ChatGPT est-il conforme au RGPD pour une entreprise ?

Qui est responsable quand un salarié utilise ChatGPT ?

Le RGPD distingue deux rôles (article 4). Le responsable de traitement décide pourquoi et comment des données personnelles sont traitées. Le sous-traitant les traite pour son compte, sur ses instructions.

Quand un commercial colle le mail d'un client dans un assistant pour préparer sa réponse, c'est votre entreprise qui décide de ce traitement : elle en est responsable, quel que soit l'outil.

L'article 28 demande alors deux choses : ne confier les données qu'à un sous-traitant qui présente des garanties suffisantes, et encadrer son travail par un contrat. Sans contrat, vous ne pouvez ni donner d'instructions, ni exiger l'effacement, ni savoir où vont les données.

Que change une offre entreprise avec un DPA ?

Le DPA (Data Processing Addendum) est le contrat de sous-traitance d'OpenAI. Dans sa version en vigueur depuis le 1er janvier 2026, OpenAI s'y engage comme sous-traitant, et le contrat est conclu avec OpenAI Ireland Ltd pour un client établi dans l'Espace économique européen ou en Suisse. OpenAI indique signer ce DPA pour ChatGPT Business, ChatGPT Enterprise et l'API, sur demande par un formulaire.

Ces offres excluent aussi vos données de l'entraînement des modèles par défaut, et donnent une console d'administration pour gérer les comptes.

Un compte personnel (gratuit, Go, Plus ou Pro) n'a rien de tout cela : le salarié accepte les conditions d'OpenAI en son nom, et OpenAI Ireland Limited, qui fournit ChatGPT aux utilisateurs européens depuis le 15 février 2024, traite ses données comme responsable, selon sa propre politique de confidentialité. Votre entreprise n'a aucune prise sur ce qui a été saisi.

Quelles règles pour les données que vos équipes saisissent ?

Tout traitement repose sur l'une des six bases légales de l'article 6. Pour un usage courant, comme répondre à un client ou préparer un dossier, c'est souvent l'exécution du contrat avec la personne ou l'intérêt légitime de l'entreprise. C'est à vous de la choisir et de l'écrire dans votre registre des traitements.

Le principe de minimisation (article 5) demande de ne saisir que ce qui sert la tâche. Pour reformuler un mail ou résumer un contrat, le nom, l'adresse ou le numéro de dossier du client sont souvent inutiles, et les retirer prend quelques secondes.

Les données sensibles de l'article 9 (santé, origine, opinions politiques, convictions religieuses, appartenance syndicale, orientation sexuelle, données génétiques et biométriques) ne peuvent être traitées que dans des cas précis. Dans un assistant généraliste, ne les saisissez pas.

Les personnes dont vous traitez les données doivent en être informées (articles 13 et 14). Votre politique de confidentialité nomme les catégories de destinataires, dont les sous-traitants comme un fournisseur d'IA.

Les données partent-elles aux États-Unis ?

Le chapitre V du RGPD encadre tout transfert hors de l'Espace économique européen. Le DPA d'OpenAI prévoit que les données européennes sont traitées par OpenAI Ireland Limited, et que leur transfert vers d'autres entités d'OpenAI ou des tiers hors d'Europe repose sur les clauses contractuelles types de la Commission ou sur une décision d'adéquation.

Pour les États-Unis, la décision d'adéquation en vigueur est le Data Privacy Framework, adoptée par la Commission le 10 juillet 2023. Elle vaut pour les entreprises américaines qui y adhèrent. Le 3 septembre 2025, le Tribunal de l'Union européenne a rejeté le recours du député Philippe Latombe, qui en demandait l'annulation. Un pourvoi a été formé le 31 octobre 2025 devant la Cour de justice ; selon les sources juridiques consultées, il n'était pas jugé au 5 novembre 2026.

OpenAI propose aussi, depuis février 2025, de stocker les données en Europe pour les nouveaux espaces ChatGPT Enterprise et Edu et pour les projets de l'API, et depuis janvier 2026 de faire tourner les calculs en Europe pour une partie des clients Enterprise et Edu. Ce stockage ne couvre pas tout, par exemple les données de compte et de facturation : demandez ce que votre offre inclut.

