoyez que le nécessaire. Pas avec un compte Claude personnel. Pour des données sensibles, consultez d'abord votre DPO.

Faut-il une AIPD pour utiliser l'IA ?

Pas pour chaque usage. Une analyse d'impact (AIPD) est obligatoire quand le traitement présente un risque élevé : données sensibles à grande échelle, évaluation ou surveillance de salariés. La CNIL recommande d'associer le DPO à tout déploiement d'IA générative.

Qui est responsable en cas de fuite ?

Votre entreprise, responsable du traitement : elle notifie la CNIL sous 72 heures si la violation présente un risque pour les personnes. L'éditeur, sous-traitant, doit vous alerter et répond de ses propres manquements.

Vingt minutes. Et vous saurez si on peut vous aider.

Pas de présentation commerciale. Vous nous dites où vous en êtes avec l’IA, on vous dit jusqu’où vous pouvez aller.

Prendre 20 minutes Préparer l’échange