Que s'est-il passé en Italie ?

Le 30 mars 2023, la Garante, l'autorité italienne de protection des données, limite en urgence le traitement des données des utilisateurs italiens par OpenAI. Elle relève l'absence d'information des personnes, l'absence de base légale pour entraîner les modèles et l'absence de vérification de l'âge, après une fuite de conversations et de données de paiement survenue le 20 mars. ChatGPT revient en Italie fin avril 2023, une fois des mesures prises.

Le 20 décembre 2024, la Garante clôt son enquête par une amende de 15 millions d'euros. Elle reproche à OpenAI de ne pas lui avoir notifié la fuite de mars 2023, d'avoir entraîné ses modèles sur les données des utilisateurs sans base légale identifiée au préalable, d'avoir manqué à la transparence et de ne pas vérifier l'âge. Elle ordonne une campagne d'information de six mois et transmet le dossier à l'autorité irlandaise, chef de file depuis qu'OpenAI a son siège européen en Irlande.

Le 18 mars 2026, le tribunal de Rome a accueilli le recours d'OpenAI et annulé cette décision (jugement n° 4153/2026). La Garante l'a retirée de son site. Les questions de fond, comme la base légale de l'entraînement, se traitent désormais avec l'autorité irlandaise.

Que disent le CEPD et la CNIL ?

Le comité européen de la protection des données (CEPD) a réuni les autorités européennes dans une task force sur ChatGPT. Son rapport du 23 mai 2024 rappelle que les utilisateurs doivent être clairement informés que ce qu'ils saisissent peut servir à l'entraînement, et qu'OpenAI ne peut pas reporter sur eux la responsabilité du RGPD par une clause de ses conditions. Il note aussi que les réponses de ChatGPT risquent d'être prises pour exactes, y compris sur des personnes.

Le 18 décembre 2024, à la demande de l'autorité irlandaise, le CEPD publie l'avis 28/2024 sur les modèles d'IA. Il répond à trois questions : quand un modèle peut être considéré comme anonyme, si l'intérêt légitime peut fonder son développement ou son usage, et ce qui se passe quand un modèle a été entraîné sur des données traitées illégalement. Sur ce dernier point, la licéité de son déploiement peut en être affectée.

En France, la CNIL a indiqué en mai 2023 avoir reçu plusieurs plaintes contre OpenAI et ouvert une procédure de contrôle. En juillet 2024, elle publie des questions-réponses pour les organismes qui déploient une IA générative : partir d'un besoin précis, encadrer les usages par une charte interne, ne soumettre que des informations que l'on est autorisé à partager, former les utilisateurs, associer le délégué à la protection des données. Si l'outil est hébergé par un tiers, elle demande un contrat de sous-traitance. Sur un service grand public, réservé aux usages non confidentiels, elle déconseille les comptes créés avec des adresses personnelles et demande de désactiver la réutilisation des données quand c'est possible.

Ses recommandations de 2025, sur l'information des personnes et leurs droits en février puis sur l'intérêt légitime en juin, visent surtout ceux qui développent des systèmes d'IA. Pour les TPE et PME, la CNIL renvoie aussi à quatre fiches pratiques de France Num, conçues avec la CPME.

Faut-il une analyse d'impact (AIPD) ?

L'article 35 impose une analyse d'impact avant un traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Selon la CNIL, elle est obligatoire quand le traitement figure sur sa liste, ou quand il remplit au moins deux des neuf critères européens : évaluation ou notation, décision automatique avec effet juridique, surveillance systématique, données sensibles ou très personnelles, grande échelle, croisement de données, personnes vulnérables, usage innovant, exclusion d'un droit ou d'un service.

Un assistant qui aide à rédiger des mails ne la déclenche souvent pas à lui seul. Elle devient probable si vous l'utilisez pour trier des candidatures, évaluer des salariés, traiter des dossiers de santé ou des données de clients en grand nombre. En cas de doute, la CNIL conseille de la faire.

Que faire dans votre entreprise ?

Huit gestes, du plus urgent au plus simple :

• Pour tout usage qui touche des données personnelles, prenez une offre entreprise avec DPA (chez OpenAI : ChatGPT Business, Enterprise ou l'API). Vérifiez l'entité qui signe et la liste des sous-traitants.
• Inscrivez l'assistant à votre registre des traitements : finalités, base légale, catégories de données, sous-traitant, transferts. L'exemption des moins de 250 salariés ne vaut pas pour un outil utilisé chaque jour.
• Écrivez ce qui ne se saisit jamais (données sensibles, dossiers RH, santé, mots de passe) et ce qui se saisit seulement si la tâche l'exige. Une charte d'usage d'une ou deux pages suffit.
• Sur les comptes personnels qui restent, faites désactiver l'entraînement (« Améliorer le modèle pour tous ») et interdisez-y les données de clients et de salariés. Le détail : ce que deviennent les données collées dans ChatGPT.
• Informez et formez les salariés. L'AI Act demande déjà de soutenir la maîtrise de l'IA de votre personnel.
• À partir de 50 salariés, vérifiez s'il faut consulter le CSE avant le déploiement : le Code du travail prévoit sa consultation sur l'introduction de nouvelles technologies, et des tribunaux l'ont exigée pour des outils d'IA en 2025.
• Mettez à jour votre politique de confidentialité pour citer ce nouveau sous-traitant.
• Faites une AIPD si l'usage touche des candidatures, des évaluations, des données sensibles ou de gros volumes, avec votre délégué à la protection des données s'il y en a un.

Et un agent branché sur vos documents ?

Le RGPD vous demande de savoir où vont vos données et qui les traite. Saména lit vos documents là où ils sont, dans SharePoint, OneDrive ou Dropbox, en lecture seule, sur les dossiers que vous choisissez. Saména ne conserve aucune copie de vos fichiers. Ce qu'il garde de vos documents est chiffré avec une clé propre à votre entreprise, et la clé maître est stockée hors de la base de données.

Les serveurs sont en France, la base de données dans l'Union européenne, et tout s'efface sur demande. Si vos exigences l'imposent, Saména s'installe sur vos serveurs ou sur une instance dédiée. Vous choisissez le modèle : Claude, des modèles d'OpenAI, ou Mistral si vous préférez un modèle français. Ils tournent en Europe, sans conservation de vos données.

L'abonnement couvre toute l'entreprise, utilisateurs illimités : personne ne reste sur un compte personnel faute de licence. Rien ne part sans la validation d'une personne de l'entreprise. Le détail est sur la page où vont vos données.

Questions fréquentes

Peut-on utiliser ChatGPT gratuit avec des données de clients ?

C'est à éviter. Aucun contrat de sous-traitance ne lie votre entreprise à OpenAI, et le contenu peut servir à entraîner les modèles si l'utilisateur ne l'a pas désactivé. La CNIL réserve les services grand public aux usages non confidentiels, avec des garanties.

Faut-il signer un DPA avec OpenAI ?

Oui, dès que vos équipes y traitent des données personnelles : l'article 28 du RGPD exige un contrat avec le sous-traitant. OpenAI indique le signer pour ChatGPT Business, ChatGPT Enterprise et l'API ; pour un client européen, il est conclu avec OpenAI Ireland Ltd.

Le Data Privacy Framework est-il toujours valable ?

Oui au 5 novembre 2026. Le Tribunal de l'Union européenne l'a confirmé le 3 septembre 2025 dans l'affaire Latombe, et un pourvoi est pendant devant la Cour de justice. Si la Cour l'annulait, les transferts devraient reposer sur d'autres garanties, comme les clauses contractuelles types.

L'amende italienne de 15 millions d'euros contre OpenAI tient-elle toujours ?

Non. Le tribunal de Rome l'a annulée le 18 mars 2026, sur recours d'OpenAI, et la Garante a retiré sa décision de son site.

Une PME de moins de 250 salariés doit-elle tenir un registre pour cet usage ?

En pratique, oui. L'exemption de l'article 30 ne joue pas pour un traitement qui n'est pas occasionnel, comme un assistant utilisé chaque jour, ni pour les données sensibles.